50 millones de mensajes de estafa en seis meses: tu marca puede ser el anzuelo

Lo que contó hoy Serasa

Serasa Experian divulgó hoy, 15 de septiembre de 2026, el Mapa del Fraude del primer semestre. Entre enero y junio, el relevamiento identificó más de 50,7 millones de mensajes vinculados a estafas en Brasil. Eso da un promedio de 3,2 por segundo, y por eso el titular dice "tres por segundo".

Parece un número de otro planeta, pero cuenta una historia muy práctica. No se trata solo de gente que recibe SMS raros. Buena parte de esas estafas usa anuncios, perfiles, páginas y aplicaciones falsos para parecer legítima. Y muchos de esos disfraces copian marcas reales, de empresas grandes y también de pequeñas.

Esto es lo más útil que trajo el informe:

• 20.840 anuncios, perfiles, páginas y aplicaciones falsos fueron identificados en el semestre, un alza de 27,2% sobre el primer semestre de 2025.
• La división: los anuncios falsos suman 62%, los perfiles falsos 19% y las páginas falsas 18%.
• Las páginas falsas crecieron 107,1% frente al año anterior, con más de 20 sitios fraudulentos nuevos por día.
• Los anuncios falsos llegaron a 12.900, cerca de 70 por día, un alza de 19,5%.
• 2.100 grupos de mensajes vinculados a contenido fraudulento fueron identificados.

Esas cifras provienen de un comunicado de prensa de la propia Serasa, republicado por la Folha de Pernambuco y por Convergência Digital. Como el dato es el mismo en los tres lugares, lo cuento como una sola fuente. Puedes ver el texto original en las fuentes al final.

Hay también un dato anterior de Serasa, divulgado por MobileTime el 18 de junio de 2026, que ayuda a poner el contexto. En el primer trimestre fueron cerca de 10.000 perfiles, páginas y aplicaciones falsos, un alza de 8,3%. Según el mismo relevamiento, el 51% de la población económicamente activa ya fue víctima de una estafa. Y los grupos de conversación usados en fraudes superaron los 2.000, con 19,7 millones de mensajes solo en los tres primeros meses del año.

Ahora una advertencia honesta, porque preferimos eso a vender miedo. El comunicado no describe la metodología y no trae un recorte por pequeñas empresas. O sea, no se puede afirmar "tantos por ciento de los pequeños negocios fueron afectados". Lo que sí se puede afirmar es el panorama: el volumen de estafas es enorme, crece y usa cada vez más páginas y anuncios que imitan a quienes existen de verdad.

¿Cómo funciona una estafa de marca clonada?

Una estafa de marca clonada suele seguir tres pasos: un anuncio o mensaje llama la atención, lleva a un perfil o página falsos y termina en un pedido de pago. Según Rodrigo Sanchez, director de Autenticación y Prevención de Fraudes de Serasa, un solo fraude puede recorrer todo ese camino.

Entender esa secuencia ayuda a encontrar el punto donde puedes interrumpir la estafa. Vamos por partes.

Paso 1: el anzuelo

Todo empieza con algo que hace que el cliente deje de deslizar la pantalla. Puede ser un anuncio con un precio demasiado bajo, un mensaje que dice que "tu pedido tuvo un problema", o una invitación a un grupo de ofertas. El anzuelo suele usar el nombre, el logotipo e incluso las fotos de productos de una empresa conocida en la región o en el nicho.

Los anuncios falsos son la mayor porción de los números de Serasa, con 62% del total identificado. Tiene sentido: un anuncio es barato de producir y llega a mucha gente rápido.

Paso 2: la página o el perfil falso

Quien hace clic no llega a tu sitio. Llega a una página parecida, con el mismo logotipo, los mismos colores y a veces textos copiados de tu sitio de verdad. O llega a un perfil de red social que se presenta como la "atención oficial" de tu marca.

Aquí pesa el dato de las páginas falsas: un alza de 107,1% en un año y más de 20 sitios fraudulentos nuevos por día. Hacer una página convincente dejó de dar trabajo.

Paso 3: el pedido de pago

Al final del camino llega el pedido: pagar un Pix para "asegurar la promoción", pagar una tarifa para "liberar la entrega", o confirmar los datos de la tarjeta. El dinero va a la cuenta del estafador, y el cliente descubre después que nunca le compró a tu empresa.

