Desconfía. Siempre.

Entre 2022 y mayo de 2026, la Superintendencia de Industria y Comercio registró 13.983 reclamaciones por suplantación de identidad en Colombia. 11.365 de ellas, osea el 81%, corresponden al sector de las telecomunicaciones.

Vale la pena detenerse en ese número antes de seguir, porque la reacción típica de una empresa cuando aparece una cifra así es publicar un decálogo de seguridad dirigido al usuario. Diez consejos. Revisa el remitente. Verifica el candado. No hagas clic en enlaces sospechosos. Desconfía.

Es un buen decálogo, pero también es una forma elegante de pasarle el problema a otro.

Los pillos buscan el hábito

Gen, la compañía detrás de Norton, Avast y AVG, que ve pasar amenazas por los computadores de cientos de millones de personas, publicó su informe de amenazas del primer semestre de 2026. Ahí hay algo incómodo: en Colombia las estafas de tiendas online falsas crecieron 91%, los engaños de soporte técnico 26% y los ataques de phishing 16%. Pero más que el volumen, lo que preocupa verdaderamente de los hallazgos de este informe es el método de estafa.

Se trata de ataques que llegan directamente a los canales donde la gente ya tiene un hábito: el WhatsApp donde te escribe el operador, el correo donde te llega la factura, el link que siempre abres sin pensar porque siempre ha sido legítimo.

Es decir, la confianza dejó de ser el resultado de una relación y se convirtió en una superficie de ataque. Y la superficie la construimos nosotros, cada vez que le enseñamos a un usuario a hacer algo automáticamente.

Entonces, ¿qué hacemos?

Varias cosas. Primero, tener un solo dominio de pago (somosinternet.com); que ese dominio aparezca escrito en cada mensaje de cobro, no solo en la campaña anual de seguridad; nunca pedirte datos por chat; publicar los canales oficiales en un lugar fijo al que cualquiera pueda volver; y no cambiarlos cada seis meses.

Conoce cómo pagar tu factura de Somos paso a paso.

La ley ya empezó a moverse en esa dirección

El 19 de mayo de 2026 se promulgó en Colombia la Ley Estatutaria 2573, que establece medidas de protección para las personas suplantadas frente a reportes negativos y cobros indebidos. Aplica a entidades financieras, comercios que otorgan crédito y, explícitamente, a operadores de telecomunicaciones.

El punto más interesante de esta nueva ley es probatorio: introduce la carga dinámica de la prueba. Es decir, en un caso de suplantación, prueba quien esté en mejores condiciones de hacerlo. Ya no le corresponde al ciudadano demostrar que no fue él. Le corresponde a la empresa demostrar que sí verificó.

Es un cambio de paradigma discreto y enorme al mismo tiempo. Durante años la pregunta regulatoria fue "¿tienes políticas de seguridad?". Ahora es "¿puedes probar que funcionaron?". El régimen general entra en vigor seis meses después de la promulgación.

Qué estamos haciendo nosotros

Este mes, Somos está agregando a cada mensaje de cobro una línea que dice de dónde viene el pago. El botón te lleva a somosinternet.com, nuestro único sitio de pago.

También estamos publicando nuestros canales oficiales en un lugar fijo del sitio, para que cualquiera pueda verificar sin tener que buscarnos, y nos estamos comunicando directamente con nuestros más de 100.000 usuarios para que tengan claros estos canales oficiales.

Si trabajas en una empresa que le escribe a sus clientes por WhatsApp o por correo con cierta frecuencia, vale la pena hacerse una sola pregunta: si alguien copiara ese mensaje ahora mismo, ¿tu cliente se daría cuenta?

Si la respuesta es "probablemente no", hay mucho por hacer.