Últimamente están circulando diversas campañas de phishing y smishing en las que se suplanta la identidad de la Dirección General de Tráfico (DGT) para robar datos personales y bancarios a los usuarios. Así lo ha advertido el Instituto Nacional de Ciberseguridad (Incibe) en su último aviso a la ciudadanía, clasificado como de alta importancia con un nivel cuatro sobre cinco posibles.
Según señala el Incibe, estas campañas consisten en el envío masivo de correos electrónicos y SMS falsos que simulan proceder de la DGT y usan como gancho una supuesta multa pendiente, que los atacantes instan a pagar en un corto margen de tiempo. Para ello, meten presión a los usuarios haciéndoles creer que esa notificación es un recordatorio final y que pueden enfrentarse a otros cargos adicionales si no realizan el pago inmediatamente a través del enlace que se proporciona en los mensajes.
"Al hacer clic sobre el enlace, la víctima será redirigida a un sitio web que imita a la página oficial de la DGT, donde se le solicitarán datos personales y bancarios mediante varios formularios fraudulentos, además de una imagen del DNI", advierte el Incibe.
"Durante este proceso, los atacantes consiguen progresivamente toda la información introducida en los formularios, desde datos personales hasta bancarios. Estos datos pueden ser utilizados para realizar fraudes o cometer otros delitos en el futuro", apunta.
En su aviso, el Incibe también aporta varias capturas de estos correos de phishing y SMS de smishing. En ellas, se puede observar que los atacantes han descuidado la ortografía y la gramática de los mensajes, en los que también se evidencia la presión ejercida sobre sus potenciales víctimas.
"Si analizamos los enlaces, a simple vista, se puede observar que no tienen relación con el dominio oficial de la DGT. Además, el patrón utilizado en estas direcciones web determina que se han utilizado herramientas para acortar la URL fraudulenta", indica el Incibe.
Cabe destacar que este tipo de campañas maliciosas no son ni mucho menos nuevas. De hecho, la propia DGT ya ha advertido sobre ellas reiterando que las infracciones nunca se notifican a los usuarios por SMS o correo electrónico, solamente por correo postal o a través de la Dirección Electrónica Vial, en caso de estar dado de alta.
Cómo actuar frente a estas campañas maliciosas
En su aviso, el Incibe también explica que se debe hacer tanto si se es objetivo de estas campañas como si se ha caído en la trampa.
En el primer caso, aconseja bloquear al remitente, eliminar el mensaje o correo de la bandeja de entrada "para evitar posibles futuros riesgos" y reportarlo a su buzón de incidentes "para poder difundir el fraude y evitar más víctimas".
Por otro lado, si se ha accedido al enlace y se han proporcionado datos a través del formulario, el Incibe recomienda seguir los siguientes pasos:
- Comunícate de inmediato con tu entidad bancaria para que te aconsejen sobre las medidas necesarias para proteger tu cuenta.
- Haz capturas de pantalla y conserva todas las pruebas posibles del mensaje y los enlaces adjuntos.
- Realiza la práctica de egosurfing con regularidad para comprobar si tus datos personales han sido publicados o están siendo utilizados sin tu consentimiento en Internet.
- Contacta con la Línea de Ayuda en Ciberseguridad de INCIBE para recibir asesoramiento e indicaciones de cómo actuar.
- Si has enviado una imagen de tu DNI, presenta una denuncia ante las Fuerzas y Cuerpos de Seguridad del Estado para, de esta forma, poder renovarlo y que los atacantes no dispongan de tu documento de identificación en validez. Además, deberás aportar otras evidencias que hayas recopilado sobre el fraude para facilitar la investigación.
- Si dudas sobre la veracidad de una comunicación de la DGT, ten en cuenta que este organismo notifica sus sanciones a través del correo postal (, y en caso de no poder localizarte en tu domicilio, mediante publicación en el tablón edictal) o por medio de notificación electrónica, vía DEV – Dirección Electrónica Vial.