“Legítima” suele significar tres cosas: la empresa existe, es quien dice ser y no tiene alertas graves en su contra. Comprueba cada una por separado.
Busca en el registro oficial: Companies House (Reino Unido), el registro mercantil de tu estado o SEC EDGAR (EE. UU.), el Registro Mercantil de tu país o la base de datos LEI de GLEIF para grandes empresas internacionales. Anota el estado, la fecha de constitución y el domicilio social.
Los suplantadores copian empresas reales. Comprueba que la web, el dominio del correo, el teléfono y la dirección de lo que has recibido coinciden con el registro y con la web oficial de la empresa. Un nombre de empresa real con otra web u otra cuenta bancaria es un patrón clásico de suplantación.
Revisa las alertas de reguladores (IOSCO I-SCAN reúne avisos de muchos reguladores nacionales), las listas de sanciones (OFAC) y las opiniones. Cuidado con las coincidencias solo por nombre: otras empresas pueden tener un nombre parecido, y las marcas conocidas a menudo son suplantadas, lo que no es un punto en su contra.