# Las diez estafas dirigidas a los dueños de tiendas (no a los clientes) y cómo detectarlas > Phishing con falsos emails de Stripe, estafas de reembolso por pago en exceso, fraude de proveedores, cartas de renovación de dominio por correo postal. Las estafas que te apuntan a ti, no a tus compradores, y cómo la seguridad básica frena la mayoría. Ryan Badger - 28 de septiembre de 2025 - 8 min de lectura ## Estafas dirigidas al comerciante, no a la tarjeta El artículo anterior trataba del [fraude en transacciones: tarjetas robadas, contracargos, pruebas de tarjetas](https://v3.shoprocket.io/es/blog/fraude-ecommerce-ocho-tipos-y-como-prevenirlos.md). Este trata del otro lado: estafas que te apuntan directamente a ti, el dueño de la tienda. Emails de phishing que se hacen pasar por Stripe. Falsos "clientes" que intentan conseguir reembolsos mediante ingeniería social. Proveedores que se llevan tu dinero y desaparecen. Estafas de renovación de dominios por correo postal. La mayoría son de baja tecnología. Funcionan porque llevar una tienda es ajetreado y el email de la estafa llega un martes por la tarde, cuando estás cansado. Las defensas consisten sobre todo en saber qué esperar. ## Las grandes categorías ### 1. Phishing que se hace pasar por Stripe, PayPal, Shopify o tu banco Recibes un email: "Tu cuenta de Stripe ha sido marcada, haz clic aquí para verificarla." El enlace lleva a una página de inicio de sesión que parece perfecta. Introduces tus credenciales. Quedan capturadas. **A qué prestar atención:** - Dominio del remitente: los emails reales de Stripe vienen de `@stripe.com`, no de `@stripe-support.com` ni de `@stripe.verify.co` - Lenguaje de urgencia: "tu cuenta será suspendida en 24 horas" es un patrón de estafa - Enlaces: pasa el ratón por encima antes de pulsar. Los enlaces reales de Stripe van a `dashboard.stripe.com` **Defensas:** - Activa 2FA en cada plataforma de pagos y comercio que uses (Stripe, PayPal, tu banco, tu cuenta de Shoprocket, tu email). Una contraseña robada no sirve sin el segundo factor - No pulses nunca enlaces de inicio de sesión en emails. Entra al sitio directamente desde tu marcador o escribiendo la URL - Usa un gestor de contraseñas. Solo autocompletan en el dominio real, así que se niegan en silencio en las páginas de phishing, lo cual es un gran indicio ### 2. La estafa del "pago en exceso" Un "cliente" hace un pedido grande, paga de más (unos $500) y luego te escribe pidiendo que le reembolses el exceso en otra tarjeta o por otro método (PayPal, transferencia bancaria, tarjetas regalo). Una semana después, el pago original se revierte por fraude y has reembolsado dinero que nunca tuviste de verdad. - Cualquier solicitud de reembolso a un método distinto del pago original - Pedidos con importes inusualmente grandes de clientes nuevos - Presión urgente para reembolsar rápido **Defensas:** - **Reembolsa solo al método de pago original.** Stripe lo impone por defecto, así que esta estafa ocurre sobre todo cuando los vendedores tramitan reembolsos manualmente fuera de la plataforma - Si un "cliente" insiste en un método de reembolso alternativo, eso por sí solo es la señal ### 3. La estafa de "dirección equivocada, por favor reenvíen" El cliente pide, recibe el artículo y luego afirma "la dirección era incorrecta, por favor reenvíen a X". Si reenvías, se queda con ambos. - Solicitudes de reenvío que mencionan un cambio de dirección cuando el seguimiento ya muestra entregado - Varios clientes con variaciones de la misma historia, a veces coordinados **Defensas:** - Comprueba siempre el seguimiento del transportista antes de actuar sobre un problema de dirección - Si el artículo se entregó en la dirección del pedido, el pedido está