Dominios .cl falsos: qué hacer si suplantan tu negocio

Un cliente te reenvía un correo. Tiene tu logo, tu tono, tu nombre de empresa, y un link a un sitio que se ve casi igual al tuyo. Casi. El dominio tiene un guion de más, o una letra cambiada, o termina en .com en vez de .cl.

La primera reacción de casi todos es la misma: escribirle a quien registró el dominio. Es el peor primer paso. Antes hay que decidir en cuál de los dos caminos estás, porque tienen costos, plazos y resultados completamente distintos.

Por qué esto está sonando ahora

El 17 de agosto de 2026 el Ministerio Público constituyó la Mesa Nacional contra el Fraude Financiero Transnacional, una instancia de cooperación para reducir delitos económicos mediante intercambio de información entre organismos. Entre los nueve participantes están la Agencia Nacional de Ciberseguridad, la CMF, el SII, el SERNAC, la UAF, BancoEstado, la ABIF, la Asociación de Retail Financiero y NIC Chile, según el anuncio publicado por NIC Chile el 18 de agosto.

Que el administrador del registro .cl esté sentado en esa mesa no es un dato decorativo. Significa que el dominio dejó de tratarse como un trámite administrativo y pasó a tratarse como infraestructura de fraude.

En paralelo, el listado de alertas del CSIRT Nacional registró campañas fraudulentas los días 20, 21 y 24 de agosto de 2026, incluyendo suplantación de bancos y una campaña de “falsa factura”. Ese mismo catálogo tiene etiquetas propias para tiendas falsas y suplantación de identidad.

El contexto de fondo lo puso Kaspersky en su Panorama de Amenazas regional: 37,7 millones de detecciones de ataques con mensajes falsos en Chile en doce meses, un 71% más que el periodo anterior, cerca de 103 mil detecciones diarias (trendTIC, 11 de septiembre de 2025).

Si vendes online, tu marca es un activo que a alguien le sirve para estafar.

Los dos problemas que la gente confunde

Casi todo el desorden viene de tratar como un solo problema lo que en Chile son dos procedimientos separados.

Problema 1: abuso técnico del DNS. El dominio está siendo usado para hacer daño ahora mismo. Phishing, correos falsos a tu nombre, malware, un sitio clonado que pide datos de tarjeta. Aquí lo urgente es que deje de funcionar.

Problema 2: inscripción abusiva. El dominio se parece al tuyo, alguien lo tiene y no lo está usando para nada malicioso. Quizás lo tiene detenido esperando venderlo caro. Aquí lo que quieres es quedarte con el dominio.

Son caminos distintos. El primero es rápido y no te cuesta plata. El segundo es lento y sí cuesta. Elegir mal el camino significa gastar meses y cientos de miles de pesos en un proceso que no resuelve la urgencia.

Camino 1: el dominio está haciendo phishing

Este es el caso urgente y, afortunadamente, el más directo.

NIC Chile define como abuso técnico del DNS que un dominio .CL haya sido inscrito o esté siendo usado para realizar phishing o BEC (compromiso de correo empresarial), distribuir malware, operar botnets, enviar spam para distribuir lo anterior u otra práctica que a su juicio se considere como tal. La facultad está en la página de reportes de abuso de NIC Chile, y las medidas posibles incluyen la suspensión o desactivación del dominio.

El reporte se envía a [email protected] con los antecedentes del caso.

Qué conviene incluir, según lo que recomienda el CSIRT Nacional en su guía sobre dominios abusados: el dominio suplantado, los datos de contacto del responsable y la evidencia disponible. En la práctica eso significa capturas de pantalla con URL visible, encabezados completos de los correos falsos si el ataque es por email, y la consulta WHOIS del dominio para identificar al registrador y al proveedor de hosting.

El CSIRT recomienda además tres gestiones paralelas, y vale la pena hacerlas el mismo día:

1. Reportar al CSIRT, mediante su formulario o al correo [email protected]. Evaluada la gravedad, puede apoyar las acciones para dar de baja o suspender el dominio.
2. Denunciar al proveedor de hosting, que suele actuar más rápido que el registrador porque le conviene no alojar contenido malicioso.
3. Evaluar la denuncia penal conforme a la Ley 21.459 de delitos informáticos, si hay perjuicio.

Un detalle que se pasa por alto: si el dominio no termina en .cl, NIC Chile no puede hacer nada. Un .com que imita tu marca se reclama ante el registrador de ese TLD, no en Chile.

Camino 2: el dominio se parece al tuyo y nada más

Aquí no hay atajo. Corresponde el procedimiento de revocación, regulado en la reglamentación del registro .CL, y se resuelve por arbitraje cuya decisión es inapelable.

Lo que cambia todo es el momento en que reclamas:

• Dentro de los 30 días desde la publicación del dominio, puedes invocar interés preferente. No necesitas probar mala fe de nadie.
• Después de esos 30 días, tienes que acreditar inscripción abusiva, y eso exige tres condiciones que se cumplan al mismo tiempo: que el dominio sea idéntico o engañosamente similar a una marca del reclamante, que el titular no tenga derechos ni intereses legítimos sobre el nombre, y que la inscripción o el uso sean de mala fe.

