Si clonan tu web para robar clientes o credenciales

¿Tienes razón?

Tres factores definen la fuerza de tu reclamación: identidad visual y técnica de la copia, finalidad fraudulenta y alcance del daño. Identidad visual: si la página copia de forma sustancial tu logo, textos, fotografías, estructura o incluso el diseño, existe un fuerte elemento de suplantación. Técnicamente, si la URL es similar o el dominio es diferente pero con técnicas que desvían tráfico hacia la copia, la confusión es mayor.

Finalidad: si la web intenta captar credenciales, pagos o datos personales mediante formularios trampa, la conducta es claramente ilícita y puede encajar además en ilícitos penales relacionados con fraudes y delitos informáticos. Si la web solo replica contenido para SEO y redirige tráfico a competidores, es competencia desleal y vulneración de derechos de propiedad intelectual.

Alcance: el número de usuarios afectados, las operaciones efectuadas y la duración de la clonación influyen en la estrategia. Si se han recogido datos personales, hay obligaciones ante la Agencia Española de Protección de Datos y deberes de notificación a afectados.

Cómo se soluciona

1. Conserva la página clonada: descarga la web entera (HTML, imágenes, recursos) y guarda la URL, cabeceras HTTP y capturas con fecha visible. Conserva logs y cualquier dato que muestre interacciones de usuarios con la página clonada.
2. Bloquea la incidencia técnica: notifica al proveedor de alojamiento y al registrador del dominio pidiendo la retirada por suplantación y uso fraudulento. Si detectas formularios que recopilan contraseñas, informa del riesgo a tus usuarios y, si procede, fuerza el restablecimiento de contraseñas y bloqueos preventivos.
3. Comunicación a usuarios y autoridades: informa a tus clientes de forma clara sobre la clonación, qué datos han podido verse afectados y qué pasos deben tomar, sin generar pánico. Si hay filtración de datos personales, valora la obligación de notificación a la autoridad de protección de datos.
4. Requerimiento fehaciente y solicitud de identificación: envía burofax a la persona identificada como titular del dominio o, si no se conoce, a la empresa de hosting. Exige retirada, conservación de registros y cesación de la suplantación.
5. Vía judicial y medidas cautelares: si no actúan, un procedimiento judicial puede solicitar medidas cautelares para que se suspenda la web y se identifique al autor, además de reclamar daños y perjuicios. En casos de phishing con captación de credenciales, puedes solicitar medidas penales y colaborar con las fuerzas de seguridad para la investigación.

Qué hacer sin abogado: notificar al hosting y registrar la incidencia, informar a tus clientes y guardar pruebas. Necesitas abogado para coordinar medidas cautelares, ordenar peritajes informáticos y articular reclamaciones civiles o penales.

Qué puede pasar

1. Eliminación por el proveedor: muchas veces el registrador o el hosting retiran la web tras la denuncia documentada. Es la solución práctica y rápida en muchos casos de suplantación.
2. Acuerdo o cooperación: el titular del dominio puede cooperar, entregar registros y aceptar retirar el sitio; a veces esto incluye indemnización si se demuestra lucro.
3. Juicio o investigación penal: si hay captación de datos o fraude, pueden abrirse causas penales además de la vía civil. En juicio civil, se puede obtener cesación de la actividad y reparación de daños. Si no se prueba el nexo con tu pérdida económica, el resultado puede limitarse a la retirada y medidas de protección.

Y si ganas, ¿cobras? Cobrar depende de la solvencia del titular. Si el autor es anónimo o insolvente, la sentencia puede resultar difícil de ejecutar. Por eso es habitual combinar la vía técnica (hosting) con la jurídica para lograr resultados prácticos.

Errores que arruinan el caso

• No descargar la web completa y perder archivos que prueben la suplantación.
• Esperar a que los clientes te llamen en lugar de comunicar proactivamente la clonación.
• Intentar derribar el dominio por vías ilegales o comprar contraseñas en mercados que invalidan la prueba.
• No coordinar con tu proveedor de hosting y registrar, que suelen ser capaces de retirar rápidamente.
• No evaluar la obligación de notificar a la agencia de protección de datos cuando haya afectación de datos personales.