cumplido. Cualquier envío adicional corre por cuenta del cliente ### 4. La estafa de chantaje de SEO / reseñas Alguien te escribe: "Dejé una reseña de una estrella. Paga $200 y la retiro." O: "Puedo eliminar reseñas negativas a cambio de una tarifa." O: "Denunciaremos tu Perfil de Empresa de Google salvo que pagues." La mayoría son faroles. La retirada real de reseñas pasa por el proceso de la plataforma de reseñas, no por un pago privado. **Defensas:** - No pagues nunca. Pagar te identifica como presa y recibirás más exigencias - Marca el email como spam, bloquea al remitente y sigue adelante - Si hay una reseña negativa real, respóndela en público con una respuesta razonable. Eso hace más por ti que retirarla ### 5. Estafa del falso proveedor / dropshipping Buscas un proveedor nuevo, normalmente por Alibaba o por un email en frío. Ofrecen precios demasiado buenos. Envías un depósito (a menudo por transferencia bancaria porque "PayPal no está disponible"). La mercancía nunca se envía, o se envía falsificada, o llega incompleta. - Métodos de pago sin protección al comprador (transferencia, criptomonedas, Western Union) - Precios un 30%+ por debajo del mercado - Sin presencia empresarial verificada (sin auditoría de fábrica, sin Alibaba Trade Assurance, sin un registro de empresa que puedas comprobar) - Comunicación exclusivamente por Gmail o WhatsApp en lugar de un email corporativo **Defensas:** - Usa Trade Assurance de Alibaba en los primeros pedidos. Retiene el pago hasta que confirmes la entrega - Pide muestras primero. Encarga una cantidad pequeña antes de comprometerte con una tirada completa - Verifica la empresa: número de registro, búscala en Google, mira LinkedIn por empleados, haz una búsqueda inversa de imágenes de sus fotos de producto (las fotos robadas son habituales) ### 6. Falso Google / Meta / "tu ficha no está verificada" "Tu Perfil de Empresa de Google está a punto de ser eliminado. Verifica ahora." O: "Tu cuenta de Meta Business tiene actividad inusual." El enlace lleva a una página de inicio de sesión falsa que roba las credenciales de tu cuenta publicitaria. El secuestro de cuentas publicitarias de Meta es especialmente doloroso: los atacantes lanzan sus propios anuncios con tu tarjeta de crédito antes de que Meta se dé cuenta y te llega la factura. **Defensas:** - Entra en Google Business y en Meta Business Manager directamente (no desde enlaces de email) para comprobar el estado - 2FA en ambos - Fija límites de gasto publicitario en tus cuentas de anuncios. Si te las secuestran, el daño queda limitado a tu límite ### 7. La estafa de "tu dominio está a punto de caducar" Llega una carta (en papel de verdad) o un email de "Domain Registry of America" o similar. No son tu registrador. La carta es una solicitud de transferencia disfrazada de factura de renovación. Si pagas, transfieres tu dominio a un registrador lento y caro que cobra el triple de tu tarifa actual y hace dolorosa la transferencia de salida. **Defensas:** - Sé dónde está registrado tu dominio. Si la carta no es de tu registrador real, ignórala - Activa el bloqueo de registrador en tu dominio (la mayoría de los registradores lo ofrece gratis) - Configura la renovación automática de tu dominio en tu registrador real para no tener nunca un "pánico de renovación" ### 8. Estafas de falsos afiliados / alianzas / "embajador de marca" "¡Nos encanta tu marca! Nos gustaría destacarte en nuestra campaña de marketing de $500k. Paga $2.000 por la colocación." O: "Sé nuestro embajador de marca, envíanos 50 unidades de tu producto para un unboxing de influencer." (No son influencers; revenden la mercancía.) - Peticiones de producto gratis desde cuentas que no puedes verificar - Ofertas