Llega un correo amable de un «estratega de Google Ads» que ofrece poner a punto su cuenta. Quizá una hora antes le llamó alguien que dijo trabajar para Google. Ya sea una estafa de correo de estratega de Google Ads o un contacto real, los primeros pasos son los mismos, y puede terminarlos en unos diez minutos sin compartir nada.
Pause antes de responder. Pida al remitente que ponga la solicitud por escrito, y luego compare las direcciones From y Return-Path con los dominios que nombran las páginas de ayuda de Google. No haga clic en ningún enlace del mensaje, y nunca comparta una contraseña, un código de verificación ni datos de pago.
Los informes sobre nombres y fotos hechos con IA en estos contactos han hecho que los dueños desconfíen, y esa cautela es razonable. Un nombre o una foto desconocidos son motivo para verificar. Los pasos siguientes le muestran cómo, y qué parte puede terminar usted solo.
Puntos clave
Pida un correo por escrito, lea las direcciones From y Return-Path, y compárelas con @google.com, @ads.google.com y @xwf.google.com.
Una contraseña, un código de verificación o un dato de pago se quedan con usted, y un enlace del mensaje nunca es la forma de iniciar sesión.
Los nombres hechos con IA que se han reportado apuntan a una posible empresa de subcontratación, así que juzgue un contacto por su dirección, sus enlaces y lo que pide.
Inicie sesión en ads.google.com, abra Admin (administración), elija Access and security (acceso y seguridad) y quite a cualquiera que no reconozca.
¿Cómo compruebo si un correo de estratega de Google Ads es real?
Cuatro pasos resuelven la mayoría de los casos, y los dos primeros toman un minuto cada uno. La página de ayuda de Google sobre correos y llamadas sospechosos que dicen venir de Google Ads le pide que pida a quien llama que le envíe un correo para verificar quién es. A partir de ahí, siga estos pasos en orden.
- Compare las direcciones: Abra los encabezados completos y lea las direcciones From y Return-Path. Google dice que un mensaje de Google Ads debe mostrar @google.com o @ads.google.com en ambas.
- Revise el enlace sin hacer clic: Copie la dirección del enlace y confirme que lleva a una página de google.com. Google da este mismo consejo.
- Inicie sesión por su cuenta: Escriba ads.google.com en su navegador, abra Admin, elija Access and security y revise quién aparece en la lista.
- Denuncie lo que no cuadre: Si el contacto parece una suplantación, envíelo a Google por sus páginas de denuncia de estafas, que se explican más abajo.
La página de Google sobre socios externos agrega una segunda dirección que conviene conocer. Dice que los representantes de Google que trabajan a través de su fuerza de trabajo extendida (extended workforce) siempre tienen una dirección que termina en @xwf.google.com. Así que, un contacto real puede llegar desde más de un dominio.
| La dirección termina en | Quién, según Google, la usa | Dónde lo dice Google |
|---|---|---|
| @google.com | Mensajes propios de Google sobre Google Ads | Página de ayuda sobre correos y llamadas sospechosos |
| @ads.google.com | Mensajes propios de Google sobre Google Ads | Página de ayuda sobre correos y llamadas sospechosos |
| @xwf.google.com | Representantes que trabajan a través de la fuerza de trabajo extendida de Google | Página de ayuda sobre socios externos |
| Cualquier otra terminación | No es una dirección de Google; trate el contacto como no verificado | Revise antes de responder |
Deje el nombre, el cargo y la foto de perfil fuera de su decisión. Cualquiera de los tres puede ser prestado o inventado, mientras que la dirección en los encabezados es la parte que puede comparar con lo que Google publicó.
¿Qué se informó sobre los nombres y las fotos de estrategas de Google Ads creados con IA?
Los informes vienen de una discusión pública que cubrió Search Engine Roundtable el 2 de noviembre de 2026. Describen la experiencia de una persona y una sospecha posterior, y las fechas importan para decidir cuánto peso dar a cada parte.
Qué se informó y cuándo
- 1
29 de octubre de 2026
Publicaciones en X dan inicio a la discusión, según Search Engine Roundtable.
- 2
2 de noviembre de 2026
Search Engine Roundtable informa de una llamada de alguien que dijo trabajar para la fuerza de trabajo extendida de Google Ads, seguida casi una hora después de un correo de una persona que se presentó como estratega de Google Ads. Quien publicó creyó que la foto de perfil de esa persona era generada por IA.
- 3
2 de noviembre de 2026, actualización
Otro profesional del SEO vinculó, según se informa, un nombre y un rostro parecidos con un trabajador de una empresa de subcontratación que «podría trabajar para Google», con un retrato supuestamente hecho en Gemini.
- 4
En el momento del informe
El autor escribió que le preguntó a Google sobre esto y no recibió respuesta.
El vínculo con la empresa de subcontratación viene de una actualización de estilo de foro, y Google no había respondido al autor en ese momento, así que trate el vínculo con la empresa de subcontratación como no confirmado.
