Ya hay 4.500 afectados esta semana por el falso SMS de la DGT que vacía tu cuenta en 3 minutos

Los tres minutos: así vacían la cuenta paso a paso

El cronómetro arranca con el pitido del móvil. El mensaje llega firmado como «DGT» o «Tráfico» —el protocolo SMS no verifica el remitente, así que ese nombre se puede falsificar— y en muchas ocasiones se cuela dentro de un hilo anterior con avisos legítimos, lo que desactiva la primera alarma. El texto no da tregua: una sanción de 80 euros que se duplica en 24 o 48 horas si no se abona, y un enlace. Ese enlace no lleva a dgt.es. Lleva a un clon con el logotipo y los colores del organismo, a menudo con un dominio trampa —guiones en lugar de puntos, terminación .com, del estilo a www-dgt-es.com— y con detalles delatores, como una fecha y hora desfasadas en la esquina superior derecha, según el ejemplo documentado por INCIBE. El primer minuto se consume ahí: un formulario pide nombre, apellidos, correo, fecha de nacimiento, dirección y teléfono; el siguiente, el número de tarjeta, la caducidad y el CVV.

Lo que viene después convierte el susto en un vaciado. La web simula una validación por mensaje: el código nunca llega y cualquier secuencia numérica abre un formulario que pide el PIN de la tarjeta; en otras variantes, los estafadores piden directamente el código de confirmación que sí acaba de entrar en el móvil de la víctima. Con ese material validan la doble verificación del banco y ejecutan compras o transferencias en su nombre. El RACE ha documentado operaciones que superan los 3.000 euros en un solo movimiento, y hay afectados que han perdido más de 1.600. Para cuando el usuario termina, la página lo redirige al portal auténtico de Tráfico y todo parece en orden. De ahí que la reacción tenga que ser igual de veloz: bloquear la tarjeta con la entidad, denunciar con capturas para reclamar la retrocesión del cargo y llamar al 017 de INCIBE.

500 afectados en una semana: el pico de la oleada y quién está cayendo

El pico de la oleada no se mide por los mensajes enviados —se cuentan por millones— sino por quienes acaban dejando sus datos en la página clonada. Los 4.500 afectados contabilizados en una sola semana marcan el tramo más alto de esta campaña y llegan después de meses de avisos encadenados: la DGT alertó en febrero, INCIBE volvió a catalogar la amenaza el 28 de septiembre con importancia alta y los envíos no han dejado de crecer. La comparación con el año anterior da la escala: las denuncias se han multiplicado en torno a un 300% respecto a 2025, según datos preliminares policiales, con la presión concentrada en Madrid, Cataluña y Andalucía. La investigación Operation Road Trap de Bitdefender, que siguió la campaña entre diciembre de 2025 y abril de este año, contabilizó más de 79.000 SMS fraudulentos, 31.900 URL maliciosas y 40 campañas activas en doce países.

Quien cae ya no responde al perfil del conductor despistado ni al del jubilado sin costumbre digital. La Guardia Civil advierte de que incluso personas jóvenes, habituadas a detectar bulos, están picando, y de que muchos receptores ni siquiera tienen coche o carnet: el mensaje llega igual y basta con que el gancho sea verosímil. Dos factores explican esa ampliación del objetivo. Los importes reclamados son deliberadamente pequeños —20, 50, 70 euros—, una cifra que no invita a desconfiar, y el remitente falsificado se cuela dentro del mismo hilo en el que el usuario ya tiene avisos legítimos de la administración. El daño se mide en cargos concretos: un vecino de La Bañeza creyó pagar 20 euros y le sustrajeron 900 en un centro comercial de Torrevieja; a un socio de Facua Córdoba, de 77 años, le hicieron catorce cargos hasta sumar 930 euros, y un juzgado condenó a ING a devolvérselos. Como buena parte de las víctimas no denuncia, los 4.500 son un suelo y no un techo.

Las cinco señales que delatan el SMS falso de la DGT

I’ll search for current information on this topic.

La primera señal, y la que por sí sola desmonta el engaño, es el canal: la Dirección General de Tráfico no notifica sanciones por SMS ni por correo electrónico. Las multas llegan por correo postal, por la Dirección Electrónica Vial (DEV) —previa alta voluntaria del conductor— o por el Tablón Edictal Único. Cualquier mensaje de texto que anuncie una infracción es, por definición, falso. La segunda pista es la prisa: los mensajes hablan de 24 o 48 horas, de que la sanción pasará de 100 a 200 euros y de que alcanzará los 400 si no se abona de inmediato. Esa cuenta atrás no existe en el procedimiento real, donde lo que cabe es una reducción del 50% por pronto pago, no un recargo exprés. El objetivo es que la víctima decida en segundos y no compruebe nada; de ahí que los avisos de INCIBE y la OCU insistan en la urgencia como el rasgo más reconocible del fraude.