de marketing en las que pagas tú (y no al revés) - Mensajes vagos y genéricos que podrían enviarse a cualquier marca **Defensas:** - Cualquier propuesta de alianza real viene con detalles concretos: cifras de audiencia, campañas anteriores, una presentación - Si quieren producto gratis, envía una unidad y mira qué hacen con ella antes de mandar cincuenta - Si quieren dinero por adelantado por una "aparición" o "colocación", da por hecho que no es real ### 9. La estafa de la falsa amenaza legal Recibes un aviso de retirada por DMCA o una carta de infracción de marca de un "despacho de abogados" del que nunca has oído hablar. Exigen una acción inmediata o un pago. El despacho no es real; la reclamación es inventada. **Defensas:** - Verifica que el despacho existe (Google, colegio de abogados) - Reenvía el email a tu abogado real o a un servicio de asesoría legal; no interactúes directamente - Los avisos legales reales llegan en papel o a través de tu agente registrado, no como un PDF adjunto desde una dirección de Gmail ### 10. El email de amenaza de contracargo "Quiero un reembolso. Si no reembolsáis en 24 horas, haré un contracargo a mi banco Y dejaré una reseña de una estrella en todos los sitios." A veces es un cliente enfadado legítimo. A veces es una estafa para sacar reembolsos de bienes que recibieron y se quedaron. **Defensas:** - Trata cada caso según sus méritos: si tienen un motivo real (artículo equivocado, mercancía dañada), reembolsa. Si el seguimiento muestra entregado y el problema es vago, pide detalles antes de reembolsar - Si de todos modos hacen el contracargo, responde a la disputa con prueba de envío y comunicación con el cliente. Así ganas la mayoría de las disputas de "artículo no recibido" - Recuerda que el umbral de tasa de contracargos de Stripe es del 1%; si cedes ante cada amenaza, tu tasa sube y tu cuenta queda marcada ## La seguridad básica que toda tienda debería tener Con independencia de las estafas concretas, unos pocos ajustes por defecto le ponen casi todo esto más difícil al atacante: - **2FA en cada cuenta** (email, Stripe, PayPal, Shoprocket, registrador de dominios, cuentas publicitarias). Idealmente con una app de autenticación, no por SMS - **Gestor de contraseñas** con contraseñas únicas por servicio - **Email de administración aparte** (no tu Gmail personal) para las cuentas de comercio - **Tarjeta de empresa dedicada** para publicidad con límites bajos - **Seguimiento + entrega con firma** a partir de un importe umbral - **Descriptor de extracto claro** en Stripe (reduce sustancialmente los contracargos por fraude amistoso) - **Revisión periódica de registros** en tus plataformas de comercio. Los inicios de sesión desconocidos deben investigarse de inmediato ```
``` ## Lo que gestiona Shoprocket - **Vigilancia de inicios de sesión.** Los inicios de sesión desde dispositivos nuevos disparan un email al titular de la cuenta - **2FA disponible para cuentas de vendedor** (actívala en Mi cuenta → Ajustes de la cuenta → Seguridad, con una app de autenticación) - **Registro de actividad de administración.** Cada acción significativa (ediciones de producto, reembolsos, cambios de permisos) queda registrada y es revisable - **Permisos basados en roles.** El personal solo recibe los permisos que necesita; un agente de soporte no puede cambiar los datos bancarios - **Protección de reembolsos.** Los reembolsos se envían por defecto al método de pago original. Sin flujos sorpresa de "reembolso a otra tarjeta" Lo que Shoprocket no resuelve: estafas dirigidas a tu email, tus cuentas publicitarias, tu dominio o tus proveedores. Eso queda fuera de nuestro alcance, pero la base de 2FA + gestor de contraseñas gestiona la mayoría. > **Consejo:** si recibes un email sospechoso que dice ser de Shoprocket, no pulses el enlace. Entra directamente en tu panel. Cualquier aviso real también será visible en las alertas dentro de la app, además del email. ## Resumen - **La mayoría de las estafas dirigidas a comerciantes son ingeniería social, no técnicas.