Recibes un mensaje de la Dirección General de Tráfico (DGT), introduces tu nombre y la matrícula para comprobar una supuesta multa y, segundos después, aparece una sanción por exceso de velocidad con número de expediente, código de barras y hasta un descuento por pronto pago. Todo parece encajar. Pero realmente hay un problema: la multa no existe y los datos que hacen que parezca personalizada se los acabas de proporcionar tú mismo a los ciberdelincuentes.
Este es el recorrido de una nueva campaña de phishing y smishing detectada por el Instituto Nacional de Ciberseguridad (INCIBE) que suplanta a la DGT mediante correos electrónicos y SMS. El objetivo final es conseguir información personal y los datos completos de la tarjeta bancaria.
La campaña utiliza una estrategia especialmente efectiva: no presenta desde el principio una multa con todos sus detalles. Primero solicita información a la víctima y después la utiliza para construir una sanción aparentemente creíble, aumentando las posibilidades de que continúe hasta el pago.
Todo empieza con una multa que requiere atención urgente
El primer contacto puede producirse mediante correo electrónico o SMS. Los mensajes informan de una supuesta sanción pendiente o de un expediente que necesita ser revisado y proporcionan un enlace para consultar los detalles.
En uno de los correos detectados se utiliza como asunto “El proceso de gestión de su expediente sigue en curso”, acompañado de un botón para revisar el supuesto expediente.
Otra variante aumenta considerablemente la presión. Avisa de un “último recordatorio antes del recargo” y asegura que una multa inicialmente de 100 euros ha aumentado hasta 200 y llegará a 400 euros en 24 horas. Al mismo tiempo, promete devolver el incremento si el usuario paga inmediatamente.
La estrategia se repite en los SMS: una multa pendiente, un plazo muy reducido y un enlace para consultar el expediente o evitar un nuevo recargo.
La urgencia es uno de los principales elementos del engaño. El objetivo es conseguir que la víctima actúe antes de detenerse a comprobar si realmente tiene alguna sanción pendiente.
La web falsa empieza pidiéndote tu nombre y matrícula
Al pulsar el enlace, el usuario abandona los canales oficiales y accede a una página preparada por los ciberdelincuentes.
El fraude incorpora incluso una primera pantalla con el mensaje “Acceso seguro: haga clic para confirmar”. Superar esta comprobación no significa que la página sea legítima ni acredita ninguna relación con la DGT.
Después aparece una web que reproduce elementos visuales, logotipos y menús del organismo oficial. Bajo el mensaje “Sanción pendiente de regularización”, solicita dos datos aparentemente razonables para consultar una multa: nombre y apellidos y matrícula del vehículo.
Aquí se encuentra una de las claves del fraude.
La página todavía necesita información de la víctima para conseguir que la siguiente fase resulte mucho más convincente.
Introduces la matrícula y aparece una multa aparentemente personalizada
Después de facilitar esos datos, la página genera una supuesta notificación por exceso de velocidad.
La falsa sanción incluye un número de expediente, código de barras, referencias a normativa y otros elementos destinados a reforzar su apariencia oficial.
Además, establece un importe de 140 euros, pero ofrece reducirlo a 70 euros si el usuario realiza el pago ese mismo día. Una estrategia aparentemente convincente.
Pero que una página conozca tu nombre o la matrícula de tu coche no demuestra que exista ninguna multa. En este caso, esa información procede precisamente del formulario que acaba de completar el propio usuario.
La personalización se convierte así en una herramienta de ingeniería social: los ciberdelincuentes consiguen que la propia víctima aporte parte de la información necesaria para hacer más creíble el engaño.
El verdadero objetivo aparece en el “Pago seguro”
Una vez convencida la víctima de que la sanción existe, comienza la fase más peligrosa.
La página muestra un nuevo formulario bajo el título “Pago seguro” y mantiene la supuesta reducción de la multa hasta los 70 euros. Para completar el pago solicita el nombre del titular, número de tarjeta, fecha de caducidad y código de seguridad CVV.
También aparecen logotipos asociados a medios de pago y mensajes que aseguran que la información está protegida.
Ninguno de estos elementos convierte la página en legítima. El objetivo del recorrido es precisamente conseguir que el usuario llegue hasta este punto y entregue voluntariamente los datos necesarios de su tarjeta bancaria.
