En r/Scams apareció un post con la etiqueta "Scam report" del usuario u/Specific-Wait-7630. Va sobre el sitio aldi.pondmart[.]shop: el autor "rompió" el enlace a propósito con corchetes para que nadie le diera clic sin querer. Según él, la página copia visualmente el sitio real de Aldi casi clavado: los mismos logos, la misma maquetación, la misma tipografía, así que en un vistazo rápido desde el móvil es facilísimo no darse cuenta del cambio. A su juicio, hay dos objetivos: recoger datos de tarjetas bancarias o cobrar por mercancía que nunca se va a enviar.

No adjuntó capturas ni otras pruebas: solo el dominio.

Según WHOIS, pondmart.shop se registró el 22 de abril de 2026 y se actualizó el 29 de octubre de 2026, el registrador es Spaceship y los datos del titular no se han hecho públicos. O sea, el dominio apareció unos seis meses antes de la publicación, y es una plataforma completamente ajena a Aldi. En el momento de mi comprobación, el propio subdominio aldi.pondmart[.]shop devuelve un error 500 de nginx, y el raíz pondmart.shop directamente no me abre: parece que el sitio ya se cayó o se está tapando de las verificaciones.

La postura del propio minorista vale más que cualquier especulación. En octubre de 2026, Aldi en Gran Bretaña respondió públicamente a la pregunta de un cliente en redes: "This is not a legitimate Aldi site I'm afraid. We do not offer any online services" (me temo que este no es un sitio legítimo de Aldi. No ofrecemos ningún servicio en línea). En ese mismo material se cuenta el caso de un adolescente de 16 años que intentó comprarle un regalo a su hermana en un clon de Aldi y perdió el dinero, mientras que a otros clientes les colocaban un juego de muebles de 29 libras. El sitio británico de Aldi es, en realidad, una vitrina: no se puede comprar a través de él. En Australia, Aldi dice sin rodeos que el único sitio donde se venden sus productos en línea es DoorDash, y que cualquier otra web es ilegítima. En EE. UU., la entrega y la recogida funcionan a través de aldi.us y de sus socios —Instacart, DoorDash, Uber Eats—, tal como lo indica la propia Aldi en sus comunicados de prensa. Así que el consejo del autor del post de fijarse en el dominio raíz (aldi.us, aldi.co.uk) es correcto, pero con un matiz: en EE. UU. el pago muchas veces no va directo a aldi.us, sino a la plataforma del socio, y eso es lo normal, no señal de un sitio falso.

El esquema no es nuevo y está bien documentado. En mayo de 2026, Malwarebytes analizó un caso parecido: un post en Facebook sobre una caja de carne de Aldi por 10 dólares, con el enlace escondido en el primer comentario mediante el acortador cutt[.]ly; primero un script toma la huella del dispositivo y luego redirige a gifts-survey[.]life, una copia del sitio de Aldi. Allí mismo los analistas listan las señales: un precio demasiado bueno, una historia conmovedora del tipo "mi hijo trabaja en Aldi", una restricción de edad inventada y el enlace puesto no en el cuerpo del post sino en el comentario — justamente para colarse ante la moderación automática. En septiembre de 2026, el análisis de clones de Aldi de freidoras mostró la misma mecánica: en la dirección asoma "aldi", pero el dominio es de otro, algo como sell-ukaldi.cindralis15874[.]com, más presión del tipo "¡solo quedan 3!".

La parte práctica, que es para lo que se escriben estos posts. Si ya introdujiste los datos de tu tarjeta en un sitio sospechoso, llama de inmediato al banco o al emisor de la tarjeta y cambia las contraseñas, sobre todo si usas la misma en otros servicios. Es mejor comprar desde el sitio de la tienda tecleado a mano, no desde un clic en publicidad. En Australia, Aldi pide denunciar estos sitios en Scamwatch; en Gran Bretaña funciona Action Fraud; en EE. UU., reportfraud.ftc.gov.