Lo que sí dice Google es que trabaja con socios externos. Su página de socios dice que esos socios trabajan en nombre de Google, y añade: «Always check carefully the identity of persons or entities claiming to act, on behalf of Google.» (Siempre verifique con cuidado la identidad de las personas o entidades que dicen actuar en nombre de Google.) Esa línea encaja bien con esta situación. Un contacto puede estar ligado a la fuerza de trabajo extendida de Google y aun así merecer las mismas verificaciones que cualquier otro.
¿Qué nunca debo compartir con alguien que llama de Google Ads?
Guarde cuatro cosas para usted hasta que Google Ads mismo verifique el contacto: su contraseña, cualquier código de verificación enviado a su teléfono o correo, los datos de su tarjeta o de su cuenta bancaria, y una sesión de pantalla en su computadora. Puede darse consejo de campañas sin ninguna de ellas, así que una petición de cualquiera de ellas es su señal para parar.
Si alguien quiere acceso a la cuenta, otórguelo por invitación a una cuenta verificada de Google o de agencia, y elija el nivel de acceso más bajo que cubra el trabajo. La guía de Google sobre cómo mantener su cuenta segura recomienda cuentas individuales de Google, los permisos mínimos necesarios y quitar a los usuarios que ya no están activos.
También puede rechazar la oferta sin dar ningún acceso. Una frase cortés como «envíeme los detalles por correo electrónico y los revisaré» termina la llamada y le da el registro escrito que necesitan las verificaciones.
¿Cómo veo quién tiene acceso a mi cuenta de Google Ads?
Esta es la parte de la revisión que solo usted puede hacer, y muestra si alguien inesperado ya tiene una entrada. Inicie sesión escribiendo ads.google.com usted mismo, en lugar de usar cualquier enlace del mensaje. Luego abra Admin, elija Access and security y revise las áreas Users (usuarios) y Managers (gestores).
La página de Google sobre niveles de acceso a la cuenta describe, entre los niveles, Read-only (solo lectura), Standard (estándar) y Admin (administrador). Read-only permite ver la cuenta, Standard permite trabajar en ella y Admin permite administrar a los propios usuarios. Dé a una agencia o a un freelancer el nivel más bajo que le permita hacer el trabajo.
Revisión de acceso de diez minutos
Escriba ads.google.com en el navegador e inicie sesión como lo hace normalmente.
Vaya a Admin, luego a Access and security, y anote a cada persona y su nivel.
Mire las cuentas de gestor vinculadas a la suya y confirme que conoce a cada una.
Elija Remove access (quitar acceso) para cualquiera inesperado, y baje cualquier nivel más alto de lo que requiere el trabajo.
Busque en las ediciones recientes de presupuesto, facturación y campañas algo que usted no haya hecho.
La página de Google sobre cómo administrar el acceso explica los pasos para quitarlo. Si puede, mantenga dos administradores de confianza, así perder un inicio de sesión nunca lo deja fuera de su propia cuenta.
¿Qué hago si ya hice clic en el enlace o compartí algo?
Actúe en este orden. Si escribió una contraseña en una página que venía del mensaje, cámbiela de inmediato, y cámbiela también en cualquier otro lugar donde la haya usado. La página de ayuda de Google sobre cómo proteger una cuenta hackeada o comprometida explica la recuperación y la verificación en dos pasos.
Luego revise sus usuarios y los cambios recientes de Google Ads con los pasos de arriba, y llame al banco emisor de su tarjeta si compartió datos de pago. Guarde el mensaje original, la dirección del remitente y cualquier enlace antes de borrar nada, porque los necesitará para el reporte.
Si hizo clic en un enlace o compartió un inicio de sesión, una auditoría de seguridad del sitio web puede revisar si el problema llegó más allá de la cuenta de anuncios. Si solo leyó el correo, las revisiones de arriba bastan.
¿Cómo denuncio una posible suplantación de Google Ads?
La página Evitar y denunciar estafas de Google enumera las vías de denuncia, incluida una para la suplantación de Google Ads. El Centro de ayuda de Google Ads también tiene un formulario de queja para un tercero que vende servicios de Google Ads. Diga a Google si el contacto afirmó ser Google, un socio de Google o una agencia independiente, y adjunte la dirección del remitente y cualquier enlace como texto, no como enlaces clicables.
Las estafas que usan el nombre de Google no son nuevas, y las mismas revisiones valen. Nuestras entradas sobre llamadas de estafa de Perfil de Negocio de Google, avisos falsos de renovación de dominio y estafas de facturas de SEO y sitios y anuncios falsos que usan el nombre de su negocio cubren las otras versiones que puede encontrar.
¿Necesito pagar a alguien para revisar un contacto de Google Ads?
