1Los tres minutos: así vacían la cuenta paso a paso
El cronómetro arranca con el pitido del móvil. El mensaje llega firmado como «DGT» o «Tráfico» —el protocolo SMS no verifica el remitente, así que ese nombre se puede falsificar— y en muchas ocasiones se cuela dentro de un hilo anterior con avisos legítimos, lo que desactiva la primera alarma. El texto no da tregua: una sanción de 80 euros que se duplica en 24 o 48 horas si no se abona, y un enlace. Ese enlace no lleva a dgt.es. Lleva a un clon con el logotipo y los colores del organismo, a menudo con un dominio trampa —guiones en lugar de puntos, terminación .com, del estilo a www-dgt-es.com— y con detalles delatores, como una fecha y hora desfasadas en la esquina superior derecha, según el ejemplo documentado por INCIBE. El primer minuto se consume ahí: un formulario pide nombre, apellidos, correo, fecha de nacimiento, dirección y teléfono; el siguiente, el número de tarjeta, la caducidad y el CVV.
Lo que viene después convierte el susto en un vaciado. La web simula una validación por mensaje: el código nunca llega y cualquier secuencia numérica abre un formulario que pide el PIN de la tarjeta; en otras variantes, los estafadores piden directamente el código de confirmación que sí acaba de entrar en el móvil de la víctima. Con ese material validan la doble verificación del banco y ejecutan compras o transferencias en su nombre. El RACE ha documentado operaciones que superan los 3.000 euros en un solo movimiento, y hay afectados que han perdido más de 1.600. Para cuando el usuario termina, la página lo redirige al portal auténtico de Tráfico y todo parece en orden. De ahí que la reacción tenga que ser igual de veloz: bloquear la tarjeta con la entidad, denunciar con capturas para reclamar la retrocesión del cargo y llamar al 017 de INCIBE.
