La multa de tránsito que te llega por SMS no es del gobierno: se parece a la operación de phishing que actúa en al menos 121 países

El mensaje llega por SMS, con el tono urgente que ya conocemos de otros expedientes de este sitio: "tu vehículo tiene una infracción pendiente", "evita recargos", "pago pendiente". Trae un link, un logo que parece oficial y, muchas veces, un dominio que se ve casi igual al del gobierno real. En febrero de 2026, la Secretaría de Seguridad y Protección Ciudadana (SSPC) de México confirmó públicamente que se trata de una campaña de fraude, no de una notificación real.

Lo que la alerta oficial no explica —porque no es su trabajo— es que este mensaje comparte rasgos con una operación de phishing industrializada que ya opera en al menos 121 países, aunque la SSPC no atribuye el caso mexicano a ningún grupo concreto.

Quién está realmente detrás

Investigadores de seguridad (Netcraft, Resecurity, y el periodista de seguridad Brian Krebs) vienen documentando desde 2023 a un ecosistema conocido como "Smishing Triad", que no ataca a mano: operadores de phishing como servicio —con nombres como "Darcula", "Lighthouse" y "Xinxin Group"— venden kits por suscripción mensual. El comprador elige una marca u organismo para suplantar —una empresa de peajes, un correo postal, un banco, y ahora un gobierno— y el kit arma automáticamente el sitio falso y el panel de administración para gestionar la campaña.

Por qué te llega por SMS y no lo filtra tu operadora

La elección de canal no es casualidad. Estas campañas usan RCS o iMessage en lugar de SMS tradicional, porque, según Netcraft, el cifrado de iMessage y de buena parte de RCS impide que la operadora de red inspeccione el contenido para bloquearlo, a diferencia de un SMS plano que sí puede filtrarse por palabras clave. Además, enviar por estos canales es gratuito para el atacante, lo que permite un volumen de envío mucho mayor que una campaña de SMS tradicional.

Hay un detalle técnico particular para usuarios de iPhone: iMessage desactiva automáticamente los links cuando el mensaje viene de un remitente desconocido, como medida de seguridad. El kit lo sortea pidiéndole a la víctima que responda "Sí" o "1" antes de reabrir la conversación — ese simple intercambio "activa" el link y lo vuelve clickeable.

La escala de la infraestructura

Netcraft mapeó, ya en 2024, más de 20.000 dominios vinculados solo al kit Darcula, distribuidos en 11.000 direcciones IP, con un promedio de 120 dominios nuevos cada día — la rotación constante hace que bloquear un dominio puntual no sirva de nada, porque ya hay otro listo para reemplazarlo. Parte importante de esta infraestructura se aloja en proveedores como Cloudflare (32% de las páginas de Darcula, según Netcraft), Tencent y Alibaba. Según Resecurity, la operación vive hoy una ola de suplantación de empresas de peajes en EE. UU. y Reino Unido (FasTrak, E-ZPass, I-Pass), con la expectativa de que se extienda a otros países. Según SilentPush, citado por Krebs, la red suplanta marcas de transporte, correo, telecomunicaciones, banca, comercio y sector público en al menos 121 países; la variante de "multa de tránsito" que llegó a México encaja con ese patrón, aunque la SSPC no la atribuye a este grupo.

Las señales que dio la SSPC — y las que agregamos nosotros

La alerta oficial recomienda:

• No responder ni hacer clic en links de SMS relacionados con multas de tránsito.
• Verificar cualquier adeudo únicamente en portales oficiales.
• Mantener la calma ante mensajes con tono urgente que mencionan recargos o sanciones.

A eso sumamos lo que se desprende de cómo opera esta infraestructura específicamente:

• Los portales oficiales en México suelen usar el dominio .gob.mx.
• Si te llega por iMessage y te pide "responder para activar el link", es en sí mismo la señal de alarma — ningún organismo real necesita ese paso.
• El dominio real de un gobierno no vive en un acortador de links ni en un dominio genérico .top o .com con nombre casi idéntico al oficial — escribe la dirección del organismo real de memoria, nunca desde el link recibido.
• Que el mensaje "se vea perfecto" no es garantía de nada: estos kits vienen con plantillas profesionales prearmadas por marca, precisamente para que la falsificación visual no sea el punto débil.

Si te llegó un mensaje de este tipo —de tránsito o de cualquier otro organismo— guarda una captura con el número de origen y mándanosla por el canal de alertas. Nos sirve para mapear qué variantes están circulando en español ahora mismo.

Corrección (4 de octubre de 2026): una versión anterior presentaba el SMS mexicano como "la variante local" de Smishing Triad, citaba "Xiū gǒu" (que no está en las fuentes), atribuía a toda la red las cifras de Netcraft (que son solo del kit Darcula, de 2024) y decía que RCS e iMessage viajan cifrados "de punta a punta". Ninguna fuente vincula la alerta de la SSPC con ese grupo, y el cifrado de RCS entre Android y iPhone solo empezó a desplegarse en 2026. Ajustamos el título, la descripción y las frases correspondientes.