Phishing en Apuestas Online: 8 675 Víctimas en España y Cómo Protegerte
Available in US
8 675 víctimas en 2024: el phishing llega a las apuestas deportivas
Un colega me reenvió un email hace unos meses que parecía provenir de un operador conocido. El diseño era idéntico, el remitente casi correcto y el mensaje ofrecía una bonificación por la Champions que sonaba creíble. Por suerte, antes de hacer clic revisé la dirección del remitente con detenimiento — una letra cambiada. Era phishing. Pero entiendo perfectamente cómo 8.675 personas cayeron en trampas similares en plataformas de apuestas durante 2024.
El phishing en apuestas online no es un fenómeno marginal. Esas 8.675 víctimas registradas son solo las que denunciaron — la cifra real probablemente es mayor. Y el problema no está disminuyendo: a medida que crece el mercado de apuestas online en España, con sus 1.729.253 cuentas activas mensuales, crece también el atractivo del sector para los estafadores.
Mikel Arana, director general de la DGOJ, advirtió que los riesgos del juego online no entienden de fronteras. Es una observación que aplica directamente al phishing: las estafas provienen de cualquier parte del mundo, operan en cualquier idioma y se adaptan a los hábitos locales de los usuarios. El apostador español no está protegido por la geografía — solo por su propia vigilancia y por las herramientas que el sistema regulado pone a su disposición.
Cómo operan las estafas de phishing en plataformas de apuestas
Las estafas de phishing en el sector de apuestas siguen patrones predecibles, y conocer esos patrones es la primera línea de defensa.
El método más común es el email o SMS que imita a un operador legítimo. El mensaje puede informar de una bonificación especial, un problema con tu cuenta que requiere acción inmediata, o una promoción limitada para un evento como la Champions. El objetivo siempre es el mismo: que hagas clic en un enlace que te lleva a una página falsa donde introduces tus credenciales de acceso.
El segundo método son las webs de apuestas falsas. Estos sitios replican el diseño de un operador legítimo con una URL ligeramente diferente — un guion, una extensión de dominio distinta, un prefijo adicional. Aparecen en resultados de búsqueda patrocinados, en anuncios de redes sociales y en foros deportivos. El usuario se registra, deposita dinero y nunca lo recupera.
El tercer método son las apps falsas. En tiendas de aplicaciones no oficiales o a través de enlaces directos de descarga, aparecen apps que imitan la interfaz de operadores conocidos. Una vez instalada, la app puede robar datos bancarios, credenciales de acceso o instalar software malicioso en el dispositivo.
Lo que hace particularmente vulnerable al apostador de Champions es el timing. Las estafas se intensifican durante las semanas previas a semifinales y la final — exactamente cuando más apostadores están buscando activamente dónde apostar, comparando cuotas y explorando nuevos operadores. La urgencia de apostar antes de que la cuota cambie puede llevar a decisiones precipitadas sobre dónde hacerlo.
Medidas de protección: verificar operador, autenticación y alertas
La primera medida de protección es la más simple y la más efectiva: verificar que el operador tiene licencia activa de la DGOJ antes de registrarte o depositar. De los 77 operadores con licencia general, solo 44 tenían licencia activa de apuestas deportivas en el tercer trimestre de 2025. Si el operador no aparece en el registro oficial de la DGOJ, no deposites dinero ahí.
La verificación no termina en la licencia. Antes de hacer clic en cualquier enlace de un email o SMS que parezca venir de tu operador, comprueba la URL manualmente. Abre el navegador, escribe tú mismo la dirección del operador y accede desde ahí. Nunca accedas a tu cuenta de apuestas a través de enlaces recibidos por email, SMS o redes sociales — ni siquiera si parecen legítimos.
La autenticación en dos factores es otra barrera que reduce drásticamente el riesgo. Si tu operador ofrece 2FA — y la mayoría de los regulados lo hacen –, actívalo. Aunque alguien consiga tu contraseña mediante phishing, necesitará también el código de tu teléfono para acceder a tu cuenta. No es infalible, pero añade una capa de protección que disuade a la mayoría de estafadores.
Configura alertas de actividad en tu cuenta. La mayoría de operadores regulados envían notificaciones cuando se produce un inicio de sesión, un depósito o una apuesta por encima de un importe determinado. Si recibes una alerta de actividad que no reconoces, actúa inmediatamente: cambia tu contraseña y contacta con el servicio de atención al cliente del operador.
Un hábito que mantengo desde hace años: nunca descargo apps de apuestas fuera de las tiendas oficiales de Google Play o Apple App Store, y antes de instalar cualquier app verifico que el desarrollador coincide con el nombre del operador registrado en la DGOJ.
Qué hacer si eres víctima de phishing en una casa de apuestas
Si has caído en una estafa de phishing, la velocidad de respuesta determina cuánto daño puedes evitar.
El primer paso es cambiar inmediatamente las contraseñas de tu cuenta de apuestas y de cualquier otro servicio donde uses la misma contraseña. Si usas la misma clave para el email, el banco y las apuestas — un error común –, cambia todas. Cada minuto que pasa es una ventana para que el estafador acceda a más cuentas.
El segundo paso es contactar con tu operador legítimo y con tu banco. El operador puede bloquear tu cuenta para evitar retiradas no autorizadas. El banco puede bloquear la tarjeta o cuenta asociada y, en algunos casos, revertir transacciones fraudulentas si se actúa con rapidez.
El tercer paso es denunciar. La denuncia ante las Fuerzas de Seguridad del Estado es importante tanto para tu protección legal como para alimentar las bases de datos que permiten rastrear y cerrar redes de phishing. La DGOJ también debe ser informada si la estafa implicaba la suplantación de un operador con licencia.
La recuperación del dinero no está garantizada, y es importante tenerlo claro. Dependiendo del método de pago y la rapidez de la denuncia, es posible recuperar parte o la totalidad del importe, pero muchas víctimas no lo consiguen. La mejor protección sigue siendo la prevención: verificar antes de actuar, desconfiar de las ofertas que parecen demasiado buenas y nunca compartir credenciales a través de canales no seguros. Para una guía sobre cómo identificar operadores legítimos donde apostar con seguridad, el análisis de casas de apuestas con licencia en España detalla el proceso de verificación.
¿Cómo distingo un sitio de apuestas legítimo de uno fraudulento?
Verifica el número de licencia en el registro oficial de la DGOJ. Los operadores legítimos muestran su licencia en el pie de página y usan conexiones HTTPS seguras. Sospecha de URLs con variaciones menores respecto al nombre del operador real, de ofertas recibidas por email con enlaces directos y de sitios que no muestran información de licencia visible.
¿Puedo recuperar el dinero si soy víctima de phishing?
Depende de la rapidez de tu respuesta y del método de pago utilizado. Contactar inmediatamente con tu banco y con el operador legítimo aumenta las posibilidades de revertir transacciones. La denuncia ante las Fuerzas de Seguridad es fundamental tanto para tu caso como para prevenir futuras estafas. La recuperación total no está garantizada, por lo que la prevención sigue siendo la mejor estrategia.
Preparado por la redacción de «Apuestas Ganador Champions».
