Available in USContenido
8.675 personas. No son números abstractos – son apostantes como tú o como yo a quienes les robaron datos personales y bancarios en 2024 a través de plataformas de juego falsas. Mikel Arana, Director General de la DGOJ, puso cifra a un problema que todo el sector conoce pero pocos cuantifican. Cuando apuestas online, tu dinero no es lo único que está en juego: tus datos lo están también.
He dedicado una parte considerable de mis seis años como analista a verificar plataformas. No porque sea mi trabajo directo, sino porque he visto a compañeros caer en estafas que eran evitables con cinco minutos de verificación. El phishing en apuestas tiene características propias que lo hacen especialmente peligroso, y entenderlas es tan importante como entender las cuotas.
8.675 víctimas en 2024: la magnitud del phishing en el juego
La cifra que dio Arana no distingue entre tipos de ataque, pero mi experiencia siguiendo estos casos me permite identificar tres vectores principales. El primero son las webs clonadas: páginas que replican el diseño de un operador autorizado con un dominio ligeramente diferente. Un apostante que busca «apuestas LaLiga» en un buscador puede acabar en una de estas páginas sin darse cuenta, introducir sus datos de acceso y entregarlos directamente a los estafadores.
El segundo vector son los correos electrónicos y SMS fraudulentos. Mensajes que imitan la comunicación oficial de un operador e incluyen enlaces a páginas falsas de verificación de cuenta o de «bonos exclusivos». El tercer vector son las aplicaciones no oficiales: apps que se distribuyen fuera de las tiendas autorizadas y que contienen software malicioso capaz de capturar credenciales bancarias.
En 2024 se cerraron 13 páginas de apuestas no autorizadas, elevando a 2.633 el total de sitios clausurados en los últimos siete años. Cada uno de esos sitios representaba un riesgo de phishing activo durante el tiempo que estuvo online. La velocidad a la que se crean nuevos sitios fraudulentos supera con creces la capacidad de cierre del regulador, lo que significa que la primera línea de defensa siempre será el propio apostante.
Cómo operan las estafas en plataformas de apuestas
El patrón más sofisticado que he documentado funciona en tres fases. En la primera fase, el estafador crea una presencia online que parece legítima: web con diseño profesional, presencia en redes sociales con contenido de análisis deportivo, y a veces incluso patrocinios menores de creadores de contenido que promocionan la plataforma sin saber que es fraudulenta.
En la segunda fase, la plataforma ofrece bonos de bienvenida exagerados – significativamente superiores a los que ofrece cualquier operador legal. Bonificaciones del 200% o 300% en el primer depósito son señales de alerta inequívocas. Los operadores con licencia DGOJ están sujetos a regulaciones estrictas sobre la cuantía y las condiciones de los bonos, y no pueden ofrecer cantidades que no se ajusten a la normativa.
En la tercera fase, una vez que el apostante ha introducido sus datos bancarios y realizado un depósito, la estafa se materializa. En algunos casos, el dinero depositado simplemente desaparece. En otros, más elaborados, la plataforma permite apostar durante unas semanas para generar confianza antes de bloquear la cuenta cuando el usuario intenta retirar sus ganancias. Y en los casos más graves, los datos bancarios capturados se utilizan para realizar cargos fraudulentos.
Medidas de protección: verificar licencia, seguridad y alertas
Después de ver demasiados casos, he desarrollado un protocolo de verificación que aplico a rajatabla y que comparto siempre que puedo. No es complicado, no requiere conocimientos técnicos, y lleva menos de cinco minutos.
Primer paso: verifica la licencia DGOJ. Accede al registro oficial de operadores autorizados y busca el nombre exacto de la plataforma. Si no aparece, no deposites un céntimo. En España operan 77 operadores con licencia general y 64 con licencia singular activa – si la plataforma no está entre ellos, es ilegal.
Segundo paso: comprueba el dominio web. Los operadores autorizados suelen usar dominios .es, aunque no es obligatorio. Lo que sí es obligatorio es que el dominio coincida exactamente con el registrado ante la DGOJ. Un dominio con caracteres añadidos, guiones extra o extensiones inusuales es sospechoso. Verifica también que la conexión sea HTTPS – el candado en la barra del navegador – y que el certificado de seguridad sea válido.
Tercer paso: desconfía de los bonos excesivos. Si un operador ofrece un bono que parece demasiado bueno, probablemente lo sea. Los operadores con licencia están regulados en las condiciones de sus promociones, y los márgenes del negocio no permiten regalar dinero sin condiciones estrictas de rollover.
Cuarto paso: descarga las apps solo desde tiendas oficiales. Las aplicaciones de apuestas autorizadas están disponibles en las tiendas de aplicaciones principales o directamente desde la web oficial del operador. Nunca instales una app de apuestas desde un enlace recibido por correo, mensaje o redes sociales. Ese enlace puede contener malware diseñado para capturar tus credenciales.
Quinto paso: activa las alertas bancarias. Configura tu banco para recibir notificaciones en tiempo real de cada cargo en tu tarjeta. Si detectas un cargo que no reconoces, bloquea la tarjeta inmediatamente y contacta con tu entidad bancaria. La rapidez de reacción es determinante para limitar el daño de un posible robo de datos. Apostar en un entorno regulado y seguro es la base sobre la que se construye cualquier estrategia de apuestas al ganador de LaLiga.
¿Cómo sé si una web de apuestas es legítima y no una estafa de phishing?
Verifica que la plataforma aparece en el registro oficial de operadores autorizados de la DGOJ. Comprueba que el dominio web coincide exactamente con el registrado, que la conexión es HTTPS y que el certificado de seguridad es válido. Desconfía de bonos de bienvenida excesivos y de plataformas que no muestran el logo del regulador. Si tienes dudas, no deposites dinero hasta haber completado la verificación.
¿Qué hacer si he dado mis datos en una plataforma de apuestas fraudulenta?
Actúa con urgencia. Primero, cambia inmediatamente las contraseñas de todas las cuentas que compartan la misma clave, especialmente la del banco y el correo electrónico. Segundo, contacta con tu entidad bancaria para bloquear la tarjeta asociada y reportar posibles cargos fraudulentos. Tercero, presenta denuncia ante la policía y ante la DGOJ para que la plataforma sea investigada. Cuarto, activa la verificación en dos pasos en todas tus cuentas financieras.
