2El enlace delator: cómo detectar un dominio que suplanta a sede.dgt.gob.es
El dominio es la pieza del engaño que el estafador no puede copiar del todo. La sede electrónica de Tráfico vive en sede.dgt.gob.es, y todo lo oficial de la Administración General del Estado termina en .gob.es: si esa terminación no está, no es la DGT. Los SMS detectados por INCIBE y verificados por Newtral han usado direcciones como dgt.com-ski.vip/es o dgtarea.top/es, y entre los ejemplos que circulan aparecen dgt-pagos.info o dgt-multas.es: guiones donde debería haber puntos, la sigla pegada a palabras gancho («pago», «multa», «sede») y extensiones baratas como .top, .click o .info, las mismas que INCIBE identifica en campañas de suplantación de la Agencia Tributaria. En la pantalla del móvil, y con la amenaza de un recargo encima, el ojo registra las tres letras y no llega al final de la dirección.
La forma de leerla es sencilla: el dominio real es lo que va justo antes de la primera barra y se lee de derecha a izquierda. Por eso no basta con que la URL contenga «sede.dgt.gob.es»: si aparece como subdominio de otro sitio (sede.dgt.gob.es.xyz), detrás de una arroba que corta la dirección o escondido tras un acortador del tipo bit.ly, el destino es otro. En el móvil, mantener pulsado el enlace —sin soltar— muestra la dirección completa antes de abrirla; en el ordenador basta con pasar el cursor por encima y mirar la esquina inferior del navegador. Es una comprobación de dos segundos que desmonta el fraude antes de que la página llegue a cargarse.
Que la barra muestre un candado y la dirección empiece por https no acredita nada: cualquier atacante consigue un certificado gratuito en segundos, así que el candado convive sin problema con el fraude. Los detalles que delatan al clon son otros. Las webs falsas interponen una pantalla de «Acceso seguro: haga clic para confirmar» que ningún portal oficial coloca antes de un trámite, y la Agència de Ciberseguretat de Catalunya ha señalado un detalle muy revelador: en la esquina superior derecha de la copia aparece una fecha y hora visiblemente desfasadas, porque la plantilla se recicla de una campaña anterior. Son además dominios jóvenes, registrados para durar lo que dure la oleada de mensajes, no una sede administrativa con años de historial y sellos de organismo.
De ahí que la prueba definitiva no consista en examinar el enlace, sino en ignorarlo. La DGT no notifica sanciones por SMS ni por correo electrónico: solo por correo postal, por la Dirección Electrónica Vial (DEV) si el conductor se ha dado de alta, o mediante el tablón edictal. Cualquier consulta debe hacerse tecleando la dirección a mano en el navegador, entrando en la app oficial miDGT o llamando al 060. Conviene tenerlo presente incluso después de haber picado, porque muchas de estas páginas redirigen a la web auténtica al terminar de recoger los datos: que el trámite acabe en el sitio real no significa que el recorrido anterior fuera legítimo.
