En 2024 publiqué un análisis sobre SEO defensivo a partir de un portal que suplantaba a una aseguradora colombiana. El caso mostraba una realidad incómoda: un delincuente puede estudiar las búsquedas de los usuarios, copiar la experiencia de una marca y competir por las mismas palabras clave transaccionales. Dos años después, el patrón se repite con Air-e.
Este artículo continúa mi análisis Conoce el SEO Defensivo: Colombia, Paraíso del Phishing y plantea una tesis más exigente: cuando una empresa ofrece canales digitales de pago, proteger la ruta que lleva al usuario hasta esos canales debe ser un compromiso empresarial medible.
No escribo esto desde una observación distante. Soy ingeniero de sistemas, trabajo como SEO Manager y dirijo en Digitraffic equipos de SEO, analítica, UX, CRO, publicidad digital y desarrollo web. También he conocido de cerca a personas que entraron a portales falsos convencidas de que estaban pagando una obligación legítima. Para la víctima, el problema se llama dinero perdido, trámites, angustia y ausencia de una respuesta clara.
¿Qué es el SEO defensivo?
El SEO defensivo reúne procesos técnicos, editoriales, legales y reputacionales destinados a impedir que terceros capturen la demanda de una marca en buscadores. Protege consultas sensibles como pagar factura, consultar recibo, descargar certificado, iniciar sesión, comprar seguro o realizar una transferencia.
El SEO tradicional busca ganar visibilidad. El SEO defensivo vigila quién intenta apropiarse de la visibilidad de una marca y qué riesgo corre el usuario cuando un portal falso aparece antes, al lado o con una experiencia más directa que el canal oficial.
En Digitraffic abordamos este trabajo desde varias disciplinas. SEO detecta consultas y dominios sospechosos. Analítica mide el riesgo y conserva evidencia. Desarrollo revisa APIs, formularios, indexación y arquitectura. UX reduce la confusión. Paid Media vigila anuncios que usan la marca. El componente legal gestiona reportes, propiedad intelectual y solicitudes de retiro.
El caso Air-e: hechos documentados
El caso no depende de una opinión. Existe una secuencia pública verificable.
- El CSIRT de la Policía Nacional incluyó airepagos[.]st entre los DNS de phishing detectados en su boletín de indicadores de compromiso.
- Medios de Barranquilla reportaron que airepagos.st imitaba el portal de pagos de Air-e y aparecía como una opción destacada en Google.
- Air-e advirtió sobre páginas falsas, pidió usar sus canales oficiales y recordó que no solicita pagos a cuentas personales.
- Un análisis realizado con Ubersuggest registró que el dominio cuestionado competía en búsquedas de alta intención relacionadas con el pago de la factura.
- Un servicio público de reputación web todavía mostraba el dominio, le asignaba 1 sobre 100 y reportaba múltiples advertencias de seguridad.
Las plataformas SEO entregan estimaciones. Estas cifras dimensionan la superficie de riesgo. No indican cuántas personas fueron estafadas.
Mi crítica a Air-e: comunicar el fraude no equivale a resolverlo
Air-e sí ha comunicado alertas. Negarlo sería falso. Su sitio publica recomendaciones, identifica www.air-e.com como dominio oficial y enumera canales autorizados. Esa actuación ayuda, pero no responde la pregunta central: ¿qué protocolo técnico, jurídico y operativo se activó para retirar, desindexar y neutralizar el dominio reportado?
Cuando un sitio señalado por la autoridad desde marzo conserva huella pública al final de agosto, el problema supera la educación del usuario. La empresa suplantada, el registrador, el proveedor de alojamiento, los buscadores, las pasarelas y las autoridades forman una cadena de respuesta. Cada actor tiene competencias distintas. La marca mantiene una responsabilidad propia: liderar el incidente, documentar gestiones y explicar resultados.
Si una organización conoce que su marca está siendo usada para quitarle dinero a sus usuarios, debe demostrar qué hizo, cuándo lo hizo y qué resultado obtuvo.
Decirle al ciudadano que revise la dirección web es necesario. Trasladarle toda la carga es insuficiente. Una persona llega cansada, busca pagar la luz y confía en el resultado que el buscador le presenta. El atacante diseña una interfaz directa, usa el nombre de la empresa y reproduce el lenguaje de pago. Ese contexto está creado para vencer la atención del usuario.
La respuesta empresarial debería indicar cuándo se detectó el dominio, cuándo se reportó a Google, al registrador y al proveedor de infraestructura, qué anuncios o resultados se denunciaron, qué variantes se vigilan, cuántas veces se verificó el retiro y qué canal recibe evidencia de las víctimas. Si esa trazabilidad existe, conviene publicarla. Si no existe, la alerta funciona como comunicación de crisis, no como gestión completa del riesgo.
La responsabilidad penal es del delincuente. La prevención también es empresarial
La responsabilidad del delito corresponde a quien crea, opera o financia la suplantación. El artículo 269G del Código Penal, incorporado por la Ley 1273 de 2009, sanciona la suplantación de sitios web para capturar datos personales. Señalar deberes preventivos de una empresa no reemplaza esa responsabilidad penal ni convierte automáticamente a la marca en autora del fraude.