No. Todo lo anterior lo puede hacer usted mismo con acceso de administrador, y Google publica cada paso. Pagar solo tiene sentido cuando la revisión encuentra algo más grande: una cuenta de gestor que no reconoce, cambios que usted no hizo, facturación que no puede explicar o un seguimiento de conversiones que nadie ha revisado.
Si eso pasa, pida a quien le ayude que mantenga la cuenta a su nombre, que use inicios de sesión individuales y el nivel de acceso más bajo que funcione, y que anote cada cambio que haga. Así sigue usted al mando después de haber resuelto el contacto inesperado.
¿Puede reconocer un contacto real de Google Ads?
Elija una respuesta para empezar.
1. ¿Qué direcciones de remitente nombra la página de ayuda de Google para sus propios mensajes de Google Ads?
2. Un mensaje incluye un enlace para «revisar su cuenta». ¿Qué debe hacer?
3. Alguien que ya verificó quiere ayudar con sus anuncios. ¿Qué nivel de acceso debe dar?
Preguntas frecuentes sobre la estafa del correo de estratega de Google Ads
¿Es legítimo un correo de estratega de Google Ads?
Depende del remitente, no del nombre ni de la foto. Pida un correo por escrito, lea las direcciones From y Return-Path, y compárelas con @google.com, @ads.google.com y @xwf.google.com. Luego revise Access and security en Google Ads para detectar a cualquiera que no reconozca.
¿Cómo sé si un correo de Google es real?
La página de ayuda de Google dice que un mensaje de Google Ads debe mostrar @google.com o @ads.google.com tanto en el campo From como en Return-Path. Copie la dirección de cualquier enlace y confirme que lleva a google.com antes de hacer clic.
¿Hay algún correo de estafa de Google circulando?
El Centro de ayuda de Google Ads tiene una página sobre correos y llamadas sospechosos que dicen venir de Google Ads, y Search Engine Roundtable informó el 2 de noviembre de 2026 sobre un contacto que usó un nombre y una foto hechos con IA. Use las mismas revisiones de remitente y de enlaces en cualquier mensaje.
¿Es auténtica una dirección @xwf.google.com?
La página de socios de Google dice que sus representantes de la fuerza de trabajo extendida siempre tienen una dirección que termina en @xwf.google.com. Verifique el resto de la solicitud de la misma forma, y no comparta contraseñas ni datos de pago.
¿Puede una foto de perfil hecha con IA demostrar que un contacto es falso?
Una foto por sí sola no es la prueba. Los informes dicen que un nombre y un rostro parecidos podrían vincularse con un trabajador de una empresa de subcontratación que podría trabajar para Google. Juzgue el contacto por su dirección, sus enlaces y lo que le pide compartir.
¿Qué nivel de acceso debo dar a alguien que ayuda con mis anuncios?
Dé el nivel más bajo que cubra el trabajo, e invite a una cuenta verificada de Google o de agencia. Read-only permite ver, Standard permite trabajar en la cuenta y Admin permite administrar a los usuarios.
Para seguir adelante
Un correo extraño de un «estratega de Google Ads» tiene detrás una lista corta de revisiones. Pida un correo por escrito, compare las direcciones From y Return-Path con los dominios que nombra Google, copie cualquier enlace antes de hacer clic y revise quién tiene acceso en Admin, luego en Access and security. Mantenga su contraseña, sus códigos de verificación y sus datos de pago para usted en todo momento.
Esas revisiones mantienen el control de su cuenta de anuncios en sus manos, y funcionan igual para la siguiente llamada inesperada. Puede hacerlas todas solo, y hacerlas una vez también le deja una lista clara de quién puede llegar a su cuenta.
Si la revisión muestra algo que no puede explicar, Web Leveling puede revisarlo con usted. Nuestro trabajo de gestión de Google Ads mantiene la cuenta a su nombre, usa el nivel de acceso más bajo que funcione y documenta cada cambio. Trabajamos con pequeñas y medianas empresas de todo el país y del extranjero. Envíenos lo que mostró la revisión de la cuenta, y le diremos qué hay que corregir y qué puede dejar como está.
Términos
Palabras usadas en este artículo
Toque un término para ver qué significa.
Return-Path. Una dirección oculta en los encabezados de un correo que indica a dónde van las respuestas y los rebotes, y que según Google debe coincidir con sus propios dominios.
Fuerza de trabajo extendida (extended workforce). Los contratistas externos que trabajan en nombre de Google, y que según Google usan direcciones de correo que terminan en @xwf.google.com.
Cuenta gestora (manager account). Una cuenta de Google Ads vinculada a la suya que puede recibir acceso para administrarla.
Nivel de acceso. El permiso que tiene un usuario en una cuenta de Google Ads, como Read-only, Standard o Admin.
Suplantación (impersonation). Hacerse pasar por Google o por un socio de Google para ganar confianza, acceso o pagos.
Verificación en dos pasos. Una segunda prueba de identidad, como un código enviado a su teléfono, que se pide al iniciar sesión.
