Partamos con una prueba. Sin buscar, de memoria: la página del Santander, ¿es santander.cl? ¿bancosantander.cl? ¿banco.santander.cl?

¿Dudaste? Yo también.

Y ahí está todo el asunto. Como nadie se acuerda de las direcciones exactas, hacemos lo cómodo: usamos Google como puerta de entrada a la vida entera. Escribimos "Santander" en el buscador, clic en el primero, listo.

Durante años nos machacaron con lo mismo: cuidado con los correos raros, ojo con las faltas de ortografía, desconfía del que te apura, no abras ese adjunto. Y aprendimos. El problema es que los estafadores también aprendieron, y se mudaron al único lugar donde nadie sospecha nada: la primera línea de Google.

Cómo te agarran

Es tan simple que da rabia.

Necesitas pagar una cuenta. No te acuerdas de la dirección —¿llevaba "banco" adelante?, ¿con punto o sin punto?— así que escribes el nombre en Google y le das a lo primero que aparece.

Ese primero, muchas veces, no es tu banco. Es un anuncio. Y los anuncios los compra el que pague. Incluido un delincuente.
¿Y cómo se supone que uno distingue un anuncio de un resultado normal? Google los marca con la palabra "Patrocinado" arriba del título. En gris, chiquitita, arriba de todo. Está ahí, cumple con avisar. Pero es exactamente del tamaño que uno no mira cuando anda apurado, y aparece en el lugar de la pantalla que el ojo aprendió a leer como "el más importante".

El aviso falso está perfecto: el nombre, los colores, un texto que dice "Sitio oficial" o "Iniciar sesión". Haces clic y llegas a una copia del sitio que no distingues de la verdadera. Escribes tu RUT, tu clave, y cuando llega el código por SMS también lo pones. Todo normal. 

Solo que al otro lado hay alguien usando esos datos en ese mismo segundo para entrar a tu cuenta de verdad.

Y no hiciste nada tonto. Buscaste tu banco de siempre en el buscador de siempre y confiaste en el primer resultado. Eso es todo lo que se necesita.

Ah, y esto no es solo con bancos. Funciona igual con el SII, con ClaveÚnica, con la isapre, con el seguimiento de un envío, con las herramientas que usa tu pega todos los días. Donde haya un cuadrito para poner clave, hay negocio para alguien.

Ojo acá: el banco no tiene nada que ver

Esto hay que decirlo fuerte, porque se presta para malentendidos.

En este tipo de ataque al banco no lo hackearon. Nadie entró a sus servidores, nadie le robó la base de datos, nadie le tocó un cable. Puede tener la mejor seguridad del mercado y esto le pasa igual. 

Lo que pasó fue afuera, en la calle. Alguien compró un espacio publicitario poniendo el nombre del banco. Y resulta que una empresa no puede controlar quién compra publicidad con su marca. No lo puede impedir, no lo ve venir, y muchas veces se entera cuando ya hay clientes con la cuenta vacía.

Imagínate que alguien monta una sucursal falsa en la vereda del frente, con el mismo letrero y los mismos colores. El banco de verdad no puede salir a desarmarla. Solo puede reclamar y esperar que alguien vaya a sacarla.

Y ahí viene la pregunta obvia: ¿quién es ese alguien?

El que sí podría hacer algo

Google no le impide a nadie hacer publicidad con el nombre de otra empresa. No te piden demostrar que eres dueño de la marca que estás promocionando. Tampoco le avisan a la empresa suplantada antes de que el aviso salga al aire.

Y cuando el fraude se descubre, la cosa va lenta. Los formularios de denuncia son manuales, de a uno, mientras que los ataques son automáticos y salen de todas partes. Bajan un anuncio y aparecen diez. Además se elimina el enlace reportado, no la campaña completa que está detrás.

No hay que suponer mala intención, ojo. La plataforma vende espacio, cobra, procesa denuncias. Cada cosa por separado suena razonable. El detalle es que todo junto arma una cadena que alguien aprendió a aprovechar, y que el único que podría cortarla no tiene mucho apuro: al final del día, el aviso falso y el legítimo pagan lo mismo.

Y no es que no existan soluciones. Un sistema donde las marcas puedan reclamar su condición de sitio oficial. Una alerta automática cuando un aviso que dice "Sitio oficial" apunta a un dominio que no es. Una demora de revisión avisándole a la marca antes de publicar. Bajar campañas completas por patrón de fraude en vez de ir enlace por enlace. Nada de eso es ciencia ficción. Simplemente no está arriba en la lista.

