Un cliente llama enfadado porque ha pagado una factura que la empresa nunca emitió. Un proveedor escribe extrañado porque ha recibido un correo del «director financiero» pidiendo cambiar el número de cuenta. Alguien encuentra en Google una web con el logotipo, los textos y hasta las fotos del equipo, pero con un dominio ligeramente distinto y una pasarela de pago que no es la de la empresa.
La suplantación de identidad empresarial en internet ya no es un problema de grandes corporaciones. Afecta sobre todo a pymes, porque son las que menos vigilancia de marca tienen y las que más tardan en detectarla. Y cuando se detecta, el daño ya suele estar hecho: clientes que han pagado a un tercero, proveedores desconfiados, reseñas negativas de personas que nunca fueron clientes reales.
Este artículo explica qué formas adopta la suplantación, qué vías legales existen en España y en qué orden conviene actuar.
Las formas más habituales de suplantación empresarial
1. Web o tienda clonada. Un tercero copia el diseño, los textos y las imágenes del sitio corporativo y registra un dominio parecido (con un guion, un cambio de extensión, una letra de más). El objetivo suele ser cobrar pedidos que nunca se sirven, o captar datos de tarjeta.
2. Perfiles falsos en redes sociales y plataformas. Cuentas que usan el nombre comercial y el logotipo de la empresa para atender consultas, anunciar promociones inexistentes o pedir datos personales. Es especialmente dañino en sectores donde el cliente contacta primero por redes.
3. Fraude del CEO y fraude del proveedor. Correos que imitan la dirección real de un directivo o de un proveedor habitual (a veces con un dominio casi idéntico, a veces desde la cuenta real si ha sido comprometida) para ordenar transferencias o cambiar datos bancarios. Es la modalidad con mayor impacto económico directo.
4. Reseñas falsas vinculadas a una identidad usurpada. Opiniones publicadas por quien nunca fue cliente, a veces acompañadas de perfiles que simulan serlo, y en ocasiones con un componente extorsivo: «retiro la reseña si pagas». Aquí la suplantación no es de la empresa, sino del cliente, pero el perjuicio recae igualmente sobre el negocio.
El marco legal aplicable
No existe un único procedimiento. Conviven cuatro vías que, según el caso, se usan de forma alternativa o acumulada.
Vía penal. La conducta puede encajar, según cómo se articule, en el delito de usurpación del estado civil (art. 401 del Código Penal), en la estafa (art. 248 y siguientes) cuando ha habido engaño con desplazamiento patrimonial, y en las falsedades documentales (arts. 390 a 399) si se han fabricado facturas, contratos o documentos con la apariencia de la empresa. La denuncia se presenta ante Policía Nacional, Guardia Civil o directamente en el juzgado de guardia.
Conviene ser realista: el art. 401 exige una suplantación con cierta vocación de permanencia y aprovechamiento de la posición jurídica ajena, no basta cualquier uso indebido del nombre. Por eso, en muchos casos el encaje natural es la estafa —si hubo pago de un tercero— o la vía civil y administrativa.
Vía de protección de datos. Si la suplantación implica el uso de datos personales (los de un administrador, los de empleados cuyas fotos aparecen en la web clonada, o los de clientes captados con engaño), cabe reclamación ante la Agencia Española de Protección de Datos. La AEPD tiene además procedimientos ágiles para la retirada de contenidos en determinados supuestos.
Vía de retirada en plataformas (DSA). El Reglamento (UE) 2022/2065, de Servicios Digitales, obliga a las plataformas y a los prestadores de alojamiento a disponer de un mecanismo de notificación y acción accesible, y a resolver las notificaciones de contenido ilícito de forma diligente y motivada. Esto incluye perfiles suplantadores, anuncios fraudulentos y —con matices— reseñas manifiestamente falsas. Una notificación bien redactada, que identifique el contenido con su URL exacta y explique por qué es ilícito, obliga a la plataforma a pronunciarse y deja constancia a efectos de una reclamación posterior si no actúa.
Paralelamente, si el problema es un dominio clonado, existe la vía de reclamación frente al registrador y, cuando hay una marca registrada, los procedimientos de resolución de conflictos de nombres de dominio.
Vía de competencia desleal. Cuando quien suplanta es un competidor o actúa en el mismo mercado, la Ley de Competencia Desleal ofrece acciones de cesación, remoción de efectos e indemnización de daños, con la ventaja de no depender del ritmo del procedimiento penal.
