Una red flag es un hecho que obliga a comprobar algo o a detenerse. No es un veredicto: la urgencia, el rendimiento prometido, el dominio o la forma de pago adquieren significado junto con el contexto y las pruebas disponibles.
En palabras sencillas — Una señal de alarma no demuestra por sí sola una estafa. Ignorarla, en cambio, significa actuar sin haber resuelto una pregunta importante.
Tres niveles, no un contador
Señal contextual
Un dominio reciente, una empresa extranjera, costes elevados o una comunicación agresiva merecen atención, pero no demuestran por sí solos una actividad no autorizada o un fraude. Hay que identificar la entidad, el servicio, el cliente, el producto y la jurisdicción.
Verificación necesaria
Credenciales imprecisas, resultados sin documentar, conflictos sin explicar, condiciones de retirada poco claras o datos contractuales incoherentes exigen pruebas independientes. Mientras la pregunta siga abierta, no aumentes tu exposición.
Parada operativa
Detente antes de actuar si te piden la seed phrase, contraseñas, acceso remoto al dispositivo, pagos a una persona o a datos bancarios distintos de los verificados, o más dinero para «desbloquear» una retirada. La parada evita un daño mientras compruebas los hechos; no es una declaración pública de culpabilidad.
Las familias más importantes
La identidad no coincide. El nombre del sitio se parece al de una empresa autorizada, pero el dominio, el correo, el teléfono o la razón social difieren del registro. Es el modelo del sitio clonado.
El permiso no cubre la oferta. La entidad está registrada para una actividad, pero propone un servicio, producto o país que no forma parte del perímetro comprobado.
La promesa sustituye al riesgo. Rendimientos «garantizados», riesgo eliminado, testimonios imposibles de verificar, presión para decidir de inmediato o exigencia de secreto son indicadores recurrentes en las guías de las autoridades.
El pago o el acceso son anómalos. Transferencias a beneficiarios que no coinciden, criptoactivos enviados a una cartera comunicada por chat, pantalla compartida, instalación de software remoto o entrega de credenciales trasladan el control a quien hace la petición.
La retirada crea obstáculos nuevos. Comisiones o impuestos comunicados solo después de solicitar la retirada, recargas obligatorias y ofertas de recuperación de pago pueden indicar un fraude en curso o una recovery scam. Comprueba cada petición con el intermediario y la autoridad a través de canales independientes.
Qué hacer ante una red flag
Detener la acción es el primer control. Después, conserva la prueba, formula una pregunta precisa y busca la respuesta en la fuente competente. Por ejemplo, «¿el dominio pertenece a la entidad que figura en el registro?» puede comprobarse; «este sitio me parece extraño» no.
La due diligence reconstruye entidad, autorización, datos de contacto, custodia y advertencias. Si una discrepancia no se resuelve, no deposites ni transmitas datos. Si ya has actuado, sigue el recorrido de respuesta de Regulación, seguridad y prevención del fraude.
Error típico — Sumar mecánicamente señales débiles y convertirlas en una acusación, o esperar muchas señales cuando una sola ya expone directamente dinero, claves o identidad.
Fuentes
- Investor.gov — Red Flags of Investment Fraud Checklist — señales recurrentes: sujetos no autorizados, urgencia, garantías, testimonios y pagos sospechosos.
- FCA — How to check a firm or individual is authorised — comparación entre los datos oficiales y los contactos de un posible clon.
- FCA — Warning List — no aparecer en la lista no demuestra que un sujeto esté autorizado o sea legítimo.
- IOSCO — I-SCAN — advertencias internacionales, incluidas entidades no autorizadas y clones; el repertorio no es exhaustivo.
- CONSOB — Comunicación sobre actividad no autorizada del 20 de mayo de 2026 — sitios clonados, personajes públicos y contenidos generados con IA utilizados para promover ofertas abusivas.