La parte más irónica de todas

Acá viene el remate.

Buena parte de estas campañas ni siquiera va detrás de tu cuenta bancaria: va detrás de cuentas publicitarias. ¿Y para qué? Para comprar más enlaces patrocinados falsos, pagados con el presupuesto de la víctima anterior.

O sea: la estafa se financia sola, y la plataforma cobra en cada vuelta.

Si quieres ver la cadena completa bien documentada, el equipo técnico de Ahrefs contó su propio caso —les suplantaron la marca exactamente así— y explica en detalle cómo funciona y cuánto le costó a una víctima: leer la nota aquí

Los consejos que ya no sirven

"Revisa siempre la dirección antes de poner la clave". Correcto en el papel, inútil en la práctica. Le pasa toda la responsabilidad a la persona, que basta con que se equivoque una vez, un viernes a las siete, apurada, pagando la luz.

Y "fíjate en el candadito" es derechamente un mal consejo. El candado no significa que el sitio sea confiable. Significa que la conexión está cifrada. Los estafadores también cifran.

Lo que sí sirve

La clave es cambiar la costumbre, no poner más atención.

No busques en Google los sitios donde pones tu clave. Guárdalos en favoritos o marcadores, cada navegador lo permite, y entra desde ahí. Si tienes que escribir la dirección, escríbela en la barra del navegador, no en el buscador. Te cuesta diez segundos una sola vez y te ahorra el resto de la vida. Con esto solo eliminas casi todo el riesgo.

En el celular, usa la app del banco. Descargada de la tienda oficial. Es mucho mejor que llegar por búsqueda.

Si igual vas a googlear, baja la vista. Si arriba dice "Patrocinado", ese no es. Bájate al primer resultado sin etiqueta.

Usa un gestor de contraseñas. Es la mejor defensa que hay, y no por lo que la gente cree. Un gestor no te rellena la clave si la dirección no calza exactamente con la que tiene guardada. Cuando el gestor "no reconoce" una página que deberías conocer, no está fallando: te está avisando.

Activa la verificación en dos pasos, pero sin creer que es magia. El código por SMS ayuda, aunque este ataque puede robártelo en el momento (en esta nota los detalles). Las llaves de seguridad físicas y las llaves de acceso sí aguantan, porque están amarradas a la dirección real del sitio.

Habla del tema en la casa y en la pega. Basta con que una persona haga clic una vez. Y si en tu trabajo hay cuentas compartidas o accesos de administrador, ese clic cuesta mucho más caro.

¿Y si ya caíste?

No pierdas tiempo en avergonzarte, que no hay tiempo para eso.

Llama al tiro al número de tu banco —el que está impreso en la tarjeta, no el que salía en la página sospechosa—, bloquea todo, cambia las claves desde otro aparato y deja constancia. Mientras más rápido, más se puede recuperar. Y denuncia: PDI, Carabineros o el CSIRT del Gobierno (Ver sitio web aquí) es el Equipo Nacional de Respuesta a Incidentes de Seguridad Informática de la ANCI (Agencia Nacional de Ciberseguridad).

Si tienes una marca

Búscate en Google de vez en cuando, desde una sesión limpia, y mira qué anuncios aparecen con tu nombre.

Puede que alguien esté pagando por hacerse pasar por ti frente a tus propios clientes y tú seas el último en enterarte. No es descuido tuyo: es un hoyo que dejó abierta la plataforma.

En resumen

Mientras esto se arregla —si se arregla—, la defensa más realista es chica y casera: no busques en Google los sitios donde tienes tu plata y tu identidad. Escríbelos una vez, guárdalos en favoritos, entra directo.

Y si al principio de este texto tuviste que dudar sobre cuál era la dirección correcta del banco, esa duda tuya es exactamente el negocio de alguien más.

---

Esto no me lo inventé: el caso lo contó públicamente el equipo técnico de Ahrefs, a quienes les suplantaron la marca con anuncios en Google, y después varios investigadores de seguridad documentaron campañas iguales contra otras empresas. Los ejemplos chilenos que uso acá son solo para que se entienda: ningún banco ni institución de las que menciono fue hackeada, ni tiene responsabilidad en esto. Les robaron el letrero, nada más.