Phishing y sitios clonados: certificar la prueba antes de que desaparezca
Llega un mensaje que parece de tu banco, de una empresa de mensajería o de un marketplace conocido. El enlace abre una página idéntica a la original que pide credenciales o datos de la tarjeta. El phishing y la suplantación fueron la categoría más denunciada del Internet Crime Report 2025 del FBI, con 191.561 denuncias sobre más de un millón registradas ese año, y las pérdidas declaradas por phishing se multiplicaron por más de tres hasta los 215,8 millones de dólares.
Lo difícil casi nunca es entender qué ha pasado. Lo difícil es demostrarlo. Una página fraudulenta tiene una vida brevísima: un estudio presentado en la ACM Web Conference 2025, sobre 286.237 direcciones de phishing, midió una duración mediana de 5,46 horas. Cuando la víctima llama al banco, presenta la denuncia o encarga el caso a un abogado, la dirección ya devuelve un error y de todo el episodio sobrevive una sola cosa: una captura hecha con prisas en el móvil, que la otra parte puede impugnar porque nadie puede verificar qué mostraba realmente.
De ahí la pregunta que vale la pena responder: cómo se consigue una prueba que aguante cuando el sitio ya no existe. La prueba hay que construirla mientras la página sigue en línea. Hace falta una adquisición con metodología forense que fije el contenido, la dirección de red y el momento exacto, cerrada con un sello electrónico que haga detectable cualquier alteración posterior. Quien lo hace en los primeros minutos se presenta en el banco y en el juzgado con un expediente técnico completo. Quien no lo hace se presenta con una imagen.
Cuánto dura realmente una página de phishing
La ventana para recoger la prueba se mide en horas. No es una estimación prudente, es la mediana observada sobre el terreno, y vale tanto para las falsas pantallas de acceso a la banca como para las tiendas falsificadas que copian la marca de un comercio conocido.
La vida de un sitio de phishing es tan corta que hace inviable cualquier recogida de pruebas diferida. El estudio "7 Days Later: Analyzing Phishing-Site Lifespan After Detected", presentado en la ACM Web Conference 2025 y basado en 286.237 direcciones únicas seguidas durante cinco meses, midió una duración mediana de 5,46 horas y una media de 54 horas. El 83,93 por ciento de los sitios ya había sido retirado antes incluso de que los sistemas de aviso de los navegadores los detectaran, y esos sistemas solo señalan el 18,4 por ciento de los casos, con un retraso medio de 4,5 días. Las páginas que imitan a operadores logísticos son las más efímeras, con una vida mediana de 1,76 horas. Quien espera a que un sistema automático confirme el fraude antes de documentarlo acaba documentando, en la mayoría de los casos, una página que ya no existe.
El volumen convierte esto en un problema estructural y no ocasional. El Anti-Phishing Working Group observó unos 3,8 millones de ataques de phishing a lo largo de 2025, con un pico de 1.130.393 ataques solo en el segundo trimestre. Con ese telón de fondo, el impulso de volver a la página "cuando tenga tiempo de ocuparme" es sencillamente erróneo: la mayoría de las veces ese tiempo no existe.
Por qué una captura hecha con prisas no aguanta
Una captura tomada con el móvil es una imagen y, como tal, entra en el terreno del artículo 299.2 de la Ley 1/2000 de Enjuiciamiento Civil, que admite los medios de reproducción de la palabra, el sonido y la imagen. El artículo 384 añade el matiz decisivo: el tribunal los valora según las reglas de la sana crítica, es decir, con margen de apreciación y sin la fuerza tasada de un documento.
El obstáculo práctico está por debajo del jurídico. Cuando la página está fuera de línea, ninguna de las dos partes puede verificar nada y el tribunal no tiene forma de establecer si esa imagen corresponde a lo que se servía en ese momento. Hemos tratado la mecánica procesal con detalle en el artículo sobre la prueba electrónica en el proceso civil.
