La Dirección General de Tráfico advierte de que nunca comunica las sanciones a través de enlaces de descarga directa en el correo electrónico.
Una reciente investigación del Instituto Nacional de Ciberseguridad y de la firma de seguridad ESET alerta sobre una peligrosa estafa de la DGT que emplea correos electrónicos y mensajes de texto fraudulentos para obtener las credenciales bancarias de los automovilistas. Las redes de delincuencia informática aprovechan las épocas de mayor movilidad por carretera para enviar avisos falsos sobre supuestas sanciones de tráfico; el propósito fundamental de esta maniobra consiste en infectar los equipos con el software malicioso Mispadu. Este programa está desarrollado específicamente para recopilar contraseñas e información confidencial de las víctimas de manera automatizada: con estos datos, los atacantes consiguen realizar operaciones financieras y compras no autorizadas.
El mecanismo que sigue este fraude destaca por su simplicidad y su alta efectividad: el destinatario recibe una comunicación que copia la identidad visual de la Dirección General de Tráfico, donde se le notifica una falsa infracción de tráfico vinculada a su matrícula. Con el pretexto de facilitar la consulta de los detalles del expediente, el mensaje incorpora enlaces que dirigen a la descarga de la supuesta sanción o de una herramienta digital. Al hacer clic en estos vínculos, el usuario es conducido a un portal de internet falso bajo el control de los estafadores. En dicha página web se argumenta que el archivo no puede mostrarse directamente en el navegador, motivo por el cual se solicita la descarga de un fichero comprimido; al abrir el archivo con extensión .LNK que viene dentro, se ejecuta la consola de comandos de Windows y comienza la instalación silenciosa del virus informático.
Cómo identificar los canales oficiales y evitar la estafa de la DGT
Desde la Dirección General de Tráfico insisten en que el organismo nunca notifica multas por correo electrónico ni mediante enlaces de descarga en internet. Los únicos medios reglamentarios que emplea la administración pública para trasladar las infracciones a los conductores son los siguientes:
- La carta certificada por correo postal, remitida al domicilio oficial que el ciudadano tiene registrado en las bases de datos del organismo.
- La Dirección Electrónica Vial (DEV), una plataforma digital de notificaciones que exige el registro previo del interesado.
- El Tablón Edictal de Sanciones de Única Lectura (TEU), que funciona como herramienta de reserva cuando no se ha podido entregar la carta física.
Este sistema de Dirección Electrónica Vial posee idéntica validez legal que las comunicaciones tradicionales en papel: la suscripción a esta plataforma es de carácter voluntaria para personas físicas, mientras que resulta obligatoria para las empresas y personas jurídicas desde el 1 de noviembre de 2022. En el momento en que un ciudadano decide registrarse en esta plataforma telemática, la administración interrumpe el envío de correspondencia física para gestionar todos sus avisos únicamente mediante este espacio virtual.
Si se recibe una sanción real a través de los medios autorizados, el ciudadano cuenta con un plazo voluntario de 20 días naturales para abonar la cantidad o formular los recursos pertinentes. El pago de la sanción económica dentro de este intervalo conlleva una reducción del 50% sobre la cuantía original fijada. Asimismo, para eludir errores en el reparto postal de las cartas, el organismo recuerda que las modificaciones de dirección de residencia deben comunicarse en un periodo máximo de 15 días.
Qué pasos seguir si se ha interactuado con el mensaje falso
De acuerdo con el Instituto Nacional de Ciberseguridad, esta oleada de mensajes detectada en 2025 coacciona a los usuarios para que efectúen transferencias rápidas bajo la advertencia de penalizaciones económicas inmediatas. En la situación de recibir una comunicación sospechosa sin haber accedido a sus vínculos, los expertos aconsejan restringir la dirección de origen y reenviar el correo a los canales de denuncia de la propia institución de ciberseguridad para facilitar la clausura de la infraestructura delictiva.
Si, por el contrario, el usuario ya ha facilitado información privada o bancaria en el portal falso, resulta imprescindible comunicarse con rapidez con su banco para anular las tarjetas y congelar las cuentas comprometidas. Del mismo modo, los especialistas recomiendan recopilar todas las pruebas viables de la estafa (como imágenes de la pantalla, correos recibidos o registros de transacciones) para formalizar la correspondiente denuncia ante la Policía Nacional o la Guardia Civil.
Para más información sobre la distribución de notificaciones falsas, consulta al Instituto Nacional de Seguridad (INCIBE).
