Cómo los timadores suplantan a la DGT para hacerse con tu DNI y tus datos personales y bancarios

“Último recordatorio antes del aumento de su multa pendiente de pago”. Los timadores están usando mensajes como este para suplantar a la Dirección General de Tráfico (DGT) a través de SMS (un ataque que se conoce como smishing) o correo electrónico (phishing). Utilizan como pretexto una supuesta sanción de tráfico, metiéndole prisa a los usuarios para que pinchen en un enlace. 

Como explica el Instituto Nacional de Ciberseguridad (INCIBE), la víctima será redirigida a una página web que imita a la página oficial de la DGT, donde le solicitarán datos personales y bancarios, además de una imagen de su DNI. Como ya os hemos contado en Maldita.es, si compartimos una foto de nuestro documento de identidad con los ciberdelincuentes, podrían suplantarnos la identidad.

Cómo se hacen pasar por la DGT para hacerse con tus datos y tu DNI

El INCIBE advierte de envíos masivos de mensajes de texto y correos electrónicos falsos en las que se suplanta a la DGT: “Se informa a las personas de una supuesta multa pendiente, se les insta a realizar el pago en un corto plazo y se les presiona haciéndoles creer que el mensaje es un recordatorio final”. Además, los mensajes contienen faltas de ortografía y gramaticales. 

El organismo explica que ninguno de los enlaces de los mensajes tiene relación con el dominio oficial de la web de la DGT: https://www.dgt.es/inicio/. Asimismo, recordemos que la DGT sólo envía notificaciones de sanciones vía correo postal o a través de la Dirección Electrónica Vial.

Si la víctima pincha en el enlace fraudulento, se le muestra una página web que imita el diseño de la de la DGT, en la que aparece un aviso sobre el impago de una supuesta multa.

Captura de la página web fraudulenta | Fuente: INCIBE

Al hacer clic en el botón "Pagar la multa", aparece un supuesto número de expediente de la multa y un formulario para introducir los datos personales.

Captura de la página web fraudulenta | Fuente: INCIBE

Según señala el INCIBE, en algunas versiones del sitio web fraudulento se solicita una imagen de la parte frontal del DNI para, supuestamente, verificar la identidad del usuario. 

Captura de la página web fraudulenta | Fuente: INCIBE

Tras estos pasos, aparece otro formulario en el que se solicita al usuario ingresar su información bancaria: número de la tarjeta, fecha de expiración y código CVV.

Captura de la página web fraudulenta | Fuente: INCIBE

Para terminar, el usuario es dirigido a una nueva pantalla donde se le pide escribir un código supuestamente recibido por SMS. Sin embargo, según explica el INCIBE, este mensaje nunca llega al teléfono del usuario. “En algunas versiones, si introduce un código aleatorio, se le notifica inicialmente que es inválido, y al intentarlo nuevamente, el sistema puede aceptarlo, generando una falsa sensación de seguridad”, afirma el organismo.

Captura de la página web fraudulenta | Fuente: INCIBE

Los riesgos de compartir una foto de nuestro DNI con desconocidos 

Como indica el INCIBE, al proporcionar nuestra imagen del DNI, “estaremos facilitando datos con los que podrán suplantarnos la identidad y cometer otro tipo de fraudes en nuestro nombre”. Por ejemplo, los ciberdelincuentes podrían abrir cuentas bancarias con las que estafar a otras personas o pedir préstamos a nuestro nombre. Por eso, no debemos compartir una foto de nuestro DNI con desconocidos por internet.

En este artículo explicamos en qué situaciones es habitual que nos pidan una foto del documento de identidad y qué podemos hacer para protegernos, como pixelar la foto o la firma o utilizar una marca de agua.

Consejos para evitar ser víctima de ‘phishing’

Aquí tienes una serie de recomendaciones que puedes seguir cuando te vuelva a llegar un mensaje que use el nombre de tu empresa de confianza:

• Mira bien la dirección de la web a la que te redirige el mensaje antes de pinchar. Normalmente este tipo de notificaciones vienen con un link. Si la URL de esta página web no es de la empresa por la que se hace pasar o es una mezcla de letras, números y el nombre de esa empresa, no introduzcas tus datos. Para ello, fíjate en lo que aparece antes del último punto, ese es el dominio real de la página web.

• Párate un momento a pensar. Estos mensajes suelen transmitir urgencia para que tomes medidas cuanto antes y sin razonar.

• Contrasta con las fuentes antes de dar tus datos. Recuerda que puedes preguntar a la propia institución o contactar con el Instituto Nacional de Ciberseguridad (INCIBE) a través de su línea de ayuda en ciberseguridad.

Qué hacer si hemos sido víctimas de este timo

Si has recibido un SMS o correo que suplanta a la DGT pero no has accedido al enlace, el INCIBE aconseja reportar el mensaje fraudulento a su buzón de incidentes, bloquear al remitente y eliminar el mensaje.

Por el contrario, si has caído en el engaño y has facilitado tus datos, aquí tienes una serie de pasos a seguir:

•  Contacta con tu banco para contarle lo ocurrido. Valora si es necesario bloquear o anular tu tarjeta y solicitar una nueva.

• Recopila todas las evidencias de cómo se ha producido el timo: capturas de pantalla, enlaces adjuntos, etc.

• Si has facilitado tus datos personales, práctica el egosurfing para comprobar que no se está haciendo un uso indebido de los mismos.

•  Contactar con el Instituto Nacional de Ciberseguridad (INCIBE) a través de su línea de ayuda en ciberseguridad para recibir asesoramiento e indicaciones sobre cómo actuar.

• Si has mandado una foto de tu DNI, denuncia ante la Policía Nacional o la Guardia Civil para poder renovarlo y que los atacantes no dispongan de un documento de identificación válido. Aporta las evidencias que has recopilado.