Primer cobren l'anunci i després arriba la denúncia
"La identitat digital d'una empresa, el seu domini, el seu contingut, la seva reputació acumulada no està protegida com a bé jurídic amb la contundència que mereix"
Les plataformes socials han passat a ser la infraestructura més eficient que té el frau digital. I ho saben.
Hi ha una estafa que funciona exactament igual que un negoci legítim. Té web, té fotos de producte, té ressenyes, té atenció al client, compte!, a vegades fins i tot millor que les originals.
Té, fins i tot, anuncis pagats a Google, a Instagram, a X. Apareix abans que l'empresa real quan algú busca el seu nom al cercador. Accepta targeta de crèdit. Envia confirmació de comanda. I després, simplement, no lliura res.
No és una falsificació de producte, no hi ha cap fàbrica a Shenzhen produint còpies de segona. El que es falsifica és l'empresa sencera: el seu domini, la seva identitat visual, el seu catàleg, el seu llenguatge, la seva reputació construïda durant anys. Un clon digital que opera durant setmanes o mesos abans que algú el detecti, recapta el que pot i desapareix. O no desapareix, canvia de domini, replica de nou i torna a començar.
És un model de negoci. Té operadors, té processos, té marges. I té, a més, una cosa que cap negoci il·lícit havia tingut abans amb tanta facilitat, accés a la infraestructura publicitària de les empreses tecnològiques més grans del món.
El problema no és tècnic. És d'incentius. Quan un operador fraudulent obre un compte a Google Ads, accepta unes condicions d'ús que prohibeixen expressament la suplantació d'identitat, el frau i la publicitat enganyosa. El mateix a Meta. El mateix a X. Les polítiques existeixen. Els mecanismes de verificació, molt menys.
Verificar té un cost, i aquest cost no el paga la plataforma, el paga l'empresa legítima que un dia descobreix que algú està licitant per les seves pròpies paraules clau i fins i tot la seva pròpia marca, amb el seu propi contingut replicat i una targeta de crèdit de prepagament carregada amb diners de víctimes anteriors.
Google té capacitat tècnica per detectar que un domini registrat fa tres setmanes està licitant per termes de marca d'una empresa amb 10 anys d'historial en línia, replicant el seu contingut íntegre i dirigint trànsit a una pàgina sense certificacions de comerç electrònic verificables. Aquesta capacitat no és hipotètica, és exactament el tipus de senyal que els seus propis sistemes de qualitat d'anuncis afirmen monitorar.
El que passa és que l'anunci s'aprova. Es serveix. Es cobra. I quan arriba la denúncia, la plataforma activa el seu protocol de resposta: formulari de report d'infracció, termini de revisió de diversos dies hàbils, resolució que en ocasions dóna la raó al denunciant quan el dany ja està fet i l'operador ja ha cobrat prou per desaparèixer.
No és un error del sistema. És el sistema. El que el Digital Services Act va prometre i el que passa en la pràctica.
La regulació europea va arribar amb promeses serioses. El Digital Services Act obliga els grans intermediaris digitals a implementar mecanismes de diligència deguda, sistemes de notificació i acció àgils, i més transparència en els sistemes publicitaris. Sobre el paper, és exactament el marc que aquest tipus de frau necessitava per deixar de prosperar amb tanta impunitat.
En la pràctica, la distància entre el text de la norma i l'experiència quotidiana d'una empresa que ha estat suplantada continua sent descoratjadora. Els terminis de resposta no estan sincronitzats amb la velocitat del dany. Els mecanismes de verificació d'anunciants no han canviat de manera substancial. I la responsabilitat efectiva de les plataformes continua sent, en la majoria dels casos, més declarativa que real.
Mentrestant, el consumidor estafat associa la mala experiència a la marca legítima. Perquè era el seu logo. Era la seva web. Era el seu nom a l'assumpte del correu de confirmació.
Caçar el fantasma, sí, això és el que solem fer, hi ha una altra dimensió d'aquest problema que gairebé mai apareix en el debat públic, la dificultat real d'identificar qui o qui són darrere.
Els operadors d'aquests esquemes no són aficionats que actuen per impuls. Usen infraestructures dissenyades per a l'opacitat, dominis registrats amb identitats falses o a través de serveis de privacitat, servidors en jurisdiccions amb cooperació judicial limitada, comptes publicitàries creades amb dades robades de tercers. La façana és impecable. El rastre, deliberadament fosc.
Però sempre hi ha rastre. Els patrons d'infraestructura es repeteixen. Els registres històrics de domini conserven informació. Les campanyes publicitàries deixen empremtes en bases de dades públiques. Les metadades parlen quan se sap escoltar-les.
El problema és que aquesta feina, que combina anàlisi forense digital, OSINT i investigació patrimonial requereix temps, metodologia i coordinació entre pèrits i detectius especialitzats en ciberinvestigació. I la majoria de les empreses arriben al cas quan el dany ja és visible, no abans. Quan els correus de reclamació comencen a arribar. Quan la primera ressenya negativa apareix sense explicació. Quan l'equip financer nota ingressos que no quadren amb el trànsit real.
El model reactiu té sempre un cost més gran que el preventiu. Però és, malauradament, el model dominant. Perquè ningú vigila el que encara no ha explotat.
La identitat com a bé jurídic protegible. O no. Per mi, el més revelador d'aquest fenomen no és la sofisticació tècnica dels atacants. És la normalitat amb què el sistema ho digereix.
Les plataformes publicitàries cobren. Els registradors de dominis no pregunten. Els processadors de pagament processen. I l'empresa que va ser suplantada inicia un recorregut de reclamacions, formularis i temps de resposta que en cap cas està dissenyat per operar a la velocitat a què el frau s'executa.
La identitat digital d'una empresa, el seu domini, el seu contingut, la seva reputació acumulada no està protegida com a bé jurídic amb la contundència que mereix.
No hi ha cap mecanisme d'alerta primerenca institucional. No hi ha cap obligació de les plataformes de verificar la titularitat legítima de la identitat que s'està publicitant. No hi ha cap estàndard mínim de diligència exigible abans de cobrar el primer euro d'una campanya que suplanta una altra empresa.
Hi ha, això sí, condicions d'ús. Que el frau accepta sense llegir-les, exactament igual que tots els altres.
Algú està venent amb la marca de la teva empresa, les plataformes estan cobrant per distribuir l'anunci. I la pregunta que ningú respon és qui assumeix la responsabilitat quan el paquet no arriba. Perquè el cost reputacional de comentaris negatius a Google business i altres, l'acaba patint l'empresa mare que sí és a més la doblement perjudicada per l'estafa.
