Riesgo · Sitios falsos
Cómo detectar una página de casino clonada
Un clon no se distingue por verse mal. Se distingue por su edad, por su dirección y por la cuenta a la que te pide enviar el dinero. Las tres cosas se comprueban en menos tiempo del que tardas en registrarte, y con herramientas públicas.
El candado verde no dice nada
Conviene empezar por lo que no sirve, porque es donde la gente se detiene. El candado del navegador solo indica que la conexión está cifrada y que alguien demostró control sobre el dominio. No acredita quién es el dueño del sitio.
Let's Encrypt, la autoridad que emite la mayoría de los certificados de internet, lo declara de forma expresa: solo ofrece validación de dominio y no emite certificados de validación de organización ni extendida. Sus certificados son gratuitos y duran 90 días, con una opción de seis días desde febrero de 2025.
Traducido: un clon obtiene su candado en cinco minutos y sin costo. Si tu única verificación es que la dirección empieza con https, no has verificado nada.
La edad del dominio, en whois.mx
El registro nacional publica un WHOIS consultable en whois.mx, y el campo que importa es Created On: la fecha real de registro del dominio. Junto a él aparecen la fecha de expiración, la última actualización, el registrador y los servidores de nombres.
Compara esa fecha con lo que la página afirma de sí misma. Una marca que se presenta como establecida y cuyo dominio nació hace unas semanas tiene una contradicción que resolver. No prueba fraude —una marca real puede estrenar dominio—, pero sí obliga a preguntar por qué.
Ten presente lo que el WHOIS mexicano no muestra: no publica domicilio postal, correo, teléfono ni RFC del titular. Solo nombre, ciudad, estado y país por cada contacto. Y la registraduría no verifica que esos datos correspondan a una empresa real. Es un dato de edad y de contacto nominal, no una acreditación de identidad.
El buscador admite además consultas por contacto y no solo por nombre de dominio, lo que a veces permite ver qué otros dominios comparten el mismo titular nominal.
El historial de certificados, en crt.sh
Existe un registro público y permanente de certificados emitidos llamado Certificate Transparency, consultable en crt.sh. Aceptando un nombre de dominio como consulta, devuelve una tabla con la fecha de registro en el log, la validez del certificado, el nombre común y el emisor.
Lo útil es la entrada más antigua. Esa fecha marca aproximadamente cuándo el dominio empezó a existir públicamente como sitio con HTTPS, y es muy difícil de manipular hacia atrás: los logs son de solo añadir.
Un ejemplo de cómo se lee, tomado de una comprobación real: al consultar un dominio cuyo primer certificado aparece con fecha del 10 de agosto de 2026 emitido por Let's Encrypt, sabes que ese sitio no llevaba años funcionando en esa dirección, dijera lo que dijera su página de inicio.
Dónde termina el dinero
Esta es la comprobación decisiva y la más ignorada. Un clon convincente puede copiar el diseño entero, pero no puede recibir el dinero en la cuenta del operador real: tiene que desviarlo a una cuenta propia.
Por eso la CLABE de depósito se copia siempre desde la caja de tu cuenta, después de escribir tú mismo el dominio, y nunca desde un chat, un correo o un mensaje directo. Si el titular de la cuenta destino no se parece a la razón social que publican los términos, detente ahí.
Hay un tercer patrón que delata casi solo: pedirte pagar una comisión, un impuesto o una fianza por fuera de la plataforma para liberar un retiro. Ningún trámite legítimo funciona así. Y recuerda que el reglamento de juegos obliga a operar en moneda nacional y prohíbe al operador otorgarte crédito: una plataforma que exige pagar en otra divisa o que ofrece saldo adelantado ya está fuera de lo previsto.
Compara también con lo que la ley obliga a mostrar: la publicidad de juegos con apuestas debe indicar el número de permiso. Un clon suele copiar el número del operador legítimo, así que el número por sí solo no basta; lo que un clon no puede copiar es una cuenta bancaria a nombre de la empresa correcta.
Caso práctico
Cómo llega un clon, en la práctica
Rara vez lo encuentras buscando. Casi siempre llega: un mensaje con una promoción que vence hoy, un enlace desde una red social, un resultado patrocinado con un nombre casi idéntico al de la marca que conoces. La prisa es parte del método, porque comprobar lleva cinco minutos y esos cinco minutos son lo que el clon no quiere darte.
La dirección suele diferenciarse en un carácter: un guion añadido, un dominio distinto, un subdominio que imita al principal, una palabra de más. Léela completa y despacio, de izquierda a derecha, empezando por lo que está justo antes de la primera barra: ahí está el dominio real, y todo lo demás es decorado.
La conversación posterior sigue un guion reconocible. Un agente amable aparece en un canal que tú no abriste, pide tu identificación «para agilizar» y después solicita un depósito o un pago pequeño para desbloquear el retiro. Nada de eso ocurre en un trámite legítimo: la carga de documentos se hace dentro de tu cuenta y ningún requisito de verificación se paga.
Si ya entregaste datos o dinero
Primero corta el acceso. Cambia la contraseña de la cuenta real escribiendo tú mismo el dominio, y cámbiala también en cualquier otro servicio donde hayas usado la misma. Si entregaste un código de un solo uso, avisa a tu banco de inmediato: ese código es la llave, no la contraseña.
Después documenta antes de que desaparezca. Captura la pantalla completa del sitio con la dirección visible, guarda la conversación entera, anota el dominio exacto, la fecha y la hora. Los clones se apagan en días y con ellos se va la evidencia.
Si hubo transferencia, consigue la clave de rastreo y descarga el CEP en Banxico: acredita a qué cuenta llegó el dinero. Y ten presente lo que explica la guía de SPEI: si la CLABE existía, no hay plazo legal de devolución y el banco no puede obligar al receptor a regresarlo.
Reporta el sitio a la Guardia Nacional en la línea 088, de atención a delitos cibernéticos. Y si hubo cargo bancario que no reconoces, abre la aclaración con tu banco: tienes 90 días naturales y el banco debe entregar dictamen en 45.
Preguntas frecuentes
¿El candado de seguridad garantiza que el sitio es real?
No. Garantiza que la conexión va cifrada y que alguien demostró control del dominio. La autoridad que emite la mayoría de los certificados solo hace validación de dominio y no valida organizaciones. Un clon obtiene su candado gratis y en minutos.
¿Cómo sé cuándo se creó realmente el sitio?
Con dos fuentes independientes. El campo Created On del WHOIS en whois.mx da la fecha de registro del dominio. La entrada más antigua en crt.sh indica cuándo apareció su primer certificado público. Si ambas son recientes y la página dice llevar años, ahí tienes tu contradicción.
El sitio muestra un número de permiso. ¿Es suficiente?
No, porque un número se copia. Un clon replica el número del operador legítimo sin ningún esfuerzo. Lo que no puede replicar es la cuenta bancaria: revisa que el titular de la cuenta de depósito corresponda a la razón social publicada en los términos.
¿Puedo saber quién es el dueño del dominio?
Solo parcialmente. El WHOIS mexicano publica nombre, ciudad, estado y país de los contactos, sin domicilio, correo ni teléfono, y la registraduría no verifica esos datos contra una empresa real. Sirve para ver la edad del dominio y para comparar, no para acreditar identidad.