Detecta ofertas falsas de marcas y embajadores verificando al remitente por vías independientes y comprobando la seguridad del contrato, el pago, los enlaces y los archivos adjuntos.
Si una colaboración con una marca te parece sospechosa, verifícala por un canal que hayas encontrado de forma independiente, no mediante un enlace, número o contacto incluido en el mensaje. Examina el dominio completo del remitente y desconfía de la urgencia, los pagos por adelantado, las solicitudes de tarjetas regalo o criptomonedas, las peticiones de contraseñas o códigos de verificación, las descargas desconocidas y las promesas de ingresos elevados sin contrato. Hasta completar la verificación, no hagas clic, abras archivos adjuntos, pagues ni compartas datos.
Los estafadores no suplantan únicamente a empresas pequeñas o desconocidas. Pueden copiar el logotipo, la fotografía de un empleado, el lenguaje de la campaña y un dominio parecido al de una empresa conocida. También pueden escribirte desde una cuenta auténtica de redes sociales que haya sido pirateada. Por tanto, una insignia de verificación, un diseño cuidado o un saludo personalizado no son pruebas suficientes por sí solos.
La Federal Trade Commission de Estados Unidos advierte específicamente a los creadores sobre falsas ofertas de «responsable de embajadores de marca» que utilizan una marca reconocida, productos gratuitos y pagos elevados para obtener datos personales o bancarios. Su recomendación principal es investigar la oferta y contactar con la empresa mediante información cuya legitimidad conozcas por una vía independiente.
Señales de alerta habituales
| Señal | Por qué es arriesgada | Respuesta más segura |
|---|---|---|
| El nombre visible corresponde a una marca, pero la dirección completa utiliza un servicio de correo gratuito o un dominio parecido | Es fácil copiar los nombres visibles | Revisa cada carácter y verifica la información en el sitio web oficial de la marca |
| «Responde hoy o perderás la oportunidad» | Impide investigar | Pide tiempo y no avances hasta completar una verificación independiente |
| Tienes que pagar primero el envío, un seguro, una cuota de afiliación o de activación | Normalmente, un creador no debería pagar para recibir un trabajo | No pagues nada y consulta a la empresa por su canal oficial |
| Tarjeta regalo, criptomonedas, transferencia bancaria o devolución de parte de un cheque | Es habitual en estafas con pagos irreversibles y cheques falsos | Termina la conversación y conserva las pruebas |
| Te piden una contraseña, un código de recuperación, un código de autenticación de dos factores o que apruebes un inicio de sesión | Puede ser un intento de tomar el control de tu cuenta | Nunca compartas secretos de autenticación con un colaborador |
| Archivo comprimido protegido con contraseña, ejecutable, documento con macros o aplicación desconocida | Puede contener malware o robar una sesión | No lo abras; pide una página verificada o un PDF estándar |
| Ingresos extraordinarios, pero sin trabajo definido | La emoción sustituye los detalles comerciales | Pide por escrito los entregables, los derechos, las revisiones y el calendario de pagos |
| Te piden pasar de inmediato a un chat fuera de la plataforma | Puede servir para eludir los registros y los controles | Verifica la oferta mediante el correo corporativo y un canal oficial |
Una sola señal de alerta no siempre demuestra que sea una estafa. Por ejemplo, una empresa muy pequeña podría usar un servicio de correo gratuito. Sin embargo, varias señales deberían hacerte aumentar la cautela, y conviene rechazar cualquier oferta que no se pueda verificar por una vía independiente. El temor a perder una oportunidad es menos importante que proteger tu cuenta y tu dinero.
1. Comprueba el remitente completo, no solo el nombre visible
Que en pantalla aparezca «GlobalBrand Partnerships» no significa que el mensaje lo haya enviado GlobalBrand. Lee la dirección completa después del símbolo @. Busca letras sustituidas, un guion adicional, una extensión inusual o una dirección larga diseñada para colocar el nombre real de la marca delante del dominio de otra persona. En brand.example-security.com, el dominio que controla la dirección es example-security.com; que «brand» aparezca al principio no demuestra nada.
Google recomienda comprobar si coinciden el nombre y la dirección del remitente, pasar el cursor por encima de los enlaces para comparar las URL visibles con las de destino y prestar atención a las advertencias sobre mensajes sospechosos. Aun así, un dominio corporativo no constituye una prueba definitiva, porque un buzón auténtico puede haber sido pirateado. Escribe tú mismo en el navegador la dirección del sitio web conocido de la marca y utiliza los datos de contacto publicados allí.
2. Verifica la oferta mediante un canal independiente de la marca
No utilices el número de teléfono, el enlace ni la supuesta página del responsable que aparezcan en el mensaje. Los anuncios de búsqueda y los resultados clonados también pueden inducir a error; es preferible usar un sitio oficial conocido o un perfil verificado de la empresa. Basta con enviar un mensaje breve:
«He recibido una oferta para [campaign] de [name/address]. Estoy verificando de forma independiente a la persona y la campaña antes de abrir ningún enlace».
