Multas falsas de la DGT por SMS y correo: cómo saber si una sanción es real (y qué hacer si ya has pagado)

11 de noviembre de 2026. Te llega un SMS que dice que tienes una multa de tráfico pendiente, que si no la pagas hoy el importe se duplica y que basta con pulsar un enlace. Parece de la DGT, usa su nombre y hasta su logotipo. No lo es. Esta misma semana se ha vuelto a hablar de esta estafa, que lleva todo el año reapareciendo por oleadas, y en octubre la propia DGT alertó de un repunte de intentos de fraude por SMS y correo electrónico. En este artículo te explico cómo funciona, cómo distinguir una notificación real de una falsa en dos minutos y qué hacer si ya has pinchado o has pagado.

Contexto: una estafa que no desaparece

Las falsas multas de la Dirección General de Tráfico son uno de los fraudes más persistentes en España. Funcionan porque tocan una fibra muy concreta: casi todos conducimos o tenemos un coche a nuestro nombre, y casi nadie recuerda con exactitud si esa semana pasó por un radar. Esa duda razonable es justo lo que aprovecha el delincuente.

En 2026 el fraude ha llegado por dos vías distintas:

• SMS (smishing): un mensaje corto con un enlace a una web que imita la de la DGT y pide datos personales, la matrícula y la tarjeta bancaria completa, incluido el código CVV.
• Correo electrónico con malware: en verano se detectó una campaña en la que el supuesto "documento de la multa" era en realidad un archivo comprimido que, al abrirse en un ordenador con Windows, instalaba el troyano bancario Mispadu, capaz de robar contraseñas y seguir recopilando información de forma silenciosa.

Según la información publicada el 10 de noviembre, uno de los casos descritos por INCIBE inventaba un exceso de velocidad y reclamaba 140 euros, con una supuesta rebaja a 70 euros si se pagaba ese mismo día. Otros correos amenazaban con que la sanción pasaría de 100 a 200 euros y hasta 400 euros en 24 horas.

Cómo notifica realmente la DGT

Esta es la clave de todo el artículo y conviene tenerla clara: la DGT no notifica multas ni pide pagos por SMS ni por correo electrónico. Las sanciones llegan por dos canales oficiales:

• Correo postal certificado en el domicilio que consta en Tráfico.
• Dirección Electrónica Vial (DEV), el buzón electrónico oficial de la DGT, al que se accede con identificación segura (certificado digital, DNI electrónico o Cl@ve).

Además, el plazo legal para pagar o presentar alegaciones es de 20 días naturales desde la notificación, y el descuento por pronto pago es del 50 % dentro de ese periodo. Nada de "24 horas", nada de "hoy mismo". Cualquier mensaje que te dé un plazo de horas está mintiendo.

Cómo funciona el engaño, paso a paso

Entender la mecánica ayuda a reconocerla aunque cambie el texto del mensaje:

1. El gancho: un aviso breve ("sanción pendiente", "último recordatorio", "notificación de infracción") con un tono oficial y una cifra concreta.
2. La urgencia: un plazo muy corto y una amenaza de recargo o de embargo. El objetivo es que actúes antes de pensar.
3. La web falsa: una página copiada de la estética de la DGT, con una dirección que se parece a la oficial pero no lo es.
4. La recogida de datos: nombre, DNI, matrícula y, al final, los datos completos de la tarjeta. A veces también un código que llega por SMS, que en realidad sirve para autorizar un cargo o dar de alta tu tarjeta en otro dispositivo.
5. La variante con malware: en lugar de pedir la tarjeta, te invita a descargar "el expediente". Si lo abres en el ordenador, el atacante obtiene acceso a lo que tecleas, incluida la banca online.

Señales de alerta

Si un mensaje cumple una sola de estas condiciones, trátalo como fraude hasta que demuestres lo contrario:

• Llega por SMS, WhatsApp o correo electrónico y menciona una multa de tráfico.
• Incluye un enlace para pagar o un archivo para descargar.
• Da un plazo de horas o amenaza con duplicar el importe.
• Pide el CVV de la tarjeta o un código recibido por SMS.
• La dirección web no termina en el dominio oficial dgt.es o tiene letras cambiadas, guiones o extensiones raras.
• El archivo adjunto es un .zip, .rar o similar en lugar de un documento.

Qué hacer si recibes el mensaje

Si no has pulsado nada

• No respondas ni pulses el enlace "para comprobar".
• Borra el mensaje y bloquea al remitente. Si es un correo, márcalo como spam.
• Si tienes dudas reales sobre una posible multa, entra tú mismo en la web oficial de la DGT escribiendo la dirección en el navegador, o usa la app oficial miDGT. Ahí verás si tienes alguna sanción a tu nombre.

Si has introducido los datos de tu tarjeta

1. Llama a tu banco cuanto antes, usando el teléfono del reverso de la tarjeta o el de su app, nunca uno que aparezca en el mensaje. Pide el bloqueo de la tarjeta.
2. Revisa los movimientos de los últimos días y comunica al banco cualquier cargo que no reconozcas.
3. Guarda capturas del SMS, de la web y de cualquier cargo. Te harán falta.
4. Presenta denuncia ante la Policía Nacional o la Guardia Civil. La denuncia es importante para cualquier reclamación posterior.
5. Si también diste tu DNI, vigila durante las próximas semanas posibles intentos de suplantación: altas de líneas, préstamos o compras a tu nombre.