Lo que casi nadie considera es lo que viene a continuación. El cliente engañado no recuerda al estafador. Recuerda el nombre de tu marca. Es contra ella que va a reclamar.

Ejemplo hipotético: una tienda de alimento para mascotas de una ciudad mediana tiene buena fama en el barrio. Un estafador crea un perfil con el mismo nombre y la misma foto de portada, y anuncia alimento con un gran descuento "solo hoy". Quien paga por Pix nunca recibe nada. Días después, la tienda de verdad empieza a recibir mensajes furiosos de gente a la que nunca atendió.

¿Por qué importa esto para una pequeña empresa?

Para una pequeña empresa, el problema tiene dos caras: tu marca puede ser usada como anzuelo para engañar a clientes, y tú mismo puedes ser engañado al comprarle a un proveedor o a una tienda falsos. Son riesgos distintos, con defensas distintas, y vale la pena mirar los dos.

Cuando tu marca es el anzuelo

Las marcas pequeñas también se copian. A veces justamente porque tienen buena reputación local y poca vigilancia. El daño no es solo financiero. El cliente que perdió dinero en un perfil falso desconfía de ti, habla mal de tu empresa y, aun después de entender lo que pasó, vuelve con recelo.

Existe además el costo de tiempo. Quien atiende al público pasa a gastar horas explicando que "ese perfil no es nuestro", y eso le quita energía a lo que da ganancias.

Cuando tú eres la víctima

El otro lado se comenta menos. El dueño de una pequeña empresa compra muchas cosas por internet: embalajes, equipos, software, inventario. Los anuncios y las tiendas falsas también afectan a ese comprador, y un pago adelantado a un proveedor que no existe puede doler en la caja del mes.

Rodrigo Sanchez, de Serasa, recomienda que las empresas monitoreen el uso indebido de su propia marca en anuncios, perfiles, páginas y aplicaciones falsos. Es el primer lado de la cuenta. El segundo, el de comprar con cuidado, lo vemos más abajo.

¿Qué dice la investigación de Kaspersky sobre las pequeñas empresas?

Una investigación de Kaspersky entrevistó a 1.800 profesionales de TI y seguridad en 18 países, incluido Brasil, y 616 de ellos trabajan en pequeñas y medianas empresas. De esas, el 86% reportó al menos un incidente de seguridad en el último año, y el 14% dijo no haber tenido ninguno.

Una precaución importante: este no es un índice brasileño. Es una muestra internacional, con Brasil entre los países. Sirve para mostrar una tendencia, no para decir "86% de las empresas brasileñas". Aquí, nada de inventar un recorte que la investigación no hizo.

Lo que muestran los datos

Entre las empresas con menos de 500 empleados, la investigación trajo algunos números que ayudan a entender dónde está el riesgo:

• De quienes sufrieron el incidente más perjudicial, el 22% tuvo pérdida financiera.
• Los objetivos más comunes fueron los datos de clientes (32%), la información interna sensible (28%), las credenciales de empleados (25%) y la estrategia de negocio (23%).
• Los departamentos más afectados fueron TI (50%), seguridad de TI (46%) y contabilidad o finanzas (24%). En promedio, tres departamentos fueron comprometidos al mismo tiempo.
• Las pequeñas empresas sufrieron más ataques por canales de atención al cliente (21%) que las medianas (15%) y las grandes (17%).

En un comunicado anterior, del 12 de agosto, Kaspersky listó los caminos más usados contra las pequeñas empresas: phishing (20%), fallas en software (17%) y acceso remoto externo (16%). En el mismo material, el 75% de las empresas dijo haber aumentado el presupuesto de seguridad.

Qué cambia esto para ti

Dos puntos merecen atención. El primero: la atención al cliente es una puerta de entrada. Si un estafador se hace pasar por cliente, o se hace pasar por ti, el canal que usas para vender se convierte en el canal por donde llega el problema.

El segundo: los datos de clientes son el objetivo número uno. Esto conecta con la historia de la marca clonada. Quien tiene una lista de clientes, un WhatsApp comercial y un historial de compras tiene material valioso en las manos, y ese material puede usarse para armar estafas muy convincentes.