Si la empresa dice que no ha enviado la oferta, no sigas adelante. Si nadie responde, la oferta sigue sin estar verificada. Si participa una agencia, confirma la relación de la agencia con la marca o verifica al empleado a través de un canal corporativo de la agencia que hayas encontrado de forma independiente.
3. Pide detalles concretos del trabajo
Una oferta legítima es más que un elogio y una cifra de pago. Debería ser posible definir:
- El objetivo de la campaña, la marca y el producto.
- El número y el formato de los entregables.
- El canal de publicación y el calendario.
- El límite de revisiones y el proceso de aprobación.
- La reutilización orgánica, los derechos para medios de pago, la duración y el territorio.
- La exclusividad por categoría.
- Los honorarios, la factura o el comprobante de pago, la moneda y el calendario.
- La obligación de incluir una mención publicitaria y la persona de contacto responsable.
- Las condiciones de cancelación, demora y resolución de conflictos.
Estos detalles no demuestran automáticamente que la oferta sea legítima, pero pedir datos personales o bancarios antes de definir el alcance es muy arriesgado. Consulta nuestra guía para elaborar briefs de colaboraciones con marcas para definir el alcance y nuestra guía sobre pagos seguros e impuestos para entender el proceso de pago.
4. Trata los enlaces y los archivos adjuntos como una decisión de seguridad independiente
Un archivo llamado «brief», «visor de media kit», «códec de vídeo», «recursos de marca» o «contrato» puede ser malicioso, aunque el mensaje parezca convincente. No ejecutes archivos, instales extensiones de navegador desconocidas, habilites macros en documentos ni abras archivos comprimidos protegidos con contraseña de un remitente sin verificar. Cierra cualquier página que te pida iniciar sesión en una red social solo para leer un contrato.
Pide un formato más seguro: una página en el dominio corporativo verificado, un PDF estándar o una plataforma de contratos reconocida. Incluso una página auténtica de documentos en la nube puede contener un enlace externo malicioso. No intentes resolver tus dudas pidiendo a un compañero que haga clic; envía la URL como texto o una captura de pantalla a la persona responsable de seguridad.
5. Rechaza las modalidades de pago que invierten el sentido de la colaboración
En una colaboración, el creador realiza el trabajo acordado y recibe el pago conforme a un contrato. Detente si la supuesta marca te pide pagar primero por la «gestión del envío», una «afiliación de embajador», un producto con descuento, la activación fiscal o un seguro. En una estafa con cheques falsos, podrían enviarte un importe excesivo y pedirte que transfieras la diferencia; el banco puede mostrar fondos provisionales antes de rechazar el cheque más adelante.
La FTC afirma que un posible empleador honesto no te enviará un cheque para pedirte después que devuelvas parte del importe o compres tarjetas regalo. Las obligaciones fiscales y de facturación reales no se cumplen enviando dinero de activación a un monedero personal.
6. Nunca aceptes que acceder a tu cuenta sea una condición de la colaboración
Una marca puede pedir estadísticas agregadas de Insights; no necesita tu contraseña. Comparte una captura de pantalla fechada, utiliza una herramienta oficial para colaboraciones o concede un acceso cuyo alcance esté debidamente limitado. Nunca compartas una contraseña, un código SMS, un código de autenticación, un código de recuperación, un enlace de recuperación ni una aprobación desde tu dispositivo.
Meta indica que Instagram no envía mensajes directos dentro de la aplicación sobre problemas con la cuenta y permite consultar en los ajustes los correos oficiales de Instagram de los últimos 14 días. Si una «campaña de marca» te dice que tienes que resolver un problema de derechos de autor, abre los ajustes de la plataforma por tu cuenta en lugar de seguir el enlace.
7. Aplica siempre la misma puntuación de riesgo
Esta puntuación no demuestra legalmente que exista una estafa; ayuda a los creadores y a sus equipos a tomar decisiones coherentes.
| Comprobación | 0 puntos | 1 punto | 3 puntos |
|---|---|---|---|
| Remitente | Verificado por un canal oficial | Agencia o dominio aún sin verificar | Dominio parecido o identidad contradictoria |
| Presión | Plazo razonable para revisar | Urgencia innecesaria | Amenaza o exigencia de actuar de inmediato |
| Dinero | Pago acordado por contrato a tu favor | Calendario poco claro | Cuota por adelantado, tarjeta regalo, criptomonedas o transferencia de devolución |
| Acceso | No te piden la contraseña | Solicitud excesiva de datos | Contraseña, código 2FA o enlace de inicio de sesión |
| Archivo | Documento estándar verificado | Enlace desconocido a la nube | Ejecutable, archivo cifrado o extensión |
- 0–2: Continúa solo después de revisar el alcance y el contrato.
- 3–5: Detente y verifica la marca de forma independiente.
- 6+ o cualquier elemento crítico con 3 puntos: No hagas clic, pagues ni compartas datos; rechaza la oferta y denúnciala.
