Un comprador prudente, un proveedor de pagos y Google Merchant Center revisan una tienda nueva con los mismos métodos: cotejan los datos de la empresa con los registros oficiales, miran la antigüedad del dominio, buscan fotos copiadas y leen las reseñas. Una tienda WooCommerce honrada puede no superar esta prueba por simple descuido, por ejemplo una dirección antigua en las condiciones generales o una cuenta personal en las instrucciones de transferencia. Este artículo repasa esas comprobaciones desde el lado del propietario de la tienda, con lo que conviene corregir antes de que lo detecte un cliente. Los registros y organismos que se citan (KRS, CEIDG, la lista blanca de IVA, el WHOIS de dns.pl, CERT Polska, UOKiK) se aplican a tiendas registradas en Polonia o que venden a clientes polacos. El historial del dominio, el candado, la búsqueda de imágenes, las reseñas, Merchant Center y los ajustes de WooCommerce funcionan igual en cualquier país.
La guía “Okazja czy pułapka?” (“¿Ganga o trampa?”), publicada en noviembre de 2025 por el instituto polaco de investigación NASK, recoge en su parte sobre tiendas falsas datos de CERT Polska de 2024: unas 1600 denuncias recibidas y unos 14 000 casos registrados de uso indebido de la imagen de plataformas de venta conocidas (NASK, cifras aproximadas). Un comprador que ha oído hablar de estos fraudes revisa cada tienda que no conoce, también la suya.
Cómo comprueba el cliente si una tienda online es de fiar
Revisar una tienda es inteligencia de fuentes abiertas (OSINT): conclusiones sacadas solo de fuentes públicas. Registros mercantiles, el registro de contribuyentes de IVA, la base de datos WHOIS, archivos web, búsqueda de imágenes y reseñas en internet. Nada de esto exige conocimientos técnicos, y por eso los mismos pasos acaban en las guías para consumidores. El 29 de octubre de 2026, Sekurak y Securitum imparten un curso en línea en polaco titulado “Jak się nie dać oszukać? Sprawdzamy sklepy internetowe technikami OSINT-owymi” (en traducción libre: cómo no dejarse engañar, revisamos tiendas online con técnicas OSINT), en el que verifican en directo dos tiendas, un fraude evidente y una imitación de aspecto profesional (descripción del curso).
Cualquier incoherencia que encuentre el comprador parece exactamente una señal de fraude. En su guía de compras, CERT Polska aconseja revisar las condiciones, el envío, los pagos y las devoluciones y estar “atento a cualquier incoherencia entre ellos” (traducción propia, CERT Polska). Para el comprador, dos direcciones distintas en el pie de página y en las condiciones son una señal de alarma, aunque una de ellas sea solo una actualización olvidada.
Qué datos de la empresa debe mostrar una tienda online
Dos leyes polacas fijan el mínimo. El artículo 20, apartado 3, de la ley de empresarios (Prawo przedsiębiorców) establece que el empresario que vende a distancia a través de redes de telecomunicaciones “indica en su oferta al menos su razón social, su número de identificación fiscal (NIP) y su domicilio social o dirección” (traducción propia, Dz.U. 2025 pos. 1480). El artículo 5 de la ley de prestación de servicios por vía electrónica (ustawa o świadczeniu usług drogą elektroniczną) añade las direcciones electrónicas, el nombre o razón social y el domicilio social y la dirección, facilitados “de forma clara, inequívoca y directamente accesible” (traducción propia, Dz.U. 2024 pos. 1513). El portal gubernamental para empresas biznes.gov.pl suma al contenido de las condiciones el organismo que registró la actividad, el número de inscripción, la dirección de la empresa, el correo electrónico y el teléfono (biznes.gov.pl).
El cliente compara estos datos en cuatro lugares: el pie de página, las condiciones, la política de privacidad y la factura. Después introduce el NIP en un buscador de empresas. La búsqueda en el KRS (Registro Judicial Nacional de Polonia) muestra la dirección, la forma jurídica, los números de identificación, la fecha de inscripción y el historial de cambios, mientras que en el CEIDG (registro de empresarios individuales) basta con el nombre y apellido, el NIP o el REGON (biznes.gov.pl, cómo comprobar a un socio comercial).