Si descargaste y abriste el archivo del correo

1. Desconecta el ordenador de Internet (wifi y cable).
2. No uses ese equipo para banca, correo ni ningún servicio sensible hasta comprobar que está limpio.
3. Analízalo con una solución antivirus actualizada. Si es un equipo de trabajo, avisa inmediatamente a quien gestione la informática de la empresa.
4. Desde otro dispositivo de confianza, cambia las contraseñas del banco, del correo y de los servicios importantes, y activa la verificación en dos pasos, preferiblemente con una aplicación de autenticación en lugar de SMS.
5. Contacta con tu banco si accediste a la banca online desde ese equipo después de abrir el archivo.

En cualquiera de los casos puedes llamar al 017, la línea gratuita y confidencial de INCIBE "Tu Ayuda en Ciberseguridad", donde te orientan sobre los pasos concretos.

Si tienes una empresa o eres autónomo con vehículos

Para un negocio, este fraude tiene un riesgo añadido. Las empresas con flota, los autónomos que usan furgoneta o coche para trabajar y las gestorías que tramitan sanciones de clientes reciben multas con frecuencia, así que un aviso más no despierta sospechas. Y el departamento que lo recibe, administración o contabilidad, suele tener precisamente acceso a la tarjeta de empresa y a la banca online.

Algunas medidas sencillas que recomiendo:

• Centraliza la gestión de multas en la DEV. Las personas jurídicas reciben sus notificaciones de tráfico por vía electrónica a través de la DEV. Si todo el mundo en la empresa sabe que las multas "solo se miran allí", cualquier SMS o correo queda automáticamente fuera de juego.
• Define una regla interna por escrito: ninguna multa se paga desde un enlace recibido. Se comprueba en la DEV o en la sede de la DGT y se paga desde allí.
• Separa funciones: quien recibe el aviso no debería ser la misma persona que lo paga sin una segunda verificación, al menos para importes o remitentes nuevos.
• Bloquea en el correo corporativo los adjuntos comprimidos que lleguen de remitentes externos, o como mínimo márcalos con un aviso visible. Muchas campañas de malware empiezan exactamente así.
• Mantén Windows y el antivirus actualizados en los equipos de administración, y evita que los usuarios trabajen con cuentas de administrador.
• Forma al equipo con ejemplos reales. Diez minutos enseñando capturas de estas estafas son más eficaces que cualquier manual.
• Ten un plan de respuesta: a quién se avisa, cómo se aísla un equipo y quién llama al banco. Si un empleado abre el archivo, cada minuto cuenta.

Si los datos de clientes o empleados pudieron verse afectados porque un equipo quedó infectado, recuerda que el RGPD puede obligarte a notificar la brecha a la AEPD en un plazo de 72 horas desde que tengas conocimiento de ella. Mejor valorarlo pronto que tarde.

Preguntas frecuentes

¿La DGT puede enviarme un SMS en algún caso?

La DGT no utiliza el SMS ni el correo electrónico para notificar sanciones ni para reclamar pagos. Si te llega un mensaje de este tipo que pide pagar, es un fraude. Ante cualquier duda, consulta tus sanciones entrando directamente en la sede oficial o en la app miDGT.

Me he dado de alta en la DEV y he recibido un aviso por correo. ¿Es falso?

Al darte de alta en la DEV puedes recibir avisos de que tienes una notificación pendiente, pero la notificación en sí se consulta dentro del buzón oficial, accediendo con tu identificación. Nunca pinches en un enlace de un aviso para "ver la multa": entra tú en la DEV por tu cuenta.

He pagado con tarjeta, ¿puedo recuperar el dinero?

Depende de cada caso y de tu entidad. Lo más importante es avisar al banco cuanto antes, bloquear la tarjeta, aportar la denuncia y las pruebas, y solicitar la retrocesión de los cargos no autorizados. Cuanto más rápido actúes, más opciones tienes.

Solo he abierto el SMS, sin pulsar el enlace. ¿Corro algún riesgo?

Leer el mensaje no supone un peligro por sí mismo. El riesgo empieza al pulsar el enlace y, sobre todo, al introducir datos o descargar archivos. Bórralo y bloquea al remitente.

¿Y si el mensaje tiene mi matrícula real?

No es prueba de nada. Los delincuentes pueden obtener datos de filtraciones anteriores o simplemente pedirte que la escribas tú. Que un mensaje contenga datos tuyos no lo convierte en oficial.

Conclusión

La estafa de las multas falsas de la DGT seguirá reapareciendo porque es barata de lanzar y apela a un miedo cotidiano. La buena noticia es que la defensa es muy sencilla de recordar: las multas reales llegan por correo certificado o a la DEV, y se consultan entrando tú en los canales oficiales, nunca desde un enlace. Si interiorizas esa regla, y la compartes con tu familia y tu equipo, este fraude pierde casi toda su fuerza.

Si en tu negocio alguien ha abierto uno de estos archivos o no tienes claro si un equipo está comprometido, puedo ayudarte a revisarlo. Te respondo lo antes posible en cuanto recibo tu WhatsApp o tu correo, con servicio en remoto en toda España.

Fuentes: Qué! – La DGT no notifica ninguna multa por SMS ni email (10/11/2026) · RTVC – La DGT alerta de un repunte de fraudes por SMS y correo (08/10/2026) · Somos Eléctricos – Correo de la DGT con malware (24/07/2026) · INCIBE – Correos y SMS suplantan a la DGT para robar tus datos con falsas multas

Artículo divulgativo. No constituye asesoramiento profesional para un caso concreto.

Manuel Marco Sánchez · Ciberseguridad para autónomos y pymes

¿Quieres saber si tu negocio está expuesto a ataques como este?

Auditoría de ciberseguridad con informe claro y priorizado por 297 € y 1 mes de monitorización gratis. Servicio en remoto en toda España.

Solicitar mi auditoría Consultar por WhatsApp