Ejemplo hipotético: un estafador que tenga acceso a la lista de clientes de una tienda de ropa puede enviar un mensaje citando el nombre de la persona y su última compra. El mensaje dice que hubo un error en el pago y pide un nuevo Pix. Como los datos coinciden, el cliente le cree.

¿Cómo saber si tu marca está siendo clonada?

Descubres un clon monitoreando, con una rutina simple, dónde aparece el nombre de tu empresa fuera de tus canales oficiales. Según Serasa, las empresas deben seguir el uso indebido de la marca en anuncios, perfiles, páginas y aplicaciones falsos. No necesitas una herramienta cara para empezar.

Una rutina de diez minutos por semana

Conviene fijar un horario, de preferencia el lunes, y hacer siempre la misma revisión. En nuestra experiencia, lo que mata el monitoreo es depender de acordarse cuando haya tiempo. Una cita en el calendario lo resuelve.

Una lista de verificación breve:

1. Busca el nombre de la empresa en Google, entre comillas, y mira los resultados más allá de la primera página.
2. Busca el nombre junto con palabras como "promoción", "oficial", "falso", "estafa" y "reclamo".
3. Busca el nombre en las redes sociales que usas y en las que no usas. El perfil falso aparece donde tú no estás.
4. Busca en Instagram, Facebook y TikTok variaciones del nombre, con una letra cambiada, un número en el medio o "oficial" al final.
5. Revisa la biblioteca de anuncios de las plataformas, cuando exista, buscando por el nombre de la marca.
6. Verifica si el dominio de tu sitio tiene versiones parecidas, con guion, otra terminación o una letra cambiada.
7. Lee los mensajes recientes de los clientes. Cuando alguien pregunta "¿ustedes me mandaron esto?", es una señal de alerta.

Tus clientes son tu mejor sensor

El monitoreo más rápido suele venir de quienes te compran. Facilita que el cliente avise: un botón en el sitio, un correo dedicado o una frase en el WhatsApp comercial que diga "si recibiste algo extraño en nuestro nombre, avísanos aquí".

Acuerda con el equipo de atención que cualquier reporte de este tipo es prioridad, y que todo reporte va a una sola persona, que guarda capturas y enlaces. Sin ese registro, después es difícil probar lo que pasó.

¿Qué hacer el día que descubras un clon?

Cuando encuentres un perfil, página o anuncio falso, el orden importa: registra las pruebas, denuncia ante la plataforma, avisa a tus clientes por los canales oficiales y después revisa tus defensas. Actuar rápido ayuda, pero actuar en el orden correcto evita perder las evidencias.

Primero, guarda las pruebas

Antes de denunciar, toma capturas de la pantalla completa. Anota la dirección (URL) exacta, el nombre del perfil, la fecha y la hora. Si el anuncio tiene un enlace, cópialo. Si hay conversaciones con clientes perjudicados, pide autorización para guardarlas también.

Esto importa porque, después de la denuncia, la página puede desaparecer. Sin pruebas, no tienes cómo mostrar lo que pasó a un abogado, a la policía o a la propia plataforma, en caso de que la primera respuesta sea negativa.

Segundo, denuncia en las plataformas

La mayoría de las plataformas tiene un formulario para denunciar un anuncio, perfil o página que suplanta a otra persona o empresa. Usa el canal oficial de cada una, envía las pruebas y, si tienes el registro de tu marca o un sitio oficial, menciónalo.

Sé específico. "Este perfil usa nuestro nombre y nuestro logotipo para pedir pagos" funciona mejor que "esto es una estafa". Y denuncia cada elemento por separado: el perfil, el anuncio y la página de destino.

En algunos casos la respuesta tarda. En esos momentos, insistir por el canal oficial y pedir ayuda a un abogado de propiedad intelectual o de derecho digital puede acelerar el proceso. No prometo un plazo, porque varía según la plataforma y el caso.

Tercero, avisa a tus clientes por los canales oficiales

Habla con tu público antes de que el rumor corra más rápido que tú. Publica un aviso corto en las redes que realmente usas, en el sitio y, si tienes una lista de contactos, por WhatsApp o correo.

