Recursos Afectados
Cualquier persona que haya recibido un mensaje texto o correo electrónico con las características que se mencionan a continuación y haya accedido al enlace de la página web fraudulenta para introducir sus datos personales y bancarios.
Descripción
Se han detectado varias campañas fraudulentas que suplantan a la Dirección General de Tráfico (DGT) mediante correos electrónicos y mensajes de texto. Los atacantes informan a las víctimas sobre una presunta multa de tráfico, incitándolas a realizar un pago de manera urgente. El mensaje incluye un enlace que redirige a un sitio web falso que imita el oficial de la DGT y en el que se solicitan diferentes datos personales y bancarios para realizar el supuesto pago.
Solución
Si has recibido un mensaje de texto (SMS) o correo electrónico con las características descritas y no has accedido al enlace, te recomendamos que lo reportes a nuestro buzón de incidentes. De este modo, podremos difundir el fraude y ayudar a evitar que otros usuarios sean víctimas del engaño. Además, es altamente aconsejable que bloquees al remitente, ya sea la bandeja de entrada de tu gestor de correos o de tu teléfono móvil y lo elimines para reducir cualquier riesgo posible.
En el caso de que hayas accedido al enlace y proporcionado tus datos personales y/o bancarios, sigue estos pasos cuanto antes:
- Contacta con la mayor brevedad posible con tu entidad bancaria para que te indiquen las medidas necesarias para proteger la cuenta que has proporcionado.
- Guarda todas las capturas y evidencias posibles del proceso, incluyendo capturas de pantalla, mensajes y los enlaces recibidos. Para darles mayor validez, puedes utilizar el servicio de testigos online.
- Realiza egosurfing periódicamente para comprobar si tus datos personales se han visto filtrados en la Red y están siendo utilizados sin tu consentimiento.
- Presenta una denuncia ante las Fuerzas y Cuerpos de Seguridad del Estado, apoyándote para ello en las evidencias que has recopilado del fraude.
- Si tienes dudas sobre la autenticidad de una notificación de la DGT, recuerda que este organismo comunica sus sanciones únicamente a través de correo postal o, en caso de no localizarte en tu domicilio, mediante una publicación en el tablón edictal. También puedes recibir notificaciones electrónicas a través de la Dirección Electrónica Vial (DEV).
Para aprender más sobre cómo evitar estos fraudes, te invitamos a visitar nuestra sección sobre ataques de ingeniería social.
Detalle
Se han identificado campañas fraudulentas de smishing y phishing en las que los ciberdelincuentes están suplantando la identidad de la DGT. Estas estafas se basan en el envío masivo de correos electrónicos y mensajes de texto que notifican a las víctimas sobre una supuesta multa pendiente e instan a efectuar un pago con urgencia para evitar un recargo y pagar un 50% menos del importe. Además de evitar posibles demandas judiciales.
Al pulsar en el enlace que se incluye en estos mensajes y correos, los usuarios son redirigidos a páginas web que imitan la oficial de la DGT donde se les solicita que completen varios formularios con diferentes datos personales y finalmente con los datos de su tarjeta de crédito para realizar el pago de esa supuesta multa.
Se pueden observar varios signos que indican que estamos ante una estafa, como las faltas de ortografía y gramática en la redacción del texto, la dirección del remitente no es la oficial o la sensación de urgencia que se te trasmite a la víctima.
Ejemplo de phishing
El correo electrónico recibido, se identifica con el asunto: “Notificación de Multa por Estacionamiento Ilegal – Pago requerido” (no se descarta que existan campañas con asuntos similares). En este se proporciona un enlace para el supuesto pago de una multa de tráfico pendiente a través del botón ‘Pagar la Sanción’.
Estéticamente se puede visualizar que intentan imitar a la DGT con su logo y diseño, pero el remitente no es el oficial de la DGT.
Al pulsar en el enlace del botón, el usuario es dirigido a un sitio web fraudulento que imita la apariencia de la página oficial de la DGT, presentando la opción de ‘Pagar la multa’.
Posteriormente la página solicita que el usuario ingrese información personal: apellidos, nombres, email, fecha de nacimiento, dirección postal, código postal, ciudad y número de teléfono.
Al haber pulsado en ‘Continuar’ nos dirige al siguiente formulario en el que se solicitan los datos de la tarjeta de crédito: número de tarjeta de crédito, fecha de expiración o CVV.
Tras pulsar en ‘Continuar’, se muestra cómo se está realizando el proceso simulando una autenticación adicional.
Una vez ha finalizado la supuesta autenticación de los datos, se solicita un código recibido por SMS, el cual no se recibirá nunca en el teléfono.
Finalmente se solicita el código pin de la tarjeta.
Una vez se ha introducido el código, la página redirige a la web legítima de la DGT para evitar sospechas.
Ejemplos de smishing
Las campañas identificadas a través SMS siguen un proceso similar. A continuación, se muestran algunos ejemplos de los smishing detectados, pero es probable que existan otros similares.
Estos mensajes contienen un enlace que no es el oficial de DGT y errores de ortografía es su redacción.
Fuente: INCIBE.ES