Qué hacer, en orden
Primero: fijar la prueba antes de hacer nada visible. Capturas de pantalla completas con fecha y URL visible, copia de los correos con sus cabeceras técnicas completas (no basta reenviarlos), registro de los dominios implicados mediante una consulta WHOIS, y —cuando el importe lo justifique— un acta notarial o un servicio de certificación de contenido web. Si se avisa al suplantador antes de fijar la prueba, lo habitual es que borre todo.
Segundo: notificar a la plataforma o al proveedor de alojamiento. Usando el mecanismo de notificación y acción del DSA, con identificación exacta del contenido y motivación jurídica. Guardar el acuse y la respuesta.
Tercero: avisar a clientes y proveedores. Un comunicado breve en los canales oficiales de la empresa, indicando cuál es el dominio legítimo, cuáles son las cuentas bancarias reales y por qué canales nunca se solicitan determinados datos. Esto corta el daño en curso y refuerza la posición de la empresa si después hay una reclamación de un cliente perjudicado.
Cuarto: denuncia penal si ha habido perjuicio patrimonial o uso de documentos falsos. Con toda la prueba ya fijada. Si ha habido transferencias, comunicarlo de inmediato al banco: en algunos casos la operación aún puede bloquearse o retrocederse.
Quinto: reclamación ante la AEPD si hay datos personales implicados.
Sexto: requerimiento de cese y, en su caso, demanda civil o por competencia desleal, para la remoción de efectos y la indemnización.
El caso de las reseñas falsas
Las reseñas falsas merecen un tratamiento propio porque la reacción instintiva —responder públicamente negando que esa persona sea cliente— es la que más problemas genera.
Antes de afirmar que una reseña es falsa, hay que comprobarlo internamente. Si la empresa sostiene públicamente que quien firma no fue nunca cliente y resulta que sí lo fue (con otro nombre, a través de un tercero, hace años), la posición se vuelve muy difícil de defender, y la propia respuesta puede generar un problema reputacional mayor que la reseña.
Comprobado que la reseña no responde a una experiencia real, la vía es la notificación a la plataforma. La Directiva (UE) 2019/2161 —la llamada Directiva Ómnibus, ya transpuesta al Derecho español— impuso a quienes dan acceso a reseñas de consumidores el deber de informar sobre si verifican que provienen de consumidores que realmente han usado o adquirido el producto, y prohíbe expresamente publicar reseñas falsas o encargar a terceros que las publiquen. Ese deber es la base para exigir a la plataforma una actuación diligente.
Cuando la reseña contiene imputaciones de hechos concretos y falsos que dañan la reputación, puede además haber un ilícito civil por intromisión en el derecho al honor de la persona jurídica, y si hay petición de dinero a cambio de retirarla, estamos ante una posible extorsión, que sí justifica denuncia penal inmediata.
Prevención: lo que sí funciona
- Registrar la marca. Sin marca registrada, muchas vías de retirada rápida en plataformas y registradores simplemente no están disponibles.
- Registrar los dominios cercanos al principal (variantes de extensión y errores tipográficos habituales).
- Configurar correctamente SPF, DKIM y DMARC en el correo corporativo: es la medida técnica que más reduce el fraude del CEO y la suplantación por correo.
- Un protocolo interno escrito de verificación de cambios bancarios: ninguna modificación de cuenta de un proveedor se ejecuta sin confirmación por un canal distinto del que llegó la petición.
- Alertas de marca y revisión periódica de reseñas y perfiles.
Conclusión
La suplantación de identidad empresarial se combate con rapidez y con orden. Rapidez, porque cada día que el contenido permanece en línea multiplica el perjuicio. Y orden, porque actuar sin haber fijado la prueba suele dejar a la empresa sin nada que aportar el día que quiera reclamar.
¿Ha detectado una web clonada, un perfil falso o reseñas que no corresponden a clientes reales? En Ferrer-Bonsoms Abogados acompañamos a pymes en la respuesta completa: fijación de prueba, notificaciones de retirada, denuncia penal y reclamación civil. Escríbanos y estudiamos el caso.
Este artículo forma parte de nuestra serie sobre conflictos digitales en la pyme. Puede consultar también nuestro artículo sobre reseñas falsas y reputación online.