Un buen aviso tiene cuatro partes:

• El hecho, sin dramatismo: "Identificamos un perfil que usa nuestro nombre y no es nuestro."
• Cómo reconocer el oficial: dirección del sitio, @ correcto de las redes, número de atención.
• Lo que nunca pedimos: por ejemplo, pago por un enlace enviado en un mensaje fuera del sitio oficial.
• Qué hacer: si pagaste, ponte en contacto y presenta una denuncia policial.

Evita culpar al cliente que cayó. Quien fue engañado ya se siente avergonzado. Un tono acogedor trae de vuelta a la persona y además deja claro que tu empresa no participó.

Cuarto, revisa tus defensas

Después del susto, pregúntate: ¿cómo consiguió el estafador el material para copiar? Si fue solo de tu sitio y tus redes públicas, no hay mucho que hacer más que monitorear. Pero si la estafa cita pedidos reales, nombres de clientes o montos correctos, puede haber habido una filtración de datos, y entonces el asunto es más serio.

En ese caso, cambia las contraseñas, activa la verificación en dos pasos donde aún no exista y revisa quién tiene acceso a tus sistemas. Si hay sospecha de filtración de datos personales de clientes, conviene conversar con un profesional que entienda de LGPD sobre los próximos pasos.

Ejemplo hipotético: una tienda en línea descubre una página clonada que usa su nombre y sus fotos. En lugar de solo denunciar, la dueña guarda las capturas, avisa a los clientes por correo y por Stories, y pone en el pie del sitio un aviso con la dirección oficial. Días después, los clientes que reciban el enlace falso ya saben cómo verificarlo.

¿Cómo no ser la víctima cuando le compras a proveedores?

Antes de pagarle a un proveedor nuevo, confirma que existe fuera del anuncio que viste: documentos, dirección, referencias y un canal de contacto independiente. La estafa de la tienda falsa solo funciona porque la prisa le gana a la verificación. Diez minutos de comprobación suelen costar menos que un Pix perdido.

Lista de verificación antes de pagarle a un proveedor nuevo

• Verifica el CNPJ en la consulta pública de la Receita Federal y comprueba que la razón social, la actividad y la dirección coincidan con lo que muestra el sitio.
• Desconfía de un precio muy por debajo del mercado, del "solo hoy" y de la presión para pagar de inmediato.
• Busca reclamos sobre el nombre y el CNPJ en sitios de reclamos y en el propio buscador.
• Mira la antigüedad del sitio. Un dominio muy reciente, con pocas páginas y sin dirección física, merece cautela.
• Llama a un número que hayas encontrado por tu cuenta, y no al que vino en el anuncio o en el mensaje.
• Confirma la cuenta de pago. El nombre del beneficiario debe coincidir con la razón social. Si el Pix va a una persona física sin relación con la empresa, detente.
• En la primera compra, paga menos por adelantado o prefiere medios con protección, como la tarjeta, si el proveedor la acepta.
• Pide referencias de otros clientes y, de preferencia, conversa con alguno de ellos.

Cuidado con el "proveedor que cambió de cuenta"

Este es un clásico que afecta a empresas de cualquier tamaño: llega un correo o un WhatsApp que dice que el proveedor de siempre cambió de cuenta bancaria y que el próximo pago debe ir a otra. El contacto parece el de siempre, pero es un estafador que copia el estilo del proveedor.

La regla de oro es simple. Un cambio de datos de pago solo vale con confirmación por un segundo canal, por ejemplo una llamada al teléfono que ya tenías guardado. Nadie debería modificar una cuenta de pago solo con base en un mensaje.

Ejemplo hipotético: el área de finanzas de una imprenta recibe un correo del "proveedor de papel" avisando que la cuenta cambió. El empleado llama al número antiguo, guardado en el registro, y descubre que el proveedor no envió ningún aviso. El pago no sale, y la estafa muere ahí.

¿Cómo proteger al equipo y la caja por dentro?

Buena parte de la defensa no depende de tecnología sofisticada: depende de hábitos. Kaspersky señala el phishing como el camino más usado contra las pequeñas empresas (20%), y el phishing se combate principalmente con gente atenta, contraseñas bien protegidas y una forma clara de confirmar los pedidos de dinero.

Verificación en dos pasos, en todo lo que importa

La verificación en dos pasos pide un segundo paso además de la contraseña, como un código en el celular. Aunque alguien descubra la contraseña, no entra sin ese segundo paso. Actívala en:

• el correo de la empresa, que suele ser la llave de todo lo demás;
• la banca en línea y las cuentas de pago;
• las redes sociales y las cuentas de anuncios;
• el panel del sitio, de la tienda virtual y del dominio;
• la aplicación de WhatsApp Business y otros canales de atención.

