En Colombia, el phishing está alcanzando niveles alarmantes, convirtiéndose en un problema no solo para los usuarios, sino también para las empresas que manejan información pública sin las medidas de seguridad adecuadas. Este delito no discrimina sectores, pero aquellos con alto tráfico orgánico y datos transaccionales valiosos se han vuelto un blanco fácil. ¿Quién tiene la culpa? ¿Los ciberdelincuentes o las empresas por su falta de previsión?
Qué es el SEO Defensivo y Por Qué Es Vital
SEO defensivo es una estrategia que se centra en proteger la reputación, el tráfico y la seguridad de un sitio web frente a amenazas externas como el phishing, la competencia desleal o prácticas de SEO negativas (negative SEO).
En lugar de enfocarse únicamente en mejorar el posicionamiento, el SEO defensivo tiene como objetivo blindar el ecosistema digital de una marca. Esto incluye acciones para detectar y prevenir ataques cibernéticos, proteger el tráfico orgánico y asegurar que los usuarios lleguen a las plataformas legítimas de la empresa.
Caso real: Seguro Mundial, el blanco perfecto del phishing
Seguro Mundial, una reconocida empresa de seguros en Colombia, es un ejemplo claro de cómo el phishing puede afectar incluso a las marcas más establecidas. Con un tráfico orgánico de más de 355.000 usuarios al mes y palabras clave transaccionales como “seguros mundial pagos pse” y “comprar soat seguros mundial” liderando el mercado, se ha convertido en un objetivo atractivo para los estafadores.
Los ciberdelincuentes compraron un dominio similar, soatmundial.com.co, que logró posicionarse por encima del sitio oficial en palabras clave corta como “comprar un soat” que tiene un volumen de búsquedas de 74.000 usuarios al mes, esto le da un tráfico transicional de más de 22.000 visitas al mes. Atreves de anuncios en Google Ads como este:
Validado el tráfico en una plataforma de seguimiento nos damos cuenta de que hay potencial, quien tiene la primera posición es soat mundial y debe cuidar a sus usuarios reportando estos dominios.
La clave del éxito de los estafadores
- Fallas de seguridad técnica: Una API expuesta que permite consultar información sensible de clientes sin tokenización ni restricciones adecuadas.
- Negligencia en el monitoreo SEO: Nadie detectó que un dominio falso estaba capturando tanto tráfico como el sitio oficial.
- Ausencia de una estrategia defensiva: No se protegieron palabras clave estratégicas ni se tomaron medidas preventivas como el registro de dominios alternativos.
Uno de los errores más graves de Seguro Mundial o del ente competente fue exponer información crítica a través de su API pública, sin tokenización y mediante solicitudes GET fáciles de consumir. Esto permitió a los estafadores desarrollar su propia API, lo que incrementó la confianza de los usuarios engañados, ya que tienen su información y datos a pagar.
Los estafadores no solo robaron datos, sino también replicaron una experiencia de usuario optimizada para la acción: comprar el SOAT. Mientras el sitio oficial distraía al usuario con opciones diversas, el falso se enfocó exclusivamente en convertir visitas en “ventas” fraudulentas. Aplicaron UX y CRO.
Siguiendo la fórmula clásica para calcular la venta, Venta = Tráfico total x % de conversión x Ticket promedio, he calculado de esas 272.000 visitas que podrían estar generando más de 1.000 millones de pesos mensuales en estafas con una conversión baja como del 0,01% y un ticket medio de 400.000 COP. Llevan funcionando meses como hermanitos.
Quiero mostrar la interface que solo se centra en realizar la ación de comprar el SOAT.
Mientras la oficial en vender tranquilidad, a sus usuarios con un mensaje alentador “Al final se trata de darte tranquilidad”, ironías de la vida.
Lecciones y responsabilidad del área de TI
Aquí surge una pregunta ética y técnica: ¿De quién es la culpa? Aunque los delincuentes son responsables del delito, el departamento de TI de Seguro Mundial y del Tránsito, entidad compétete de proteger a los usuarios, podría haberse anticipado al problema.
La falta de:
- Tokenización y protección de APIs.
- Monitorización del ecosistema digital.
- Medidas preventivas como la compra de dominios potenciales para fraudes.
Es evidencia de una subestimación de las capacidades de los ciberdelincuentes. Esta “malicia indígena” tecnológica permitió que los datos de los clientes fueran utilizados con fines delictivos, generando pérdidas económicas y dañando la reputación de la empresa.
Cómo proteger tu negocio del phishing
Las empresas deben tomar medidas inmediatas para proteger a sus clientes y su marca:
- Auditar y proteger servicios públicos: Implementar tokenización y cifrado en APIs, evitando solicitudes GET que expongan datos sensibles.
- Monitorear dominios similares: Utilizar herramientas para identificar y reportar rápidamente sitios fraudulentos.
- Educación constante: Capacitar al área de TI en seguridad informática y mejores prácticas en desarrollo web.
- Invertir en SEO defensivo: Monitorear y optimizar el posicionamiento de palabras clave transaccionales críticas para la marca.
Principales acciones del SEO defensivo:
- Monitoreo constante de la competencia y del entorno digital:
Identificar dominios similares, páginas clonadas o contenidos que intenten imitar la marca para confundir a los usuarios. - Protección de palabras clave estratégicas:
Evitar que ciberdelincuentes se posicionen con palabras clave de alto valor como “comprar [producto]” o “pago [servicio]”, que podrían redirigir tráfico a sitios fraudulentos. - Registro de dominios relacionados:
Comprar variantes del dominio oficial para evitar que terceros los utilicen con fines maliciosos, como por ejemplo errores tipográficos o extensiones alternativas.- segurosmundial.co
- segurosmundial.com.co
- soatmundial.com.co
- comprarsegurosmundial.com
- soat-mundial.com
- Denuncia de contenido fraudulento:
Reportar a Google y a otras plataformas los dominios o contenidos que infrinjan la propiedad intelectual o que sean sospechosos de estafa. - Implementación de seguridad técnica:
- Uso de certificados SSL/TLS para proteger la información de los usuarios.
- Monitoreo y optimización de las APIs públicas para evitar exposiciones innecesarias.
- Uso de tokens y autenticaciones seguras.
- Análisis del perfil de enlaces:
Identificar y desautorizar (disavow) enlaces tóxicos que puedan dañar el posicionamiento o la reputación del sitio. - Mejora continua de la experiencia de usuario (UX):
Ofrecer un diseño claro, enfocado en las necesidades del cliente, para minimizar la confusión con sitios falsos que suelen ser más directos y engañosos.
Reflexión final
Colombia es el paraíso del phishing porque muchos negocios no implementan estrategias defensivas robustas. El caso de Seguros Mundial nos enseña que ignorar las brechas de seguridad y los riesgos en SEO puede costar millones, además de la pérdida de confianza de los usuarios.
Proteger tu marca empieza con anticiparse a los riesgos: monitoreo constante, registro de dominios estratégicos, optimización técnica y una sólida estrategia de SEO defensivo.
¿Tu empresa está preparada para enfrentar estas amenazas? Si tienes dudas, es momento de actuar antes de que sea demasiado tarde. El phishing no espera, y tú tampoco deberías.