** Las defensas son de concienciación, no de software - **El phishing y el secuestro de cuentas publicitarias** son lo más dañino económicamente. 2FA en cada plataforma bloquea la mayoría - **Reembolsa solo al método de pago original.** La petición de "envíame el reembolso de otra forma" casi siempre es una estafa - **Los proveedores son un vector de ataque importante.** Usa Trade Assurance, pide muestras primero, verifica que la empresa existe - **Los avisos legales / de plataforma reales no llegan en adjuntos de Gmail.** Ignora las amenazas en PDF salvo que lleguen en papel o por un canal verificado - **Seguridad básica:** 2FA en todas partes, gestor de contraseñas, email de administración separado del personal, seguimiento/firma en envíos de alto valor [Empieza una prueba gratuita](https://app-v3.shoprocket.io/signup) y 2FA + permisos basados en roles + registros de actividad de administración están activos por defecto. 14 días, sin tarjeta. --- - HTML version: https://v3.shoprocket.io/es/blog/diez-estafas-dirigidas-a-duenos-de-tiendas-y-como-detectarlas - Language: Español (es) - Also in: [العربية](https://v3.shoprocket.io/ar/blog/the-ten-scams-that-target-store-owners-not-customers-and-how-to-spot-them.md), [Deutsch](https://v3.shoprocket.io/de/blog/betrugsmaschen-gegen-shopbetreiber-erkennen-und-abwehren.md), [Ελληνικά](https://v3.shoprocket.io/el/blog/the-ten-scams-that-target-store-owners-not-customers-and-how-to-spot-them.md), [English](https://v3.shoprocket.io/blog/the-ten-scams-that-target-store-owners-not-customers-and-how-to-spot-them.md), [Français](https://v3.shoprocket.io/fr/blog/dix-arnaques-visant-les-e-commercants-comment-les-reperer.md), [עברית](https://v3.shoprocket.io/he/blog/the-ten-scams-that-target-store-owners-not-customers-and-how-to-spot-them.md), [हिन्दी](https://v3.shoprocket.io/hi/blog/the-ten-scams-that-target-store-owners-not-customers-and-how-to-spot-them.md), [Bahasa Indonesia](https://v3.shoprocket.io/id/blog/sepuluh-penipuan-yang-menyasar-pemilik-toko-dan-cara-mengenalinya.md), [Italiano](https://v3.shoprocket.io/it/blog/dieci-truffe-contro-i-titolari-di-negozi-ecommerce.md), [日本語](https://v3.shoprocket.io/ja/blog/the-ten-scams-that-target-store-owners-not-customers-and-how-to-spot-them.md), [Lietuvių](https://v3.shoprocket.io/lt/tinklarastis/sukciavimo-schemos-nukreiptos-i-parduotuviu-savininkus.md), [Norsk](https://v3.shoprocket.io/nb/blogg/ti-svindeltyper-som-rammer-butikkeiere-og-hvordan-du-avsloerer-dem.md), [Nederlands](https://v3.shoprocket.io/nl/blog/tien-oplichtingstrucs-tegen-shopeigenaren-herkennen.md), [Polski](https://v3.shoprocket.io/pl/blog/dziesiec-oszustw-wymierzonych-we-wlascicieli-sklepow-i-jak-je-rozpoznac.md), [Português](https://v3.shoprocket.io/pt/blog/dez-golpes-contra-donos-de-loja-e-como-identificar.md), [Română](https://v3.shoprocket.io/ro/blog/zece-escrocherii-care-tintesc-proprietarii-de-magazine-si-cum-le-recunosti.md), [Русский](https://v3.shoprocket.io/ru/blog/the-ten-scams-that-target-store-owners-not-customers-and-how-to-spot-them.md), [ไทย](https://v3.shoprocket.io/th/blog/the-ten-scams-that-target-store-owners-not-customers-and-how-to-spot-them.md), [Türkçe](https://v3.shoprocket.io/tr/blog/magaza-sahiplerini-hedef-alan-on-dolandiricilik-ve-nasil-fark-edilir.md), [中文](https://v3.shoprocket.io/zh/blog/the-ten-scams-that-target-store-owners-not-customers-and-how-to-spot-them.md)