Hay además un problema de integridad del relato que precede al de autenticidad. Una captura muestra lo que veía el ojo, no lo que cuenta técnicamente: la dirección completa con sus parámetros, el servidor que respondió, los certificados presentados, el código fuente de la página, los recursos cargados desde terceros. Son justamente los datos que el banco pide para instruir la reclamación y que el registrador exige para valorar una solicitud de retirada. La cuestión de fondo, cuándo una captura de pantalla se sostiene, la abordamos en la guía sobre la captura de pantalla como prueba.
| Elemento | Captura desde el móvil | Adquisición certificada en origen |
|---|---|---|
| Dirección completa de la página | Parcial o recortada | Registrada íntegra, parámetros incluidos |
| Servidor que respondió | Ausente | Resolución de red documentada |
| Código fuente y recursos cargados | Ausente | Adquiridos junto a la página |
| Momento de la captura | Reloj del dispositivo, modificable | Sello de tiempo cualificado, oponible a terceros |
| Alteraciones posteriores | No detectables | Detectables mediante el sello electrónico |
| Verificación por el destinatario | Imposible | Autónoma, sin depender del remitente |
| Aguante si el sitio desaparece | Impugnable | El contenido queda documentado |
Qué debe contener la adquisición de un sitio clonado
Una adquisición útil no es una fotografía de la ventana del navegador. Es el registro documentado de una sesión de navegación, con todo lo que el servidor devolvió realmente. Cuatro elementos separan un archivo que será impugnado de un expediente que aguanta.
La dirección y la resolución de red
El dominio falsificado es la base tanto de la denuncia como de la solicitud de retirada. Necesitas la dirección completa, con los parámetros que identifican la campaña fraudulenta, y la resolución hacia el servidor que respondió en ese momento. Es lo que permite vincular páginas distintas a la misma infraestructura y, en los casos de suplantación y cuentas clonadas, suele ser el único hilo que conecta episodios que parecen inconexos.
El código fuente y los recursos cargados
El código contiene lo que la imagen no puede mostrar: adónde se envían los datos introducidos en el formulario, qué scripts de terceros están activos, qué imágenes y logotipos se han tomado del sitio legítimo. Para un titular de marca, ese último detalle es la prueba del uso indebido del signo distintivo, y sostiene una acción de protección mucho mejor de lo que jamás hará una captura de pantalla.
El momento en que la página estaba activa
El reloj del sistema de un teléfono se cambia en segundos y todo el mundo lo sabe. Para que el momento de la captura sea oponible hace falta un sello de tiempo cualificado emitido por un tercero, que vincule el contenido adquirido a un instante fijo. Según los artículos 41 y 42 del Reglamento (UE) 910/2014, el sello de tiempo electrónico cualificado goza de la presunción de exactitud de la fecha y hora que indica y de la integridad de los datos a los que va asociado. Eso es lo que permite afirmar, meses después, que la página estaba activa a las 21:14 del día en que salió la transferencia.
La cadena de navegación
El fraude rara vez vive en una sola pantalla. Está el mensaje, una primera dirección que redirige a una segunda, la página que pide las credenciales y la que pide el código de un solo uso. Documentar la secuencia y no solo el último paso reconstruye el engaño completo, y es lo que hace legible el episodio para quien lo lee sin haberlo vivido. El planteamiento general aparece también en el artículo sobre la cadena de custodia digital.
Qué significa certificar en origen una página fraudulenta
Certificar en origen es adquirir un contenido digital en el momento mismo en que existe, con metodología forense, y cerrarlo con un sello que haga detectable cualquier alteración posterior. El principio invierte el enfoque habitual: en lugar de intentar demostrar a posteriori que una imagen es auténtica, la prueba se construye mientras el hecho todavía es observable. TrueScreen aplica ese principio a las páginas web fraudulentas. La plataforma adquiere la página mientras sigue activa, recoge junto al contenido visible los datos técnicos de la sesión e integra vía API el sello electrónico y el sello de tiempo cualificado emitidos por un prestador cualificado de servicios de confianza externo. El resultado no es una imagen que adjuntar: es un documento que el destinatario, ya sea el departamento antifraude de un banco o el ministerio fiscal, puede verificar por su cuenta sin tener que fiarse de quien se lo entrega. Es la aplicación operativa de la Digital Provenance a un contenido destinado a desaparecer.
