La regla que lo desmonta todo: la DGT no notifica multas por SMS ni pide datos bancarios
La regla que permite descartar el fraude sin analizar el mensaje es una sola: la Dirección General de Tráfico no comunica sanciones por SMS ni por correo electrónico, y en ningún caso reclama datos de tarjeta para cobrar una multa. Sus vías son el correo postal certificado, la publicación en el tablón edictal (TESTRA o TEU) cuando no se localiza al titular en su domicilio y, si el ciudadano se ha dado de alta voluntariamente, la Dirección Electrónica Vial (DEV), un buzón telemático con la misma validez legal que una carta certificada. Así lo ha repetido el organismo en su cuenta oficial de X, con avisos específicos en marzo de 2025, en septiembre de 2025 y de nuevo en febrero de 2026, y lo corroboran el INCIBE en sus alertas y las verificaciones de RTVE, Maldita.es y Newtral. Cualquier mensaje con un enlace que exija pagar «antes de la fecha límite» incumple esa regla y, por tanto, es falso, por muy bien imitados que estén el logotipo y el diseño.
El detalle que delata la trampa es que todo el montaje depende de que la víctima acepte la premisa del SMS. Los mensajes detectados manejan importes y plazos concretos —una multa de 100 euros que pasa a 210 y después a 500 si no se paga en 24 horas, o 50 euros por exceso de velocidad— y remiten a dominios que nada tienen que ver con dgt.es, como los ya documentados dgtarea.top, dgt.com-ski.vip o server394465.nazwa.pl. La página falsa llega a simular una validación por código que nunca se recibe y pide el PIN de la tarjeta; después redirige a la web real de la DGT para dar sensación de normalidad cuando los datos ya han sido capturados, a veces junto a una foto del DNI que permite suplantar la identidad. Si se ha picado, el INCIBE pide avisar de inmediato al banco para bloquear la tarjeta, guardar capturas del mensaje y del enlace, denunciar ante la Policía Nacional o la Guardia Civil y llamar al 017.
El enlace delator: cómo detectar un dominio que suplanta a sede.dgt.gob.es
El dominio es la pieza del engaño que el estafador no puede copiar del todo. La sede electrónica de Tráfico vive en sede.dgt.gob.es, y todo lo oficial de la Administración General del Estado termina en .gob.es: si esa terminación no está, no es la DGT. Los SMS detectados por INCIBE y verificados por Newtral han usado direcciones como dgt.com-ski.vip/es o dgtarea.top/es, y entre los ejemplos que circulan aparecen dgt-pagos.info o dgt-multas.es: guiones donde debería haber puntos, la sigla pegada a palabras gancho («pago», «multa», «sede») y extensiones baratas como .top, .click o .info, las mismas que INCIBE identifica en campañas de suplantación de la Agencia Tributaria. En la pantalla del móvil, y con la amenaza de un recargo encima, el ojo registra las tres letras y no llega al final de la dirección.
La forma de leerla es sencilla: el dominio real es lo que va justo antes de la primera barra y se lee de derecha a izquierda. Por eso no basta con que la URL contenga «sede.dgt.gob.es»: si aparece como subdominio de otro sitio (sede.dgt.gob.es.xyz), detrás de una arroba que corta la dirección o escondido tras un acortador del tipo bit.ly, el destino es otro. En el móvil, mantener pulsado el enlace —sin soltar— muestra la dirección completa antes de abrirla; en el ordenador basta con pasar el cursor por encima y mirar la esquina inferior del navegador. Es una comprobación de dos segundos que desmonta el fraude antes de que la página llegue a cargarse.
Que la barra muestre un candado y la dirección empiece por https no acredita nada: cualquier atacante consigue un certificado gratuito en segundos, así que el candado convive sin problema con el fraude. Los detalles que delatan al clon son otros. Las webs falsas interponen una pantalla de «Acceso seguro: haga clic para confirmar» que ningún portal oficial coloca antes de un trámite, y la Agència de Ciberseguretat de Catalunya ha señalado un detalle muy revelador: en la esquina superior derecha de la copia aparece una fecha y hora visiblemente desfasadas, porque la plantilla se recicla de una campaña anterior. Son además dominios jóvenes, registrados para durar lo que dure la oleada de mensajes, no una sede administrativa con años de historial y sellos de organismo.
De ahí que la prueba definitiva no consista en examinar el enlace, sino en ignorarlo. La DGT no notifica sanciones por SMS ni por correo electrónico: solo por correo postal, por la Dirección Electrónica Vial (DEV) si el conductor se ha dado de alta, o mediante el tablón edictal. Cualquier consulta debe hacerse tecleando la dirección a mano en el navegador, entrando en la app oficial miDGT o llamando al 060. Conviene tenerlo presente incluso después de haber picado, porque muchas de estas páginas redirigen a la web auténtica al terminar de recoger los datos: que el trámite acabe en el sitio real no significa que el recorrido anterior fuera legítimo.