CERT Polska señala un detalle más. Si en el KRS, bajo el nombre del supuesto propietario de la tienda, figura una tienda física o una empresa de un sector distinto del comercio, es una señal de alarma importante, porque el estafador puede haber suplantado a una empresa existente o haberse quedado con un dominio que ya no usaba (CERT Polska). Para una tienda honrada, esto significa que el objeto social inscrito en el registro debería abarcar el comercio que realmente ejerce. Una sociedad registrada como estudio de proyectos que vende cosméticos despertará dudas en un cliente prudente y en el proveedor de pagos.
Qué corregir en su tienda:
- una sola versión de la razón social, el NIP y la dirección en el pie de página, las condiciones, la política de privacidad, los correos transaccionales de WooCommerce y las facturas,
- una dirección que coincida con la inscripción en el KRS o el CEIDG, actualizada la misma semana que el registro tras una mudanza,
- un teléfono y un correo electrónico que funcionen, porque CERT Polska aconseja a los compradores contactar con el vendedor y desistir de la compra si no lo consiguen.
Cómo comprobar la cuenta de la tienda en la lista blanca de IVA
El registro polaco de contribuyentes de IVA, conocido como lista blanca (biała lista), se puede consultar por número de cuenta, NIP o REGON (biznes.gov.pl). Un comprador que ha recibido las instrucciones de transferencia pega el número de cuenta y ve si pertenece a la empresa que figura en las condiciones. El Ministerio de Finanzas polaco anunció la puesta en marcha del registro modernizado para el 15 de octubre de 2026 en wykazpodatnikowvat.mf.gov.pl, y el 21 de octubre esa dirección ya respondía (KAS).
El cliente B2B tiene aquí un interés económico. Según la KAS, la administración tributaria polaca, en operaciones superiores a 15 000 PLN la empresa que paga a una cuenta que no figura en el registro no puede computar el gasto como deducible y responde solidariamente con el vendedor de sus deudas de IVA. Lo evita si lo notifica al jefe de su oficina tributaria en un plazo de 7 días desde la orden de transferencia (KAS, información sobre el registro). Por eso, el contable de un cliente mayorista revisará su cuenta en el primer pedido de cierto importe.
En WooCommerce, el número de cuenta para transferencias se introduce en los ajustes del método de pago por transferencia bancaria directa (en el código: bacs), y la tienda lo muestra en la página de confirmación del pedido y en el correo del pedido (WooCommerce). Introduzca ahí la cuenta de la empresa comunicada a la administración tributaria. La cuenta personal del propietario, o una cuenta en un banco distinto del que figura en el registro, es lo primero que no supera la prueba.
Cómo comprobar la antigüedad del dominio de la tienda en WHOIS
Las tiendas falsas duran poco. CERT Polska describe los sitios de phishing como registrados en grandes cantidades, usados poco después del registro y abandonados en favor de nuevas direcciones (CERT Polska, Lista de Advertencias). Por eso el comprador mira la fecha de registro del dominio. Para los dominios .pl, la base WHOIS del registro NASK (dns.pl/whois) muestra la fecha de creación y el registrador. Por ejemplo, una consulta sobre cert.pl devuelve como fecha de creación el 12 de marzo de 1998 y como registrador NASK. Para cualquier dominio, la segunda fuente es la Wayback Machine, donde se ve cómo era el sitio en años anteriores.
Un dominio reciente no significa fraude, pero unido a un precio bajo y a la falta de datos de la empresa se convierte en una señal fuerte para el comprador. Qué puede hacer:
- tras un cambio de marca, conserve el dominio antiguo con una redirección 301, para que el historial de la dirección antigua lleve a la tienda nueva,
- explique en la página “sobre nosotros” desde cuándo opera y con qué nombre anterior, de acuerdo con la fecha de inscripción en el registro,
- no compre un dominio que perteneció a otra empresa sin revisar su historial en la Wayback Machine, porque los contenidos antiguos o las entradas en listas de advertencias se heredan con la dirección.