Si tienes que elegir por dónde empezar, empieza por el correo. Quien controla tu correo puede pedir el restablecimiento de contraseña de casi todo.

Capacitación corta y frecuente

La capacitación en seguridad no tiene que ser una charla de dos horas. Las conversaciones rápidas funcionan mejor. En nuestra experiencia, un ejemplo real de estafa, mostrado en cinco minutos en una reunión semanal, enseña más que un manual.

Algunos temas para repetir de vez en cuando:

1. Cómo reconocer un enlace sospechoso antes de hacer clic.
2. Por qué nunca enviar una contraseña o un código de verificación por mensaje, ni siquiera a "alguien de la empresa".
3. Qué hacer al recibir un pedido urgente de pago.
4. Cómo avisar cuando alguien hizo clic en algo extraño, sin miedo a un regaño.

Este último punto es más importante de lo que parece. Quien teme el castigo esconde el error, y la estafa crece en la oscuridad.

Una regla para el dinero: dos personas, dos canales

Define una regla simple para los pagos fuera de lo común, como un proveedor nuevo, un cambio de cuenta o un monto superior al habitual: una persona pide, otra aprueba, y la confirmación ocurre por un canal distinto del que trajo el pedido. Parece burocracia, pero es el tipo de freno que impide que un error se convierta en pérdida.

Atención especial a la atención al cliente

La investigación de Kaspersky mostró que las pequeñas empresas sufren más ataques por canales de atención (21%) que las medianas y grandes. Entonces piensa en quién responde a tus clientes y qué puede hacer esa persona.

Quien atiende debe tener acceso solo a lo que necesita, sin acceso total a los datos de todos los clientes. Y debe saber que nunca debe confirmar datos personales completos a quien llame o escriba sin validar antes su identidad.

¿Qué errores comunes dejan a la empresa más expuesta?

Los errores más comunes no son técnicos: son de hábito. La empresa que ignora su propio nombre en internet, tarda en avisar a los clientes o usa la misma contraseña en varios sistemas deja la puerta abierta. La buena noticia es que casi todos se corrigen sin gastar mucho.

Creer que "la empresa pequeña no es un objetivo"

Este es el error de partida. La investigación de Kaspersky muestra que el 86% de los pequeños y medianos negocios entrevistados tuvo al menos un incidente en el último año, y el volumen de estafas de Serasa muestra que el entorno es hostil para todos. Ser pequeño no protege, y la falta de vigilancia puede hasta ayudar al estafador.

Reaccionar solo después del perjuicio

Muchas empresas solo miran la seguridad cuando un cliente reclama. El problema es que, a esa altura, la estafa ya lleva días circulando. Una rutina corta de monitoreo cuesta poco y acorta el tiempo en que el clon permanece en línea.

No tener un canal oficial claro

Si el cliente no sabe cuál es tu perfil verdadero, tu sitio y tu número, no tiene cómo diferenciar el falso. Deja esa información siempre visible: en el sitio, en la bio de las redes, en la firma del correo y en las facturas, si tiene sentido.

Borrar las pruebas o responder por impulso

Con la rabia, es común que el dueño borre comentarios, bloquee el perfil falso o discuta públicamente. Eso destruye evidencias y puede empeorar la imagen. Primero registra todo y después actúa.

Compartir contraseñas y accesos

Una contraseña compartida por WhatsApp o en una planilla es un riesgo clásico. Kaspersky mostró que las credenciales de empleados están entre los datos buscados (25%). Cada persona debe tener su propio acceso, y quien sale de la empresa debe perder el acceso el mismo día.

Pagar demasiado rápido

Casi toda estafa depende de la prisa. "Última unidad", "tarifa urgente", "tu registro será cancelado": la urgencia existe para apagar tu sentido crítico. Desconfía de cualquier pedido que no acepte una confirmación de cinco minutos.

¿Qué están haciendo los reguladores?

En Brasil, la Autoridad Nacional de Protección de Datos (ANPD) abrió el 9 de septiembre una consulta pública para actualizar el reglamento de fiscalización y sanciones. Es un tema cercano a quienes manejan datos de clientes, y vale la pena seguirlo, aun sin entrar en los detalles jurídicos.