Una puntuación baja no es una garantía, sobre todo si la marca todavía no ha confirmado la propuesta.
Mide tu proceso de seguridad
| Indicador mensual | Cálculo | Objetivo |
|---|---|---|
| Tasa de verificación independiente | Ofertas confirmadas de forma independiente / ofertas que han avanzado | Reducir las decisiones precipitadas |
| Tasa de detención antes de una pérdida | Ofertas sospechosas detenidas antes de compartir datos o pagar / ofertas sospechosas | Comprobar si los controles se activan a tiempo |
| Tiempo hasta la notificación de un incidente | Desde la primera sospecha hasta la notificación a la plataforma o autoridad | Mejorar el proceso de respuesta |
| Cobertura de la autenticación de dos factores | Cuentas críticas con 2FA / total de cuentas críticas | Reducir el impacto de la toma de control de cuentas |
| Integridad de las pruebas | Incidentes con cabeceras, remitente, URL, fecha y captura conservados / total de incidentes | Mejorar la calidad de las denuncias |
Cada mes, añade a una lista de advertencias para el equipo ejemplos anonimizados de dominios, tipos de archivo y lenguaje de presión. No difundas datos personales ni compartas URL maliciosas como enlaces en los que se pueda hacer clic.
Lista de comprobación de diez puntos
- He comprobado la dirección de correo y el dominio completos, no solo el nombre visible.
- He contactado con la marca sin utilizar el enlace del mensaje.
- Un canal corporativo independiente ha confirmado a la persona y la campaña.
- Los entregables, los derechos, las revisiones y el pago constan por escrito.
- No hay cuotas por adelantado, tarjetas regalo, criptomonedas ni transferencias de devolución.
- No he compartido contraseñas, códigos 2FA, códigos de recuperación ni aprobado accesos desde un dispositivo.
- No he abierto archivos adjuntos, extensiones ni páginas de inicio de sesión desconocidos.
- La entidad contratante y la entidad pagadora son coherentes.
- El brief especifica quién es responsable de la mención publicitaria.
- Conservo la correspondencia, las cabeceras, el contrato y los registros de verificación.
¿Qué pasa si ya has hecho clic?
Cierra la página, no ejecutes ningún archivo descargado y revisa las sesiones activas en la seguridad de la cuenta, aunque no hayas introducido ninguna contraseña. Si has facilitado una contraseña o un código, cámbiala desde un dispositivo de confianza, cierra las demás sesiones, restablece la autenticación de dos factores y cambia también la contraseña de cualquier otra cuenta en la que la hayas reutilizado. Protege primero tu correo electrónico, ya que suele ser la clave para recuperar las cuentas de redes sociales.
Si has facilitado dinero o datos bancarios, contacta cuanto antes con tu banco usando su número oficial. Antes de borrar nada, conserva capturas de pantalla, la dirección completa del remitente, la URL, la fecha y la hora, y los datos del pago; denuncia la cuenta en la plataforma. Si has sufrido una pérdida concreta en Türkiye, sigue los procedimientos vigentes publicados por el Departamento de Ciberdelincuencia de la Policía Nacional Turca y las autoridades competentes. Estos pasos generales no sustituyen el asesoramiento jurídico o forense específico para cada incidente.
Nota legal y ética
Acusar públicamente a una persona o empresa antes de verificar los hechos puede perjudicar a un empleado inocente o al propietario de una cuenta comprometida. Conserva las pruebas, informa a la marca por un canal independiente y presenta una denuncia ante la plataforma o la autoridad competente. No publiques datos de identificación, información bancaria ni datos personales incluidos en un contrato. Aunque la oferta sea legítima, la relación comercial sigue requiriendo una comunicación transparente; nuestra guía de agosto de 2026 sobre identificación de anuncios de influencers explica las comprobaciones vigentes antes de publicar.
Preguntas frecuentes
¿Un correo corporativo demuestra que la oferta es auténtica?
No. Un dominio parecido puede tener aspecto corporativo y un buzón auténtico puede haber sido pirateado. Confirma la oferta por separado mediante un canal oficial de la empresa.
La marca quiere que pague primero el envío. ¿Es normal?
Considéralo una señal de alerta grave. Nunca envíes dinero a una cuenta personal, una tarjeta regalo o una dirección de criptomonedas, ni pagues una cuota de «activación» antes de realizar una verificación independiente.
¿Es seguro enviar un media kit?
Puedes compartir un correo electrónico profesional público y datos agregados de rendimiento. En la fase inicial, no envíes tu dirección particular, documentos de identidad, contraseñas, códigos 2FA ni datos bancarios que no sean necesarios.
Fuentes
- FTC Consumer Advice — Influencers: Spot a Job Scam
- Centro de ayuda de Instagram — Cómo evitar estafas en Instagram
- Ayuda de Google — Cómo evitar y denunciar correos de phishing
- Policía Nacional Turca — Preguntas frecuentes sobre ciberdelincuencia
Crea tu cuenta de creador y descubre campañas de marca verificables con un proceso más seguro.