Las tres. Si falta una, el arbitraje se pierde.

La reglamentación reconoce como indicios de mala fe intentar venderlo a precio excesivo, impedir que el titular de la marca use el dominio, perturbar los negocios de un competidor, o atraer usuarios confundiéndolos con una marca ajena.

Ese primer requisito, el de la marca, es el que decide la mayoría de los casos. Si tienes el registro en INAPI, el punto se acredita con un documento. Si no lo tienes, tienes que construir el argumento. La tasa oficial de INAPI es de 3 UTM por clase: 1 UTM al presentar la solicitud y 2 UTM al aceptarse a registro, con 60 días hábiles para pagar los derechos finales (INAPI). Con la UTM de agosto de 2026 en $71.649 (SII), son $71.649 iniciales y $143.298 al final, por clase, más la publicación en el Diario Oficial.

Cuánto cuesta cada camino

Aquí está el argumento que casi nunca se pone sobre la mesa antes de que el problema exista.

Según las tarifas vigentes de NIC Chile, todas exentas de IVA:

A la revocación hay que sumarle los honorarios del árbitro. La tabla de honorarios arbitrales los fija así:

El pago lo cubre íntegramente quien solicita la revocación. El titular del dominio está exento. Ese es el punto que conviene leer dos veces: la parte que sufrió la suplantación es la que financia el proceso, gane o pierda.

Pon los dos números juntos. Registrar por diez años las dos o tres variantes que un cliente distraído escribiría mal cuesta menos que discutir una sola de ellas en arbitraje. La prevención en dominios no es una precaución de empresa grande, es aritmética.

Qué hacer antes de que pase

Cuatro medidas concretas, ordenadas por relación entre costo y efecto.

1. Registra las variantes obvias y por varios años. No todas las combinaciones posibles, eso es imposible. Las que un humano apurado escribiría: con y sin guion, con y sin la palabra genérica del rubro, singular y plural. Si tu dominio expira, el problema es peor que la suplantación: alguien puede tomarlo legítimamente. El detalle del trámite lo explicamos en cómo registrar un dominio .cl en NIC Chile.

2. Cierra el correo con SPF, DKIM y DMARC. La mayoría de las suplantaciones a PYMEs chilenas no empieza con un sitio clonado, empieza con un correo que dice venir de tu dominio. Con DMARC en política de rechazo, ese correo no llega. Es gratis, se configura en el DNS y es lo más rentable de esta lista: lo detallamos en por qué los correos de tu sitio llegan a spam.

3. Registra la marca en INAPI si vives de ella. No por el trámite en sí, sino porque es la llave del Camino 2. Sin marca registrada, la revocación después de los 30 días se vuelve cuesta arriba.

4. Haz que tu sitio real sea fácil de reconocer. Datos de contacto completos, RUT, razón social y condiciones visibles. Eso es lo que la ley chilena ya te exige mostrar y, de paso, es lo que hace que el sitio falso se note falso. Está en qué debe informar por ley tu tienda online.

Y una observación de calendario: las semanas de peak comercial son las de mayor exposición. Si estás preparando septiembre o el Cyber de octubre, el momento de revisar estas cuatro cosas es antes, no durante. Lo mismo aplica al resto de la preparación técnica de la tienda, que cubrimos en cómo preparar tu tienda online para el peak de septiembre.

Si ya está pasando: el orden de los primeros 60 minutos

1. Documenta antes de reclamar. Capturas con URL visible, fecha y hora. Encabezados completos si es correo. WHOIS del dominio. Si el atacante baja el sitio, tu evidencia desaparece con él.
2. Reporta a [email protected] si el dominio es .cl y hay abuso activo. En paralelo, al CSIRT y al proveedor de hosting.
3. Avisa a tus clientes por tus canales reales. Un mensaje corto y claro en tu sitio, tu Instagram y tu lista de correo. La suplantación funciona por confusión; el aviso la corta.
4. No contactes al titular del dominio. Le confirmas que la suplantación te está afectando, que es exactamente el dato que necesita para pedir más plata si su plan era venderte el dominio.
5. Recién entonces evalúa la revocación, con los números de arriba a la vista.

En resumen

Si el dominio falso está estafando ahora, tu herramienta es [email protected] y es rápida y gratuita. Si solo se parece al tuyo, tu herramienta es la revocación, que cuesta $46.000 más US$1.000 de honorarios arbitrales que paga quien reclama, y que exige acreditar tres condiciones simultáneas.

Entre esos dos escenarios hay un tercero, más barato que ambos: registrar las variantes obvias a $9.990 al año y cerrar el correo con DMARC. No es glamoroso, pero es el único que se paga solo.

Si no tienes claro cómo está configurado hoy tu dominio o tu correo, conversemos y lo revisamos.