La consulta permanece abierta del 9 de septiembre al 26 de octubre de 2026, en la plataforma Brasil Participativo, y actualiza la Resolución CD/ANPD nº 1/2021. Una audiencia pública en línea está programada para el 24 de septiembre. Después, el texto pasa por la Superintendencia de Regulación y por la aprobación del Consejo Directivo.

La actualización se alinea con el ECA Digital, los Decretos 12.975/26 y 12.976/26 y la Ley 15.352/26, que transformó a la ANPD en agencia reguladora. ¿Qué significa esto en la práctica para ti? Que las reglas de cómo la autoridad fiscaliza y sanciona están siendo revisadas, y que cuidar bien los datos de los clientes tiende a ser cada vez más exigido. Para decisiones específicas, conviene hablar con un abogado.

Preguntas rápidas

¿Cuántos mensajes de estafa se identificaron en Brasil en el primer semestre de 2026?

Según Serasa Experian, se identificaron más de 50,7 millones de mensajes vinculados a estafas entre enero y junio de 2026, un promedio de 3,2 por segundo. El comunicado no detalla la metodología, así que conviene leer el número como un indicador de tendencia.

¿Mi pequeña empresa realmente puede tener la marca clonada?

Puede. El informe de Serasa no trae un recorte solo de pequeñas empresas, así que no se puede decir con qué frecuencia les ocurre. Pero la recomendación de Serasa es que las empresas en general monitoreen el uso indebido de la marca en anuncios, perfiles, páginas y aplicaciones falsos. Hacerlo cuesta poco.

¿Qué hago primero al encontrar un perfil falso con mi nombre?

Toma capturas de la pantalla y anota la dirección y la fecha. Después denuncia por el canal oficial de la plataforma y avisa a los clientes por tus canales oficiales. No borres nada ni discutas con el perfil falso antes de registrar las pruebas, porque pueden ser necesarias después.

¿Cómo sé si un proveedor nuevo es confiable?

Verifica el CNPJ, la antigüedad del sitio, los reclamos y si el nombre del beneficiario del Pix coincide con la razón social. Llama a un número que hayas encontrado tú mismo. Y desconfía de un precio muy bajo y de la presión para pagar de inmediato. En la primera compra, evita pagar todo por adelantado.

¿La investigación de Kaspersky vale para Brasil?

Solo en parte. Se entrevistó a 1.800 profesionales de 18 países, incluido Brasil, de los cuales 616 son de pequeñas y medianas empresas. El 86% con algún incidente en el último año es un dato internacional, no un índice brasileño. Sirve como señal de que el riesgo es común, pero no como medida exacta del mercado de aquí.

¿Qué es la verificación en dos pasos y por dónde empiezo?

Es un segundo paso además de la contraseña, como un código en el celular. Aunque alguien descubra la contraseña, no entra sin ese código. Empieza por el correo de la empresa, porque suele ser la llave para restablecer las contraseñas de casi todo. Después actívala en el banco, las redes sociales, el panel del sitio y WhatsApp Business.

Dónde entra Diglion

Diglion ayuda a pequeñas y medianas empresas a montar lo básico que describe este texto: una rutina de monitoreo de la marca, la organización de los canales oficiales para que el cliente sepa distinguir lo verdadero de lo falso, la activación de la verificación en dos pasos en los sistemas críticos y una guía escrita para actuar el día que aparezca un clon, con responsable, plazos y modelo de aviso a los clientes.

Fuentes consultadas

• Serasa Experian, A cada segundo, três mensagens de golpes foram identificadas no Brasil; volume superou 50 milhões no 1º semestre, consultado el 2026-09-15.
• Folha de Pernambuco, A cada segundo, três golpes foram identificados no Brasil, consultado el 2026-09-15.
• Kaspersky, Kaspersky unveils how the worst cyber incidents hit SMBs over the past year, consultado el 2026-09-15.
• Kaspersky, 86% of small and medium-sized businesses encountered cybersecurity incidents over the past year, consultado el 2026-09-15.
• ANPD, ANPD abre audiência e consulta pública para atualização do regulamento de fiscalização, consultado el 2026-09-15.