INCIBE alerta de una campaña de phishing y smishing que suplanta a la DGT, crea una sanción personalizada y termina solicitando todos los datos de la tarjeta bancaria.
📌 En resumen
- La campaña comienza mediante un correo electrónico o SMS sobre una supuesta multa pendiente.
- La web falsa solicita el nombre, los apellidos y la matrícula del vehículo.
- Esos datos se utilizan para fabricar una sanción aparentemente personalizada.
- El falso proceso de pago solicita el número de tarjeta, la fecha de caducidad y el CVV.
- Si has introducido la tarjeta, debes contactar con el banco sin esperar a que aparezca un cargo.
El Instituto Nacional de Ciberseguridad ha detectado una campaña que suplanta a la Dirección General de Tráfico mediante correos electrónicos y mensajes SMS sobre falsas multas.
La particularidad del fraude es que la página solicita primero el nombre y la matrícula del vehículo. Después reutiliza esa información para generar una sanción personalizada que parece real y conduce a un formulario destinado a robar los datos completos de la tarjeta bancaria.
La estafa comienza con una supuesta multa de la DGT
El primer contacto se produce mediante un mensaje que informa de una multa pendiente, un expediente en curso o un recargo que debe evitarse urgentemente.
Una de las variantes detectadas utiliza el asunto “El proceso de gestión de su expediente sigue en curso” e incorpora un botón para revisar el supuesto expediente.
Otra versión se presenta como el último recordatorio antes del recargo. El correo asegura que una multa inicialmente de 100 euros ha aumentado hasta 200 euros y que alcanzará los 400 euros en 24 horas.
El mensaje también promete devolver parte del incremento si el destinatario paga inmediatamente. Tanto la amenaza como la supuesta devolución forman parte de la estrategia para evitar que la víctima compruebe la sanción.
Los SMS siguen un patrón similar: anuncian una multa, establecen un plazo muy corto e incluyen un enlace para consultar el expediente o impedir que aumente el importe.
La web falsa pide el nombre y la matrícula
Al pulsar el enlace, el usuario abandona los canales oficiales y accede a una página controlada por los ciberdelincuentes.
La web puede mostrar inicialmente una casilla con el mensaje “Acceso seguro: haga clic para confirmar”. Esta pantalla no demuestra que la conexión pertenezca a la DGT y solo busca aumentar la confianza de la víctima.
La siguiente página reproduce logotipos, colores y menús asociados al organismo. Bajo el texto “Sanción pendiente de regularización”, solicita:
- Nombre y apellidos.
- Matrícula del vehículo.
Estos datos no se utilizan para localizar una sanción real. Su función es personalizar la siguiente pantalla y hacer que el engaño resulte más convincente.
La matrícula se utiliza para fabricar una multa creíble
Después de completar el formulario, la página genera una supuesta infracción por exceso de velocidad que incluye el nombre y la matrícula introducidos anteriormente.
La falsa notificación también muestra un número de expediente, un código de barras y referencias normativas. Estos elementos visuales pueden dar apariencia oficial al documento, pero no prueban que exista una multa auténtica.
La campaña analizada por INCIBE reclama 140 euros y ofrece reducir el importe a 70 euros si se paga durante ese mismo día.
La personalización puede hacer creer que los delincuentes ya conocían el vehículo de la víctima. En realidad, la propia persona les acaba de facilitar la información mediante el formulario anterior.
El falso pago intenta robar todos los datos de la tarjeta
Cuando la víctima intenta aprovechar la supuesta reducción, la web abre otro formulario titulado “Pago seguro”.
En esta fase se solicita la información necesaria para utilizar fraudulentamente una tarjeta:
- Nombre del titular.
- Número completo de la tarjeta.
- Fecha de caducidad.
- Código de seguridad CVV.
La página puede incorporar logotipos de medios de pago y mensajes que aseguran que la información está protegida. Ninguno de estos elementos convierte el formulario en un canal legítimo.
El objetivo final de la campaña es conseguir los datos bancarios. La información personal y la matrícula también pueden conservarse para preparar nuevos fraudes más personalizados.
Cómo comprobar si una multa de la DGT es real
La existencia de una sanción debe comprobarse entrando directamente en los canales oficiales, nunca desde el enlace recibido en un correo o SMS.
La DGT notifica las multas por correo postal o a través de la Dirección Electrónica Vial. También pueden consultarse los trámites relacionados con sanciones desde la aplicación miDGT y la sede electrónica oficial.
Si el usuario está dado de alta en la DEV, puede recibir un correo electrónico o un SMS avisando de que tiene una nueva notificación. Ese mensaje es únicamente un aviso: la comunicación debe consultarse entrando directamente en el buzón de la DEV mediante los sistemas oficiales de identificación.
Un aviso legítimo no debería conducir a una web ajena a la Administración que exija introducir todos los datos de la tarjeta para evitar un recargo inmediato.
Señales que permiten detectar la multa falsa
- El mensaje exige actuar en pocas horas.
- Amenaza con duplicar o cuadruplicar el importe.
- Promete devolver parte del recargo si se paga inmediatamente.
- El dominio del enlace no pertenece a la DGT.
- Solicita el nombre y la matrícula para generar el expediente.
- Pide el número completo de la tarjeta y el CVV.
- Utiliza logotipos y expresiones como “pago seguro” para aparentar legitimidad.
El nombre mostrado como remitente tampoco garantiza que el mensaje sea auténtico. Los atacantes pueden manipular el identificador de un SMS y conseguir que aparezca agrupado junto a comunicaciones legítimas.
Qué hacer si has introducido tus datos
Si únicamente has recibido el mensaje, no respondas ni pulses el enlace. Bloquea al remitente, elimina la comunicación y repórtala a INCIBE.
Si has abierto la página pero no has completado ningún formulario, ciérrala. No es necesario pagar ni continuar con la supuesta comprobación de seguridad.
Si has facilitado el nombre y la matrícula, conserva capturas y permanece atento a nuevos mensajes personalizados. Esa información podría utilizarse para preparar otros intentos de suplantación.
Si has introducido los datos de la tarjeta, actúa inmediatamente:
- Contacta con el banco mediante su aplicación, teléfono o web oficial.
- Solicita el bloqueo o sustitución de la tarjeta.
- Revisa los últimos movimientos y activa las notificaciones de operaciones.
- Comunica al banco cualquier cargo que no reconozcas.
- Guarda el mensaje, la dirección fraudulenta y las capturas disponibles.
- Presenta una denuncia ante la Policía Nacional o la Guardia Civil.
No es recomendable esperar hasta detectar un cargo. Los datos de la tarjeta ya pueden estar en manos de terceros aunque el falso pago mostrase un error o no llegara a confirmar la operación.
INCIBE ofrece asistencia gratuita y confidencial mediante el teléfono 017, WhatsApp en el 900 116 117 y Telegram a través de @INCIBE017.