Existe otra discusión: qué nivel de diligencia debe exigirse a una organización que conoce el riesgo, administra una marca de uso masivo y ofrece pagos digitales. Desde mi experiencia, una empresa no debería evaluar el SEO defensivo como una campaña opcional. Debe tratarlo como parte de la continuidad del negocio, la gestión de fraude, la protección del consumidor y el gobierno de datos.
El vacío de la Ley 2573 de 2026
La Ley Estatutaria 2573 fue expedida el 19 de mayo de 2026. Su régimen general entra en vigencia el 19 de noviembre de 2026, con excepciones expresas para dos parágrafos del artículo 5. La norma protege a víctimas de suplantación frente a cobros y reportes derivados de obligaciones adquiridas por terceros. Sus sujetos obligados son operadores de telecomunicaciones, entidades financieras o crediticias y establecimientos comerciales con competencia crediticia.
La ley se concentra en obligaciones adquiridas mediante suplantación y en sus efectos sobre cobros y reportes. Un usuario que envía dinero a un portal falso de servicios públicos enfrenta una situación distinta. Extender automáticamente la norma por interpretación sería arriesgado. Por esa razón propongo una reforma expresa, con obligaciones claras para empresas de servicios públicos y entidades públicas con recaudo digital.
Qué debería exigir una política pública de SEO defensivo
El proyecto de ley que he venido estructurando parte de una idea concreta: el Estado ya persigue el delito, pero necesita exigir prevención verificable a las organizaciones que concentran búsquedas transaccionales masivas.
- Incluir de forma expresa a las empresas de servicios públicos y a las entidades públicas con portales de recaudo.
- Exigir un inventario de palabras clave transaccionales críticas y monitoreo periódico de buscadores y anuncios.
- Obligar a registrar variantes razonables de dominio y a vigilar typosquatting, clones y subdominios engañosos.
- Fijar una ruta de reporte a buscadores, registradores, alojamiento, pasarelas, Policía, Fiscalía y autoridades sectoriales.
- Establecer un plazo de 72 horas hábiles para iniciar y documentar solicitudes de bloqueo o desindexación desde que exista evidencia suficiente.
- Exigir autenticación, controles de acceso y minimización de datos en APIs de consulta.
- Crear trazabilidad pública del incidente, sin publicar datos personales de las víctimas ni información que ayude al delincuente.
- Definir una ruta de atención para la persona afectada, coordinada entre la empresa suplantada, la entidad financiera y la autoridad competente.
Control mínimo mensual de SEO defensivo
| Control | Evidencia | Responsable sugerido |
|---|---|---|
| SERP de marca y pagos | Capturas, posiciones, anuncios y dominios | SEO y fraude |
| Variantes de dominio | Inventario, alertas y fechas de registro | TI y jurídico |
| APIs y formularios | Pruebas de acceso, datos expuestos y correcciones | Desarrollo y seguridad |
| Reportes y retiros | Radicados, respuestas y verificación posterior | Jurídico y reputación |
| Experiencia oficial | Rutas claras, mensajes y validación del dominio | UX y CRO |
| Atención a víctimas | Casos, tiempos, estado y respuesta entregada | Servicio y cumplimiento |
Qué debe hacer un usuario antes de pagar
- Escribe directamente www.air-e.com en el navegador. No uses enlaces recibidos por mensajes, anuncios dudosos o dominios parecidos.
- Verifica el dominio completo. El candado HTTPS no confirma que la página pertenezca a la empresa.
- No transfieras dinero a cuentas personales ni a nombres distintos de los informados por la empresa.
- Si ingresaste datos o pagaste, guarda capturas, URL, comprobantes, hora, banco receptor y comunicaciones.
- Reporta el hecho al banco, a Air-e, a la Policía o Fiscalía y al buscador.
- Evita volver a abrir el portal para recolectar pruebas técnicas.
El SEO ya forma parte de la seguridad del cliente
Durante años, muchas empresas han tratado el posicionamiento como una fuente de tráfico y ventas. Ese enfoque quedó incompleto. Cuando la búsqueda conduce a pagos, datos personales o acceso a servicios, la página de resultados también es parte de la superficie de seguridad.
El caso Air-e deja una lección concreta. Publicar una alerta es una acción. Mantener el canal oficial visible, identificar clones, cerrar rutas de captación y rendir cuentas sobre el incidente es un sistema. Las empresas de servicios públicos atienden a millones de personas y administran relaciones digitales repetitivas. Deben asumir ese sistema como un compromiso con sus usuarios.
Desde Barranquilla, donde este caso toca de forma directa a nuestra comunidad, seguiré documentando el patrón con datos, criterio técnico y respeto por los hechos. El SEO defensivo debe dejar de ser una recomendación de marketing y convertirse en una práctica auditada de responsabilidad empresarial.
Fuentes consultadas
- CSIRT de la Policía Nacional, boletines del primer trimestre de 2026.
- Air-e, Prevención de fraudes.
- Caracol Radio, falsas plataformas de pago de Air-e, 15 de mayo de 2026.
- Caracol Radio, alerta de Air-e sobre pagos digitales, 11 de junio de 2026.
- Ley Estatutaria 2573 de 2026.
¿Tu marca sabe quién está capturando sus búsquedas?
En Digitraffic auditamos búsquedas de marca, dominios, anuncios, experiencia de usuario y rutas transaccionales para identificar riesgos de suplantación.
