Una entrada falsa no se detecta mirándola, sino validándola contra el sistema que la emitió. Las señales previas son el precio muy por debajo del mercado, el pago fuera del canal oficial por Bizum o transferencia y el vendedor sin contacto verificable. En la puerta, lo que decide es la detección de duplicados en tiempo real.
El problema tiene nombre técnico y un catálogo público. La OWASP Foundation clasifica el acaparamiento automatizado de bienes de disponibilidad limitada como amenaza OAT-005 «Scalping», definida como «obtain limited-availability and/or preferred goods/services by unfair methods», y cita expresamente el sector de las entradas: «Ticket scalping; Ticket resale; Ticket touting; Secondary ticketing». La entrada falsa es el eslabón final de esa cadena: primero se acapara o se simula escasez, después se vende algo que no existe.
¿Cuáles son las señales de alerta en entradas sospechosas?
Identificar una entrada falsa no siempre es sencillo, pero hay indicadores que pueden ayudarte a detectar posibles fraudes antes de que lleguen a las puertas de tu evento.
- Códigos QR de baja calidad o pixelados que no escanean correctamente
- Entradas vendidas a precios muy por debajo del mercado, un indicador clásico de fraude en entradas de conciertos
- Vendedores que se niegan a proporcionar información de contacto verificable
- Múltiples entradas con el mismo diseño pero pequeñas variaciones
- Entradas ofrecidas en canales no oficiales sin garantía de autenticidad
La señal más constante no está en la entrada, sino en el pago. En el caso real que documenta INCIBE sobre la reventa fraudulenta de entradas para el concierto de un conocido cantante, el contacto empieza en Instagram, se traslada a WhatsApp y termina en un Bizum; el estafador alega errores en la transacción para cobrar dos veces y después bloquea a la víctima. La recomendación de INCIBE es directa: «Utilizar plataformas fiables y contrastadas, que ofrezcan protección al comprador ante casos de fraude». Y avisa de algo que los organizadores olvidan al redactar sus avisos: los pagos por Bizum no se pueden revertir.
Hay una variante que ni siquiera necesita entradas. En otro caso real, INCIBE describe cómo un falso sorteo de entradas sirve para robar cuentas de WhatsApp: se ofrece el premio desde un perfil falso de Instagram, se pide a la víctima el código de verificación que recibe por SMS y con él se secuestra la cuenta para pedir dinero a sus contactos. Si tu evento sortea entradas, dilo en tus canales oficiales y repite que nunca pedirás un código.
¿Cuántas entradas falsas hay de verdad?
No hay una estadística pública española que lo mida. No existe un organismo que publique qué porcentaje de las entradas del mercado secundario son falsas, así que cualquier cifra redonda que circule sin fuente conviene tratarla como estimación comercial y no como dato. Lo que sí hay son expedientes, casos documentados y una constatación del regulador.
La CNMC informó el Anteproyecto de Ley de Consumo Sostenible con la referencia IPN/CNMC/053/25 y, en su nota pública del 11 de marzo de 2026, recomienda «priorizar medidas para mejorar la transparencia y fiabilidad de los servicios de reventa de entradas antes de imponer limitaciones directas a los precios». Traducido al trabajo del organizador: el regulador cree que el problema del mercado secundario se combate antes con trazabilidad y canales fiables que con topes de precio, y esa es exactamente la palanca que tú controlas sin esperar a ninguna ley.
El otro dato verificable es operativo. INCIBE documenta un caso de venta de entradas fraudulentas y bloqueo de asientos por bots en el que coinciden dos ataques: webs falsas que copian «logotipos y elementos de su identidad corporativa» y bots que bloquean asientos en masa para simular que el evento está agotado. Las contramedidas que recomienda son las de cualquier aplicación web expuesta: filtros de tráfico, CAPTCHA y límites de compra por dirección IP, además de reunir evidencias, denunciar y avisar públicamente desde los canales del organizador.
¿Qué dice la ley española sobre las entradas falsas y los bots?
Vender una entrada falsa es estafa. El artículo 248 del Código Penal castiga a quien, con ánimo de lucro, provoca mediante engaño un acto de disposición patrimonial en perjuicio de otro. No hace falta que la entrada esté impresa: basta con cobrar por un acceso que no existe.
