El caso de las multas de tráfico falsas en Salamanca ha tomado un giro administrativo muy interesante para los profesionales de la seguridad y la privacidad. No estamos ante un simple caso penal por estafa; la Agencia Española de Protección de Datos (AEPD) ha intervenido sancionando al responsable con 2.000 euros. El método utilizado consistía en colocar papeles en los parabrisas imitando boletines de denuncia del ayuntamiento, que incluían un código QR diseñado para redirigir a las víctimas a una pasarela de pago fraudulenta.
El vector de ataque: ingeniería social física y quishing
Este incidente representa un ejemplo clásico de quishing (phishing basado en códigos QR) que utiliza un vector de entrega físico. Al contrario que el phishing por correo electrónico, que suele tropezar con filtros perimetrales como SPF, DKIM o DMARC, el papel físico en el limpiaparabrisas esquiva toda la pila de seguridad tecnológica de las víctimas. El atacante explota la urgencia y el sesgo de autoridad, logrando que el usuario actúe movido por el pánico de una sanción inminente antes de pararse a verificar la autenticidad del documento.
El encaje legal: la matrícula es un dato de carácter personal
Desde la perspectiva de gobierno de seguridad y cumplimiento (GRC), la resolución de la AEPD resulta ejemplar. La sanción no se fundamenta en la estafa en sí, sino en el tratamiento de datos personales sin el consentimiento ni la base legítima requerida por el Reglamento General de Protección de Datos (RGPD). En España, la matrícula de un vehículo está considerada un dato de carácter personal tanto por la jurisprudencia de la AEPD como por el Tribunal de Justicia de la Unión Europea (TJUE), ya que permite identificar de forma indirecta al propietario.
Al imprimir boletines falsos asociando matrículas específicas a supuestas infracciones y procesar esos datos mediante el escaneo del QR (que además capturaba metadatos de los dispositivos de las víctimas), el atacante realizó un tratamiento ilícito según el artículo 6.1 del RGPD. Esto demuestra que la normativa de privacidad es una herramienta de defensa activa muy eficaz, incluso antes de que se resuelvan las investigaciones penales por estafa o falsedad documental.
Verificación y mitigación técnica frente a estafas con QR
Para mitigar el riesgo de caer en estas pasarelas de pago fraudulentas, tanto a nivel personal como corporativo si gestionamos flotas de vehículos, conviene aplicar pautas de verificación técnica muy estrictas:
- Desactivar la apertura automática de enlaces: Configura la cámara de tu dispositivo móvil para que muestre siempre la URL de destino completa antes de redirigir al navegador web. No accedas si la dirección utiliza acortadores o dominios sospechosos.
- Validar el dominio de la administración: Los ayuntamientos y organismos públicos españoles utilizan dominios bajo el TLD de las administraciones públicas (como
.gob.eso el dominio oficial del municipio, por ejemplo,salamanca.es). Desconfía por completo de dominios genéricos como.com,.neto extensiones inusuales. - Verificar la pasarela de pago: Los pagos de tasas legítimas se realizan siempre a través de pasarelas bancarias seguras con cifrado TLS robusto, nunca mediante transferencias directas a cuentas sospechosas de plataformas de pago rápido o proveedores de pago no identificados.
Comentarios