Las multas falsas de la AEPD en Salamanca escondían una pasarela de pago fraudulenta de 45 euros.
Claves de la operación
- El fraude mezclaba soporte físico y pasarela digital. Los tiques falsos de la ORA se colocaban en parabrisas y dirigían al pago de 45 euros.
- La AEPD ha multado con 2.000 euros al responsable. La sanción es por publicar datos personales de una víctima sin consentimiento, no por la estafa.
- La pista falsa del dominio se volvió en su contra. El estafador usó datos de un tercero para despistar y esa suplantación destapó el caso.
Fraude físico, pasarela digital: cómo operaba el timo
El Ayuntamiento de Salamanca alertó en junio de 2024 de de la aparición de tiques de estacionamiento regulado falsos. Las multas falsas reproducían la estética de los boletines de la ORA y remitían a una web que solicitaba 45 euros. El diseño, con diferencias frente al original, lograba pasar por real.
La mecánica era sencilla, pero eficaz. El conductor encontraba el tique en su parabrisas, escaneaba el enlace y accedía a una pasarela de cobro que simulaba ser oficial. Según fuentes municipales, bastaba con que una pequeña parte de los afectados pagara para que el fraude resultara rentable. El timo combinaba presencia física con una infraestructura digital de cobro inmediato.
La Policía Nacional tomó el caso después de que el consistorio lo denunciara. Para tumbar el dominio fue necesaria la intervención del Centro Criptológico Nacional, dependiente del CNI. La coordinación entre administración local, policía y servicios criptográficos muestra el salto de complejidad de este tipo de fraude, cada vez más cerca del phishing avanzado.
La pista falsa que se volvió en contra
El responsable dejó una trampa de manual. En la raíz del dominio fraudulento figuraban el nombre, el DNI y hasta una fotografía de otro ciudadano. El objetivo era despistar a los investigadores. La jugada funcionó: la investigación penal por la estafa fue archivada al no poder identificar al verdadero autor.
El estafador diseñó una trampa para protegerse; la víctima de la suplantación terminó convirtiéndola en la prueba que lo delató.
La pista falsa, sin embargo, se convirtió en la clave del caso. La persona suplantada denunció ante la AEPD la publicación de sus datos personales. Esa denuncia administrativa permitió lo que la vía policial no había logrado: identificar al titular del dominio fraudulento.
La AEPD solicitó la titularidad de la línea telefónica aportada en el registro del dominio. Con ese movimiento rastreó al responsable. La gestión resultó mucho más directa que la investigación penal previa, centrada en el fraude económico.
La resolución de la agencia impone 2.000 euros al autor. Es una sanción modesta en términos económicos, pero relevante como primer hito regulatorio en este caso. La AEPD solo puede sancionar lo que entra dentro de su competencia: la publicación y conservación de datos personales sin consentimiento.
El fraude en España cambia de disfraz, no de esencia
El caso de Salamanca no es un accidente aislado. En España, la picaresca ha ido adaptando sus formatos: de la estampita y el tocomocho al SMS con suplantación bancaria, y ahora al papel físico con pasarela digital. La diferencia es el canal; la lógica, la misma: aprovechar la confianza del ciudadano ante un documento que parece oficial.
Consideramos que la sanción de la AEPD es simbólica y a la vez estructural. Simbólica por la cuantía; estructural porque los reguladores de datos pueden intervenir cuando la justicia penal se atasca.
No obstante, hay un riesgo evidente. Si la pista falsa no hubiera incluido una suplantación, el caso probablemente seguiría archivado. La identificación del responsable dependió de una torpeza del estafador, no de una estrategia replicable. El fraude en el espacio público y la venta de datos robados plantean un reto que va más allá de este expediente.
Aquí aparece la duda incómoda: ¿cuántos casos similares han quedado sin resolver porque el autor no dejó un dato personal suelto? No lo sabemos. La AEPD ha abierto una puerta. Habrá que comprobar, en próximas resoluciones, si la coordinación con la Policía y el Centro Criptológico Nacional se convierte en patrón o se queda en una excepción.
Dejémoslo en un precedente. El estafador puso multas falsas ajenas; la AEPD le ha puesto una multa real.
La entrada Multas falsas de la AEPD: así cobraba el estafador de Salamanca con una web de pago fraudulenta aparece primero en Moncloa.