La compra masiva con bots tiene su propia norma desde hace poco. El artículo 27.6 de la Ley 3/1991, de 10 de enero, de Competencia Desleal considera práctica agresiva las conductas que «consistan en la reventa de entradas de espectáculos a los consumidores o usuarios si el empresario las adquirió empleando medios automatizados para sortear cualquier límite impuesto al número de entradas que puede adquirir cada persona o cualquier otra norma aplicable a la compra de entradas». Ese apartado lo añadió el Real Decreto-ley 24/2021 y está en vigor desde el 28 de mayo de 2022. Es decir: el límite por comprador que configuras en tu venta primaria no es una preferencia comercial, es el requisito que convierte en ilícito saltárselo. El marco completo está en la guía sobre la legislación española de reventa de entradas.
Queda la pregunta del comprador engañado. Al organizador no puede reclamarle la devolución, porque nunca hubo contrato entre ellos: el dinero fue a un tercero. Y conviene tener presente que el artículo 103.l) del texto refundido de la Ley General para la Defensa de los Consumidores y Usuarios excluye del derecho de desistimiento los servicios relacionados con actividades de esparcimiento cuando el contrato prevé una fecha o un periodo de ejecución específicos. La vía del comprador es la denuncia y la reclamación al medio de pago; la del organizador, acreditar qué entradas emitió y cuáles no.
¿Qué tecnología antifraude va más allá del código QR?
Un código QR, por sí solo, es un número impreso: se fotografía, se reenvía y se imprime tantas veces como se quiera. Lo que impide el fraude no es el símbolo, sino las capas que hay detrás.
- Identificador único por entrada, generado de forma criptográfica y sin relación deducible con los demás. Un correlativo del 1 al 5.000 se adivina; un identificador firmado, no.
- Validación en línea contra la base de datos central, no contra un listado descargado la víspera. Si el lector de puerta trabaja con una copia antigua, la segunda copia de una entrada entra.
- Detección de duplicados en tiempo real, con bloqueo del segundo intento y registro de la hora y el acceso donde ocurrió.
- Entradas nominativas con cambio de titular por vía oficial, para que la reventa legítima ocurra dentro del sistema y no en un chat.
- Límite de entradas por comprador y control de bots en la venta primaria, las medidas que INCIBE recomienda contra el bloqueo automatizado de asientos.
Puesto en una tabla, cada capa tapa un agujero distinto:
| Capa | Qué fraude corta | Qué pasa sin ella |
|---|---|---|
| Identificador único firmado | Entradas inventadas desde cero | El código se deduce del patrón y se fabrica |
| Validación en línea con la base central | Copias impresas o reenviadas | El lector con lista antigua acepta la copia |
| Detección de duplicados | Misma entrada usada dos veces | Entra quien llega primero y el titular se queda fuera |
| Entrada nominativa con cambio oficial | Reventa fuera de control | La entrada circula sin rastro hasta la puerta |
| Límite por comprador y control de bots | Acaparamiento automatizado | Se simula el agotado y se alimenta el mercado paralelo |
La app de Futura Tickets valida un QR en 1-2 segundos, un tiempo que importa porque la tentación de saltarse la validación aparece cuando se forma cola. Ninguna de estas capas depende de que el personal de puerta reconozca visualmente una entrada falsa: esa habilidad no existe cuando la falsificación es una captura de pantalla perfecta del original.
¿Por qué es importante la trazabilidad de las entradas?
La trazabilidad completa de cada entrada es fundamental para combatir el fraude. Tecnologías como blockchain aplicada al ticketing se han propuesto para reforzar esta capacidad, aunque en la práctica el registro centralizado del emisor resuelve el mismo problema. Cuando puedes seguir el recorrido de una entrada desde su emisión hasta su uso en el evento, detectar anomalías se vuelve mucho más sencillo. Esto incluye registrar quién compró la entrada, si fue transferida, cuántas veces cambió de manos, y cualquier intento de validación fallido.
- Registro de la cadena de custodia completa
- Alertas automáticas ante comportamientos sospechosos
- Bloqueo inmediato de entradas comprometidas
- Informes detallados para análisis post-evento
Esa trazabilidad es también lo que la CNMC pide reforzar cuando habla de «transparencia y fiabilidad de los servicios de reventa». Un mercado secundario propio, con tope de precio y cambio de titular registrado, convierte cada reventa en un movimiento auditable en lugar de una transacción a ciegas entre desconocidos. Es el fondo de la reventa controlada.
¿Qué hacer en la puerta cuando salta un duplicado?
