Phia y el cookie stuffing: fraude electrónico en startups

¿Qué es el "cookie stuffing" y por qué preocupa a los reguladores?

La startup Phia, fundada en 2025 por Phoebe Gates (hija del cofundador de Microsoft) y su compañera de Stanford Sophia Kianni, enfrenta un escándalo que podría redefinir los límites legales del marketing de afiliados. Según una investigación de Bloomberg, la extensión de Chrome de la empresa abría pestañas ocultas durante el proceso de pago en tiendas online para inyectar sus propios códigos de afiliación, cobrando comisiones sobre ventas que no había generado.

El dato más contundente: las prácticas cuestionadas representaron aproximadamente el 51% del valor de mercancía por el que Phia reclamó créditos en junio de 2026, según revelaron informes basados en comunicaciones internas. Esto significa que más de la mitad de los ingresos por afiliados de la compañía podrían corresponder a transacciones donde Phia no tuvo intervención real del consumidor.

Para un founder hispanohablante, esto no es solo chisme tecnológico: es una lección sobre cómo una práctica comercial aparentemente común puede convertirse en un delito federal si cruza líneas regulatorias específicas.

👥 ¿Quieres ir más allá de la noticia?

En nuestra comunidad discutimos las tendencias, compartimos oportunidades y nos ayudamos entre emprendedores. Sin humo, solo acción.

👥 Unirme a la comunidad

¿Cómo funciona el "cookie stuffing" técnicamente?

En el modelo tradicional de marketing de afiliados, un creador o plataforma recibe un porcentaje cuando redirige consumidores reales a una tienda. El rastreo funciona mediante cookies que se colocan cuando el usuario hace clic en un enlace de afiliado legítimo. Si compra, el sistema sabe quién generó la venta.

El "cookie stuffing" altera este mecanismo. La herramienta abre pestañas ocultas en segundo plano e inserta automáticamente los códigos de seguimiento sin interacción previa del usuario. Durante el checkout, Phia habría sobrescrito los códigos de referencia de otros programas de afiliados —como Wirecutter— con los suyos propios, apropiándose de la atribución.

Según TechCrunch, investigadores hallaron que si un usuario visitaba un retailer por su cuenta o a través de otro programa de afiliados, Phia abría una nueva pestaña en silencio y, al momento del pago, reemplazaba los códigos existentes. Una vez que el problema fue señalada, Phia afirmó haber realizado los cambios necesarios. Sin embargo, el daño reputacional ya estaba hecho: Impact.com, la red de afiliados utilizada por la startup, suspendió a Phia y comenzó a redistribuir las comisiones.

¿Puede llegar a ser un delito federal? La respuesta está en precedentes

Aquí es donde el caso cobra dimensión seria. El "cookie stuffing" ha sido previamente procesado como fraude electrónico federal en Estados Unidos.

Según Global Market News, en un caso emblemático contra el programa de afiliados de eBay, el marketero Brian Dunning se declaró culpable de fraude electrónico tras admitir que su empresa recibió aproximadamente US$5,2 millones en comisiones por transacciones para las cuales no tenía derecho. El Departamento de Justicia de EE.UU. señaló entonces que la condena carryaba una pena máxima estatutaria de 20 años de prisión, además de multas y restitución.

Actualmente, no existe ninguna indicación de que Gates o Kianni hayan sido formalmente imputadas. La fiscalía tendría que demostrar conocimiento deliberado e intención clara de cometer un delito informático. Pero el precedente legal es claro: lo que empezó como una disputa comercial entre una startup y sus partners puede escalar rápidamente a un caso penal si se prueba dolo.

Lo que las comunicaciones internas revelan

Lo que distingue este caso de errores técnicos inocentes es lo que muestran las comunicaciones internas citadas en los informes. Gates y Kianni supuestamente conocían el comportamiento desde diciembre de 2025, meses antes de que estallara el escándalo público.

Según los mismos informes, una función interna llamada "enable coupon auto drop" podía activarse o desactivarse manualmente —no era un bug impredecible, sino una característica deliberada. Mensajes internos de Slack mostrarían a Gates preguntando a desarrolladores asegurarse de que los cookies se estuvieran distribuyendo lo suficientemente amplio para monetizar transacciones.

Este detalle cambia completamente la narrativa inicial de Phia, que presentó el problema como un descubrimiento reciente. Si los fundadores sabían desde diciembre y actuaron hasta julio, la línea entre "error técnico" y "práctica intencional" se vuelve muy delgada ante un eventual tribunal.

El impacto financiero: ¿cuánto ganaba Phia con esto?

Los números son reveladores. Tras desactivar las funciones disputadas, los ingresos diarios promedio de Phia cayeron de aproximadamente US$80.000 a entre US$10.000 y US$28.000, según los informes. La startup disputó la implicación de esas cifras, argumentando que la caída también se debió al cierre de otras iniciativas de monetización durante ese período.

Pero el dato que genera más preguntas es otro: el 51% del valor de mercancía atribuido en junio provenía de prácticas cuestionables. Las transacciones afectadas involucraban grandes retailers como Nike, Gap y Nordstrom. Para una startup que acaba de levantar más de US$40 millones con inversores como Khloé Kardashian y Hailey Bieber, la pregunta incómoda es obvia: cuánto de su tracción comercial real venía de clientes que realmente influyó versus cuántos créditos obtuvo por mecanismos opacos.

¿Qué significa esto para tu startup?

Si estás construyendo un negocio basado en modelos de afiliados, comparadores de precios o cualquier plataforma que genere comisiones por referencias, este caso es una advertencia directa:

1. Audita tus mecanismos de atribución constantemente. No basta con confiar en que "el sistema funciona". Cada integración con redes de afiliados (Impact.com, ShareASale, CJ Affiliate) debe tener controles de transparencia. Si tu herramienta puede influir en la atribución de ventas sin consentimiento explícito del usuario, necesitas auditorías externas periódicas.

2. Documenta todo internamente. Las comunicaciones internas de Phia demuestran que lo que dice un founder en Slack puede convertirse en evidencia clave. Si hay decisiones sobre cómo se manejan los tracking cookies, asegúrate de que estén documentadas con base legal y ética verificable. Un error técnico tiene defensa; una decisión deliberada con conocimiento previo, no.

3. Contrata compliance temprano. Phia anunció que contratará un responsable de cumplimiento normativo. No esperes a que Impact.com te suspenda ni a que aparezca una investigación de Bloomberg. Un head of compliance desde Serie A protege tu modelo de negocio y tu reputación.

4. Sé transparente con tus partners. Cuando surgieron las primeras señales de alerta, Phia pudo haber actuado proactivamente en lugar de esperar a que un medio investigara. La confianza con retailers y redes de afiliados es un activo frágil: una vez perdida, cuesta años recuperarla.