Webs clonadas, phishing y suplantación de identidad en el juego online
Una web clonada copia el nombre, los colores y hasta los textos legales de un casino con licencia, pero vive en otro dominio y existe para quedarse con tres cosas: el usuario y la contraseña, los datos de la tarjeta o un depósito que nunca llega a ninguna cuenta de juego. Nuestra guía explica cómo llegan, cómo se reconocen y qué herramientas tiene la DGOJ para quien sufre una «suplantación de identidad».
Cómo llegan
El camino más corto es un mensaje (un SMS, un correo, un aviso en una red social) con un «bono exclusivo», una cuenta «bloqueada» o un premio pendiente, y un enlace que lleva a una página de acceso igual a la de la marca. Otras veces la copia aparece en un anuncio o en los primeros resultados de un buscador, con un dominio que se parece al real y cambia una letra o la «terminación».
La regla que aplicamos nosotros es simple: a la web de un casino se entra escribiendo la dirección o desde un favorito guardado, nunca desde el enlace de un mensaje, y un operador con licencia no pide la contraseña por correo ni por teléfono. ¡El enlace del mensaje es justo lo que hay que evitar!
Cómo se reconoce una copia
El dominio es la prueba que decide: las webs con licencia española trabajan con terminación «.es», y la ficha de cada operador en el registro de la DGOJ dice qué dominios tiene autorizados, y una dirección ausente de esa lista no es la marca. El candado del navegador no sirve como prueba (solo dice que la conexión está cifrada, también con un estafador al otro lado), y tampoco lo es un sello copiado en el pie de la página.
Hay otras señales que conviene mirar, aunque ninguna basta sola: una caja que solo admite criptomonedas o transferencias a un particular, una oferta muy por encima de la publicada en la web oficial y una «prisa» que no deja tiempo para pensar. Ante la duda, lo que nosotros hacemos es abrir la web oficial en otra pestaña y comprobar en la propia cuenta si el bono existe. Nosotros lo comprobamos así con cada marca de nuestra lista antes de enlazarla.
La suplantación de identidad
Con los datos robados se abren cuentas de juego a nombre de otra persona, y el problema es mayor de lo que parece: en 2024 se registraron 7.712 denuncias de suplantación en el juego online (más de veinte al día), según el Ministerio de Consumo, que publicó la cifra por primera vez en febrero de 2025. El servicio «Phishing Alert» de la DGOJ permite inscribirse para recibir avisos de actividad sospechosa con los propios datos, y la ficha del registro indica qué operadores están adheridos (Betway Spain y WHG Ceuta, entre las sociedades de nuestra lista).
Desde el 21 de octubre de 2026, el «Portal del Jugador» de la DGOJ, al que se entra con Cl@ve, muestra además las cuentas de juego vinculadas a una identidad, aunque la persona no juegue, y es la forma más rápida de descubrir una «cuenta fantasma». Les recomendamos mirarlo una vez, aunque no jueguen nunca; cuesta un minuto y no tiene coste.
La DGOJ recomienda pedir una referencia del «protocolo PACS» por correo (dgoj.pacs@ordenacionjuego.gob.es), denunciar ante la Policía Nacional, pedir al operador un certificado de actividad y el cierre de la cuenta (o descargar un informe de transacciones en la sede de la DGOJ) y enviar la documentación a la Policía y a la Agencia Tributaria.
Si ya han introducido datos
Lo urgente es cambiar la contraseña en la web oficial, llamar al banco para bloquear la tarjeta si se escribió en la copia y guardar el mensaje y la dirección de la página falsa; conviene también avisar a la marca suplantada por el canal oficial, porque la copia suele seguir activa. Para dudas de seguridad, la Línea de Ayuda en Ciberseguridad de INCIBE (el 017) es gratuita y confidencial, y la denuncia se presenta ante la Policía Nacional o la Guardia Civil.
El resto de las familias de estafas, con la comprobación que sirve para todas, está en nuestra guía de estafas en el juego online. Si ustedes reciben un mensaje dudoso en nombre de una marca, lo prudente es no contestar y comprobar la oferta desde la web oficial (escribiendo la dirección a mano).
Preguntas frecuentes
¿Cómo sé si la web de un casino es una copia?
Comprobando el dominio: las webs con licencia española usan terminación «.es», y la ficha del operador en el registro de la DGOJ dice qué dominios tiene autorizados. El candado del navegador no es una prueba.
¿Qué hago si alguien ha abierto una cuenta de juego con mis datos?
Pedir una referencia del protocolo PACS a la DGOJ, denunciar ante la Policía Nacional, pedir al operador un certificado de actividad y el cierre de la cuenta, y enviar la documentación a la Policía y a la Agencia Tributaria.
¿Qué es Phishing Alert de la DGOJ?
Un servicio de la DGOJ para recibir avisos si la propia identidad se usa en el juego online; la ficha de cada operador en el registro indica si está adherido.