Cuando el lector avisa de que esa entrada ya se ha usado, hay una persona delante que puede ser un estafador o una víctima, y el equipo no lo sabe. El protocolo, escrito y ensayado antes del evento, evita que la puerta se convierta en un juicio.
- 1Aparta la incidencia del flujo. Un punto lateral de resolución, con una persona formada, mantiene la cola en movimiento y baja la tensión.
- 2Registra el intento con hora, acceso y código. Ese registro es la prueba de qué entrada se emitió, cuándo entró y desde qué canal se vendió.
- 3Comprueba el origen de la compra. Si la entrada salió de tu sistema y ya se validó, hay duplicado; si nunca existió en tu base de datos, la venta fue ajena y el comprador es una víctima.
- 4No acuses ni retengas a nadie. Documentar y, si procede, avisar a las Fuerzas y Cuerpos de Seguridad del Estado es la vía que recomienda INCIBE; discutir en la puerta no lo es.
- 5Pide solo los datos necesarios. Recoger identificaciones para gestionar la incidencia es un tratamiento de datos personales con su base jurídica y su plazo de conservación, como se explica en la guía de RGPD para organizadores de eventos.
¿Qué buenas prácticas deben seguir los organizadores?
Además de contar con la tecnología adecuada, hay prácticas que todo organizador debería implementar para minimizar el riesgo de fraude.
- Utiliza exclusivamente plataformas de ticketing con verificación antifraude integrada
- Comunica claramente a tus asistentes cuáles son los canales oficiales de venta
- Implementa políticas de reventa controlada para desincentivar el mercado negro
- Forma a tu equipo de accesos para identificar entradas sospechosas
- Mantén un canal de comunicación abierto para que los asistentes reporten fraudes
A esa lista conviene añadir dos hábitos de comunicación. El primero: publicar el listado de canales oficiales en la misma página donde anuncias el evento y repetirlo en cada recordatorio, porque el comprador que busca entradas agotadas en Instagram no visita tu web. El segundo: avisar públicamente en cuanto detectes una web clonada o un perfil que suplanta tu marca, y reportar esas URL, que es lo que INCIBE recomienda al organizador afectado.
Lista de comprobación antes de abrir puertas
Comprueba que los lectores validan en línea, y ten definido qué pasa si cae la conectividad: cola parada, modo degradado o validación diferida con sincronización posterior.
Ensaya el caso del duplicado con el equipo de accesos antes del evento, con un guion de dos frases para el asistente y un responsable de incidencias identificado.
Revisa el límite de entradas por comprador en la venta primaria: es la medida que la Ley 3/1991 protege y la que frena el acaparamiento automatizado.
Publica los canales oficiales en la página del evento, en las redes y en el correo de recordatorio, con la advertencia de que no se piden códigos de verificación ni pagos por Bizum a particulares.
Guarda el registro de validaciones con hora y acceso: es lo que sostiene cualquier denuncia posterior y cualquier reclamación de un asistente.
Ten preparada la comunicación de crisis para el caso de web clonada: mensaje, canales y a quién se reporta.
Conclusión
La prevención del fraude de entradas requiere una combinación de tecnología, procesos escritos y comunicación constante con el público. No existe el cero absoluto, pero un sistema con identificador único, validación en línea y detección de duplicados deja fuera casi todo lo que llega a la puerta, y protege tanto tu reputación como la experiencia de tus asistentes. El resto lo hace la claridad: cuanto más visible sea tu canal oficial, menos espacio queda para quien vende lo que no tiene. Conoce la legislación española sobre reventa de entradas para reforzar tu estrategia legal.
Fuentes
- OWASP Foundation — proyecto Automated Threats to Web Applications
- OAT-005 Scalping — OWASP, definición y sectores afectados
- Código Penal — artículo 248, delito de estafa (BOE consolidado)
- Ley 3/1991, de 10 de enero, de Competencia Desleal — artículo 27.6, reventa con medios automatizados
- Texto refundido de la Ley General para la Defensa de los Consumidores y Usuarios — artículo 103.l)
- Reventa fraudulenta de entradas para el concierto de un conocido cantante — INCIBE, caso real
- Venta de entradas fraudulentas y bloqueo de asientos por bots — INCIBE, caso real
- Roban su WhatsApp con un falso sorteo de entradas — INCIBE, caso real
- La CNMC analiza la futura Ley de Consumo Sostenible — informe IPN/CNMC/053/25, 11 de marzo de 2026