El candado del navegador significa que la tienda es segura
No. CERT Polska responde a esta pregunta en su guía con una palabra y luego explica: “Los estafadores ya han desarrollado métodos para aprovechar este tipo de indicación” (traducción propia, CERT Polska). NASK lo repite en su guía de 2025: el símbolo del candado junto a la dirección no garantiza la seguridad (NASK).
Un certificado gratuito de Let’s Encrypt se emite de forma automática: el cliente ACME “demuestra a la autoridad de certificación (CA) que el servidor web controla un dominio” (traducción propia, Let’s Encrypt). Nadie comprueba la empresa, la dirección ni si la tienda envía siquiera la mercancía. El HTTPS en una tienda WooCommerce es obligatorio por otros motivos, pero lo que convence a un cliente prudente son los datos de la empresa, la cuenta y el historial del dominio.
Cómo comprobar si las fotos de los productos son robadas
La búsqueda inversa de imágenes (Google Lens, TinEye, Bing) muestra en qué otros lugares de internet aparece una foto. El comprador sube la foto de un producto y ve si procede del catálogo del fabricante, de la tienda de otra persona o de un banco de imágenes. NASK incluye las “fotos atractivas de los productos” entre los rasgos de las tiendas falsas, junto a productos de marcas conocidas y reseñas de clientes (traducción propia, NASK).
Una tienda que solo usa fotos del fabricante no hace nada malo, pero tampoco se distingue: los mismos archivos aparecen en decenas de tiendas, también falsas. Unas cuantas fotos propias de cada producto estrella (el producto sobre su mesa, el paquete con la etiqueta de envío, una imagen del almacén) le dan al comprador la prueba de que la mercancía existe físicamente. Esas mismas fotos propias ayudan en los resultados de búsqueda por imagen, como explica el artículo sobre Google Lens y la optimización de imágenes en WooCommerce.
Cómo comprobar si las reseñas de una tienda son reales
Desde el 1 de enero de 2023 rigen en Polonia las normas de la directiva Omnibus de la UE. La UOKiK las anunció así: “Todo empresario que facilite el acceso a reseñas de productos deberá informar de si verifica su autenticidad y de qué manera, así como de si publica todas las opiniones o solo las positivas. También quedará expresamente prohibido publicar reseñas falsas o distorsionadas” (traducción propia, UOKiK). En un comunicado de julio de 2024, la autoridad añade: “No está permitido eliminar las opiniones negativas si alguien quedó realmente insatisfecho con el producto o servicio” (traducción propia), y el comercio de reseñas falsas puede sancionarse con multas de hasta el 10 % de los ingresos (UOKiK).
El comprador también mira cómo se reparten las reseñas en el tiempo. CERT Polska aconseja confiar menos cuando hay un hueco en el historial de reseñas, por ejemplo cuando las más recientes son de las dos últimas semanas y las anteriores tienen más de un año (CERT Polska). NASK advierte contra las reseñas exclusivamente positivas, o repetitivas y publicadas en poco tiempo.
En WooCommerce se pueden permitir reseñas solo de clientes que compraron el producto y marcarlas con la etiqueta de propietario verificado (WooCommerce). Si lo hace así, dígalo en una frase junto a las reseñas: quién puede opinar y si publica todas. Eso cumple la obligación de información y, a la vez, le da al comprador un motivo para confiar. Si recoge reseñas en un servicio externo, describa del mismo modo su método de verificación.
Cómo una tienda falsa suplanta a una real
El clon de una tienda real copia el logotipo, las fotos y las descripciones, y se diferencia en el dominio y en la cuenta para los pagos. NASK describe tres variantes: la suplantación de tiendas conocidas con sus logotipos, sitios ficticios que desaparecen al poco tiempo y tiendas que envían mercancía distinta de la descrita (NASK). CERT Polska añade erratas en la dirección fáciles de pasar por alto y dominios que pertenecieron a empresas que nunca tuvieron tienda online.