El tercer indicio es el enlace: aunque la dirección incluya las siglas DGT, el dominio no es el oficial (sede.dgt.gob.es), sino variantes como dgt-pagos.com, multas-dgt.xyz o dgt-gestion.info. El cuarto es el remitente: los delincuentes falsifican el identificador (SMS spoofing) y el mensaje puede aparecer como «DGT» o colarse en el mismo hilo donde ya hay avisos legítimos, lo que desactiva la desconfianza inicial. El quinto es el contenido: el texto es genérico, sin matrícula, sin número de expediente y sin datos del titular, porque se envía de forma masiva. La trampa se cierra en la web clonada, que pide número de tarjeta, fecha de caducidad y CVV, a veces junto a un código de verificación que nunca llega. Ante la mínima duda, no hay que pulsar nada: la consulta se hace en la app miDGT o en dgt.es.

Si has picado: qué hacer en las primeras horas

Si has tecleado los datos de la tarjeta en la web falsa, el reloj corre y lo primero no es mirar si ya hay cargos, sino llamar al banco. La instrucción de INCIBE es bloquear la tarjeta de inmediato a través del teléfono de emergencias que figura en el reverso de la tarjeta o en la app de la entidad, nunca uno que llegue por SMS o en una llamada posterior. Después se revisan los movimientos, pero no antes: un cargo puede tardar horas en aparecer y el bloqueo evita los siguientes. Conviene contar además si se facilitó el código de confirmación que el banco manda por SMS, porque algunos de estos formularios lo piden y con él se cierra la operación. Hay una diferencia que marca la reclamación: lo que el estafador cargue con esos datos es una operación no autorizada y la normativa de servicios de pago obliga a la entidad a devolverla, mientras que el pago que uno mismo ordenó creyendo saldar la multa (140 euros rebajados a 70 en la versión analizada por INCIBE) es un pago autorizado bajo engaño y se pelea por retrocesión, con plazos que se cuentan en días.

En paralelo hay que fijar las pruebas antes de que se pierdan: capturas del mensaje, de la URL exacta y la hora, y del formulario rellenado. Con eso se presenta denuncia en Policía Nacional o Guardia Civil, que es el documento que luego reclama el banco, y se reporta el fraude a INCIBE a través de su Línea de Ayuda (017, gratuita) o de su buzón de incidentes, lo que ayuda a tumbar dominios y avisar a otros conductores. Si se llegó a subir una foto del DNI, la denuncia permite además renovarlo para que los atacantes no tengan un documento válido. Toca cambiar las contraseñas de la banca online y activar el doble factor con app, no con SMS, porque el teléfono ya está en su punto de mira, y conviene desconfiar de la segunda llamada: ahora también suplantan al banco para «ayudar» a recuperar el dinero. Y una comprobación de calma: si solo diste matrícula y nombre, no hay dinero en juego todavía, pero sí datos que deben quedar registrados; las multas reales llegan por correo postal o por la Dirección Electrónica Vial, así que la consulta se hace entrando uno mismo en dgt.es o en MiDGT.

Por qué la DGT es el anzuelo favorito de los estafadores

La DGT reúne las tres condiciones que busca cualquier campaña de smishing: un censo de víctimas potenciales enorme, una autoridad que nadie discute y un trámite —pagar una multa— que casi todo el mundo relaciona con prisas y con dinero. A diferencia de lo que ocurre con un banco, no hace falta ser cliente de nada: basta con tener coche, carné o simplemente un DNI en una base de datos filtrada. El gancho, además, es barato: la sanción reclamada suele ser de decenas de euros, una cifra lo bastante baja para no activar las alarmas. Los mensajes añaden una presión que no existe en ningún procedimiento real. Los ejemplos difundidos por INCIBE hablan de una multa que pasa de 100 a 200 euros y que llegará a 400 en 24 horas si no se paga; otras versiones ofrecen un descuento de hasta el 50% por abonarla ese mismo día. Es el miedo a pagar más lo que hace pulsar el enlace.

El resultado es una campaña que no se agota. La propia DGT ha registrado más de 830 intentos de suplantación de su imagen en los últimos cinco años y solo en 2025 solicitó la retirada de 195 webs fraudulentas; sus responsables de ciberseguridad reconocen que por cada dominio deshabilitado aparecen varios nuevos y que el cibercrimen avanza «tres veces más rápido» que la Administración. La escala del fenómeno acompaña: INCIBE atendió más de 21.500 casos de phishing a ciudadanos en un año y la Policía Nacional calcula que las estafas digitales crecen en torno al 10% anual. Hay un matiz que juega a favor del engaño: la DGT sí envía avisos por SMS y correo a quienes están dados de alta en la Dirección Electrónica Vial (DEV), así que el ciudadano ha aprendido que Tráfico le escribe. Las notificaciones reales, en cambio, llegan por correo postal o dentro de la propia DEV, y nunca reclaman la tarjeta desde un enlace ajeno al organismo.