El anzuelo emocional: plazos de 24 horas, recargos y amenazas de embargo
Todo el montaje gira en torno a un reloj. Los mensajes que INCIBE puso bajo alerta en septiembre de 2026 avisan de que una sanción de 100 euros ya se ha duplicado hasta 200 y de que, si no se paga en 24 horas, subirá a 400; otras versiones verificadas por VerificaRTVE en febrero manejaban 100, 210 y 500 euros con la misma cuenta atrás. El texto arranca con un reproche —«a pesar de nuestros reiterados intentos de contacto»— que coloca al receptor en el papel del moroso que ha ignorado avisos y ahora debe correr. El importe se mantiene a propósito en la franja baja: 35 euros por mal estacionamiento en el caso que comprobó Maldita.es en agosto de 2025, siempre con el mismo día como límite, o 140 euros rebajados a 70 si se abona en el momento, una cantidad que no invita a pedir explicaciones.
El plazo es, además, la prueba que desmonta el engaño. El procedimiento sancionador abreviado concede 20 días naturales para pagar con el 50% de descuento, así que ninguna notificación auténtica plantea una cuenta atrás de horas; y la DGT no comunica sanciones ni por SMS ni por correo electrónico, solo por correo postal, tablón edictal o Dirección Electrónica Vial. A la prisa se suman otros aceleradores del miedo: la retirada de tres puntos del carnet anunciada en el mismo mensaje, la advertencia de acciones legales y, en algunas variantes, la amenaza de embargo. La combinación busca anular la comprobación, y por eso el propio INCIBE identifica la urgencia como la primera señal de alarma y recomienda consultar entrando por cuenta propia en la sede electrónica o en miDGT. El volumen explica la insistencia: Tráfico ha registrado más de 830 intentos de suplantación de su identidad en cinco años.
Lo que te pedirán si picas: tarjeta, CVV, claves de banca y DNI
El primer formulario de la web falsa no pide dinero: pide munición. Apellidos, nombre y matrícula del vehículo. Con esos tres datos, la página devuelve una supuesta infracción por exceso de velocidad con número de expediente, código de barras y referencias normativas que le dan apariencia de trámite real. Entonces aparece la pantalla de «pago seguro», y con ella la petición que de verdad interesa al estafador: número de tarjeta, fecha de caducidad y el CVV, el código de tres cifras del dorso. El importe es lo de menos y por eso lo eligen bajo: 140 euros rebajados a 70 si se abona el mismo día, o sanciones de apenas 20 euros. No quieren cobrar la multa, quieren la tarjeta completa y con su código de seguridad para poder usarla después en compras por internet. Que la página luzca logotipos de sistemas de pago conocidos o la etiqueta «pago seguro» no acredita nada, según recuerda el propio INCIBE.
El recorrido no acaba en el CVV. Variantes más trabajadas del fraude piden también el PIN de la tarjeta y simulan una confirmación mediante un código SMS que nunca llega al móvil: el sistema acepta cualquier secuencia numérica, genera una falsa sensación de seguridad y de paso comprueba hasta dónde llega la víctima. Otras versiones, documentadas por el INCIBE, solicitan una fotografía del DNI por delante «para verificar la identidad», y ahí el daño supera el cargo puntual: con el documento y los datos personales se puede suplantar a la víctima para abrir cuentas, contratar servicios o pedir financiación a su nombre. Si se ha enviado esa imagen, el instituto recomienda denunciar y renovar el documento para invalidar la copia en manos de los delincuentes. El desfase entre lo que se arriesga y lo que se paga explica el anzuelo: un vecino de La Bañeza acabó con cargos de 900 euros tras creer que abonaba una multa de 20.
Si ya has respondido: pasos inmediatos para cortar el fraude
El paso que no admite espera es la llamada al banco. Hay que hacerlo por los canales oficiales de la entidad —la app o el teléfono que figura en el reverso de la tarjeta— y no por ningún número que aparezca en el mensaje o en la web fraudulenta. Conviene explicar sin rodeos qué se ha tecleado y dónde, pedir el bloqueo de la tarjeta y revisar los movimientos de los últimos días para localizar operaciones que no reconozcas. INCIBE es explícito en este punto: no hay que esperar a detectar un cargo para moverse, porque cuando el apunte aparece en la cuenta el dinero ya suele haber salido. Si en la pantalla falsa llegaste a introducir el PIN detrás de ese código de verificación que nunca llegaba al móvil, dilo también: el riesgo no se limita a una compra online y la entidad debe valorar medidas adicionales. Y si el formulario pedía una foto del DNI, el problema se amplía a la suplantación de identidad, con posibles cuentas o préstamos abiertos a tu nombre.
Después toca reunir pruebas y dejar constancia del fraude. Guarda capturas del SMS, del número remitente y de la URL antes de borrar nada; los servicios de testigos online permiten fijar ese material con una marca temporal que le da más valor ante una reclamación. Con esas evidencias se presenta denuncia ante la Policía Nacional o la Guardia Civil y se reporta el caso a INCIBE, a través del 017, del WhatsApp 900 116 117 o de su buzón de fraude, un aviso que además de asesorar sirve para alertar a otros destinatarios de la misma campaña. En paralelo, comprueba en los canales oficiales de la DGT —su app, la sede electrónica o la Dirección Electrónica Vial— si existe alguna sanción real: lo habitual es que no haya ninguna, y esa consulta desactiva la urgencia que buscaba el estafador. El seguimiento no termina ahí, porque los datos personales filtrados se reutilizan meses después; de ahí que INCIBE recomiende repetir el egosurfing periódicamente para detectar si el nombre, la matrícula o el DNI circulan ya por Internet.
La entrada Cómo reconocer la estafa del SMS de la DGT: el mensaje sobre una infracción falsa diseñado para robar tus claves del banco aparece primero en Moncloa.