A una tienda honrada le afecta directamente la variante que CERT Polska llama pago legítimo en una tienda falsa: el estafador compra en paralelo en una tienda real con sus propios datos, y la víctima paga sin saberlo el pedido de él (CERT Polska). En su WooCommerce, eso parece un pedido normal y pagado. CERT Polska indica a los compradores que pagaron con tarjeta el contracargo (chargeback) como una vía relativamente sencilla para recuperar el dinero. Si la víctima lo usa, la reclamación puede llegar al comercio que aceptó el pago, cuando la mercancía ya está en manos del estafador. Señales para las que conviene configurar una alerta en la gestión de pedidos: una dirección de entrega que no coincide con los datos del pagador, un punto de recogida en lugar de una dirección para artículos caros, varios pedidos con tarjetas distintas a la misma dirección.
Google considera prácticas similares una infracción grave de las políticas de Merchant Center y advierte de que en esos casos puede no enviar un aviso previo. La versión en español de la política incluye entre sus ejemplos “Presentar una identidad, un nombre de empresa o una información de contacto falsos” y “Mostrar una dirección física falsa o virtual como sede de la empresa mientras se opera desde una región no revelada” (Google Merchant Center). Una tienda honrada con la dirección de una oficina virtual no infringe esta norma mientras no oculte desde dónde opera y envía realmente. Aun así, conviene decirlo con claridad en la página de contacto.
Cómo denunciar una tienda falsa que suplanta a su empresa
CERT Polska recibe denuncias de sitios de phishing a través del formulario incydent.cert.pl/phishing, y los SMS sospechosos se pueden reenviar gratis al número 8080 (CERT Polska). Los dominios verificados entran en la Lista de Advertencias durante 6 meses. La usan los operadores de telecomunicaciones adheridos al acuerdo con el presidente de la UKE (el regulador polaco de telecomunicaciones), el ministro de Asuntos Digitales y NASK (en un principio Orange, Plus, Play y T-Mobile), además de los proveedores privados de DNS Quad9 y NextDNS. Un cliente que abre una dirección bloqueada ve una página de advertencia en lugar de la copia de su tienda.
La denuncia ante CERT es uno de tres pasos. El segundo es una denuncia de abuso a la empresa de alojamiento y al registrador del dominio, cuyos datos encontrará en WHOIS y en los registros DNS del clon. Adjunte capturas de pantalla, la dirección del clon y la de su tienda. El tercero es un aviso para los clientes en su sitio y en redes sociales: cuál es su única dirección y cuál su número de cuenta. Si alguien ya pagó a la cuenta del clon, remítalo a su banco y a la policía, como aconseja CERT Polska.
Lista de control: la prueba de fiabilidad de una tienda WooCommerce
Los puntos que revisa un comprador prudente, del más rápido al más lento.
| Qué revisa el comprador | Dónde | Qué debe coincidir en su tienda |
|---|---|---|
| Razón social, NIP, dirección | Pie de página, condiciones, KRS o CEIDG | Una sola versión de los datos en todas partes y en el registro |
| Cuenta para transferencias | Registro de contribuyentes de IVA | La cuenta de empresa del registro en los ajustes de transferencia y en la factura |
| Antigüedad del dominio | WHOIS, Wayback Machine | Un historial coherente con lo que cuenta de la empresa |
| Candado | Barra de direcciones | El HTTPS está, pero no demuestra nada |
| Fotos de los productos | Búsqueda inversa de imágenes | Fotos propias de los productos estrella |
| Reseñas | Página del producto, servicios externos | Información sobre si verifica las reseñas y cómo |
| Contacto | Teléfono, correo electrónico | Alguien atiende y responde |
| Devoluciones | Condiciones | Procedimiento claro, plazo y dirección de devolución |
| Listas de advertencias | Lista de Advertencias de CERT Polska | Su dominio no figura, los clones están denunciados |
Unos datos de empresa coherentes forman parte también del cumplimiento del derecho de consumo en Polonia, junto con el RGPD, Omnibus, el GPSR y las normas de devolución. La protección técnica de una tienda es el tema de la guía de hardening de WordPress. Si quiere encargar la revisión de esta lista en su tienda y la corrección de los ajustes de pago, los correos transaccionales y el pie de página, describa el proyecto en la página desarrollador WooCommerce o solicite una auditoría de seguridad WordPress.