Adquisición desde el dispositivo que recibió el mensaje
El fraude casi siempre llega al teléfono, y ahí es donde debe documentarse. Con la app móvil de TrueScreen la página sospechosa se adquiere directamente en el dispositivo, sin traspasos intermedios que introducirían un paso más que justificar. Quien trabaja desde un puesto fijo, por ejemplo un analista antifraude que recibe el aviso de un cliente, ejecuta el mismo proceso desde la plataforma web.
Sello electrónico y sello de tiempo cualificado
El contenido adquirido se sella. El sello electrónico y el sello de tiempo cualificado los aplica un prestador cualificado de servicios de confianza integrado en la plataforma, no se generan internamente. A partir de ese momento cualquier cambio en el archivo, aunque sea de un solo byte, resulta detectable en la verificación. Es la diferencia entre afirmar que un contenido no se ha tocado y poder demostrarlo. El marco lo fija la Ley 6/2020 de servicios electrónicos de confianza junto al reglamento eIDAS.
Verificación autónoma por parte del destinatario
Quien recibe el documento no tiene que creer en la palabra de quien lo produce: puede comprobar su integridad de forma independiente. Las organizaciones que gestionan volúmenes altos de avisos pueden disparar la adquisición desde su propio sistema antifraude en cuanto entra el aviso, a través de las interfaces de integración de la plataforma, sin ningún paso manual.
Un ejemplo recurrente: el servicio de atención al cliente de un banco recibe el aviso de una falsa pantalla de acceso a la cuenta a las 18:40. El analista abre la dirección, la adquiere y la certifica en menos de dos minutos. A las 23:00 el dominio ya no responde. Al día siguiente el departamento jurídico conserva igualmente el código de la página, la dirección del servidor que recogía las credenciales y el sello de tiempo que sitúa la captura antes de las transferencias reclamadas.
Phishing: qué hacer en los primeros minutos
La prioridad no es averiguar quién está detrás, y ese es un error frecuente. La prioridad es fijar el estado del escenario digital mientras existe. El orden de las operaciones importa más que el cuidado con que se ejecute cada una.
- No cierres la pestaña del navegador ni borres el mensaje. El mensaje que trajo el enlace forma parte de la prueba tanto como la página.
- Adquiere y certifica la página mientras siga respondiendo, junto al recorrido que llevó hasta ella. Si se introdujeron datos, documenta también la pantalla de confirmación.
- Bloquea los medios de pago implicados y abre la reclamación ante el proveedor de servicios de pago, adjuntando el documento certificado.
- Presenta denuncia adjuntando la adquisición. La conducta suele encajar en la estafa informática y en la usurpación de identidad, y el expediente técnico es lo que convierte un relato en un caso.
- Comunica el dominio al registrador, al proveedor de alojamiento y a la marca imitada. Una solicitud de retirada con un anexo técnico verificable se tramita de forma distinta a una queja genérica.
El mismo método sirve para cualquier fraude que ocurra en una página pensada para desaparecer: los falsos portales de inversión, los anuncios cebo, los formularios que imitan a un organismo público. La regla operativa no cambia: primero se adquiere, después se analiza. El caso de las estafas de trading en línea sigue exactamente el mismo patrón.
Quién usa esta prueba y para qué
El documento certificado sirve a interlocutores distintos, y cada uno utiliza una parte diferente.
Los departamentos antifraude de bancos y aseguradoras lo usan para tramitar el reembolso y para vincular episodios que parecen aislados: cuando veinte clientes avisan de páginas distintas que envían datos al mismo servidor, el cuadro cambia de naturaleza. Los departamentos jurídicos lo usan porque llega ya completo con los datos técnicos que de otro modo habría que reconstruir mediante un informe pericial, suponiendo que la reconstrucción siga siendo posible. Los titulares de marcas afectados por tiendas falsificadas lo usan para acreditar el uso indebido del signo distintivo y para sostener las solicitudes de retirada ante registradores y plataformas publicitarias. Los profesionales y los particulares estafados lo usan para no presentarse a denunciar con lo único que suelen tener en la mano, que es una fotografía de la pantalla.
En todos estos casos el factor decisivo no es lo sofisticada que sea la herramienta, sino el momento en que se utiliza. Una prueba recogida con metodología forense mientras la página estaba activa vale tanto como la propia página. Una recogida después vale tanto como el recuerdo de quien la vio.
