Se inventa multas de aparcamiento de 45 euros para estafar a conductores y acaba recibiendo una multa real de 2.000 euros
Llegas hasta tu coche y encuentras un pequeño papel colocado bajo el limpiaparabrisas.
Tiene aspecto oficial.
Aparece el escudo del Ayuntamiento de Salamanca, información sobre el vehículo, un código de barras, un número de referencia y la cantidad que supuestamente debes pagar.
45 euros.
No parece especialmente extraño. Has dejado el coche estacionado en una zona regulada y lo primero que probablemente piensas es que te han multado.
En junio de 2024, varios conductores salmantinos comenzaron a encontrarse precisamente con esos papeles.
Solo había un problema.
Las multas no existían.
Alguien había diseñado boletines falsos de la ORA para colocarlos en los parabrisas de los vehículos y conseguir que sus propietarios pagasen una sanción completamente inventada. Los primeros casos confirmados aparecieron en el barrio de San Bernardo, donde la Policía Local detectó al menos tres tickets fraudulentos y advirtió de que podía haber más repartidos por la ciudad.
El engaño estaba suficientemente trabajado como para resultar creíble.
Y debajo de aquella falsa multa había algo todavía más peligroso.
Una dirección de Internet para pagarla.
La multa llevaba a una web que tampoco era del Ayuntamiento
Los boletines incluían una dirección relacionada con el dominio autonomica.es, utilizada para crear una página que intentaba aparentar ser un servicio oficial de pago.
Las informaciones publicadas entonces identificaron concretamente una dirección del tipo sede-electronica.autonomica.es.
El objetivo resultaba bastante evidente.
El conductor encontraba una multa.
Veía que existía la posibilidad de pagarla por Internet.
Entraba en la página.
Y terminaba interactuando con una web que no pertenecía al Ayuntamiento de Salamanca.
La Policía Local terminó alertando a los ciudadanos y el consistorio pidió que cualquier persona que hubiese recibido uno de esos tickets, especialmente si había llegado a realizar algún pago, se pusiera en contacto con las autoridades.
Había además una manera relativamente sencilla de descubrir el engaño.
Los auténticos boletines de la ORA utilizados entonces en Salamanca no incluían aquel enlace web. El pago online de las sanciones municipales debía realizarse a través de los canales oficiales establecidos por el Ayuntamiento.
Pero descubrir que las multas eran falsas era solamente la primera parte.
Faltaba encontrar a la persona que estaba detrás.
La investigación policial terminó sin conseguir identificarlo
El Ayuntamiento puso los hechos en conocimiento de las autoridades y la investigación llegó incluso a implicar al Centro Criptológico Nacional en las actuaciones para desactivar el dominio utilizado.
La web fraudulenta terminó cerrándose en julio de 2024. Sin embargo, identificar a quien estaba realmente detrás resultó bastante más complicado.
Según recoge el expediente posteriormente analizado por la AEPD, las diligencias policiales terminaron archivándose porque no había sido posible identificar al responsable.
La historia podría haber terminado ahí.
Multas falsas retiradas.
Página cerrada.
Autor desconocido.
Pero la persona que había montado aquella infraestructura había dejado detrás una pista extraordinariamente comprometida.
Y no tenía directamente que ver con los conductores estafados.
En la web aparecían los datos de otra persona
Dentro del dominio fraudulento estaban publicados datos personales de un ciudadano que nada tenía que ver con la estafa.
Su nombre.
Sus apellidos.
Su DNI.
Su correo electrónico.
Otras informaciones publicadas sobre el expediente añaden incluso una fotografía.
El efecto podía ser devastador.
Quien investigase aquella página podía llegar a la conclusión de que ese ciudadano era el responsable del fraude.
Pero, según el expediente, no lo era.
La información había sido utilizada sin su consentimiento.
El afectado descubrió el 14 de junio de 2024 que sus datos estaban expuestos en la web y decidió acudir a la Agencia Española de Protección de Datos.
Y ahí comenzó una segunda investigación que terminaría teniendo un resultado muy diferente a la primera.
La AEPD siguió el dominio y una línea telefónica
El procedimiento quedó registrado con el número EXP202410711.
La Agencia comenzó a investigar quién estaba realmente detrás del sitio web.
Para ello solicitó información relacionada con el dominio y recurrió, entre otras fuentes, a una operadora de telefonía móvil y a la empresa relacionada con la contratación del dominio.
Siguiendo esas conexiones consiguió llegar hasta una persona a la que atribuyó la titularidad del sitio.
La paradoja es notable.
Las autoridades no habían conseguido localizar al responsable utilizando inicialmente la investigación vinculada a las multas falsas.
Pero terminó apareciendo siguiendo otra pista:
la protección de datos de la persona cuya identidad había sido utilizada como tapadera.
Y esa segunda vía sí desembocó en una sanción.
2.000 euros, pero no por poner multas falsas
Este es probablemente el detalle más importante de toda la historia.
La AEPD no ha impuesto 2.000 euros de multa por crear las falsas sanciones de aparcamiento.
Tampoco está juzgando una estafa.
La Agencia únicamente tiene competencias en materia de protección de datos.
Lo que sanciona es haber tratado y difundido los datos personales del ciudadano afectado sin disponer de ninguna base jurídica que lo legitimase.
El artículo 6 del Reglamento General de Protección de Datos establece las circunstancias que pueden permitir legalmente tratar información personal: consentimiento, cumplimiento de un contrato, obligación legal, intereses vitales, interés público o determinados intereses legítimos, entre otras bases.
En este caso, la AEPD concluyó que no existía ninguna que justificase la publicación de aquellos datos.
Resultado:
2.000 euros de sanción.
La multa real llegó precisamente por los datos utilizados para intentar sostener la infraestructura de las multas falsas.
El ciudadano utilizado como tapadera podía parecer el culpable
El problema tampoco era simplemente que alguien hubiese publicado un DNI en Internet.
Aquella información aparecía dentro de una página utilizada para una actividad fraudulenta.
Eso podía asociar injustamente al verdadero titular de esos datos con unas falsas sanciones municipales que habían provocado incluso una alerta pública del Ayuntamiento.
Para aquella persona, por tanto, había dos problemas simultáneos.
Sus datos estaban expuestos.
Y estaban expuestos en un contexto que podía hacer creer que él tenía alguna relación con una estafa.
De hecho, esa fue precisamente la circunstancia que llevó al afectado a reclamar ante Protección de Datos.
El engaño estaba pensado para aprovecharse de algo muy sencillo: las prisas
Una multa de aparcamiento tiene una característica especialmente útil para un estafador.
No sorprende recibirla.
Si alguien encuentra en el parabrisas un papel que anuncia que ha ganado un millón de euros probablemente sospeche.
Si encuentra una multa de 45 euros después de aparcar en el centro de una ciudad, probablemente su primera reacción sea otra.
Enfado.
Y después pagar cuanto antes.
Los falsos tickets utilizaban precisamente elementos destinados a reducir las sospechas: apariencia institucional, identificación del vehículo, escudo municipal, código de barras y una cantidad aparentemente plausible.
La web terminaba de completar el engaño.
Lo que tradicionalmente habría sido una falsificación en papel se convertía así en una estafa híbrida:
papel en el coche + página web falsa + pago digital.
Y estas estafas siguen siendo un problema
No es una modalidad que pueda considerarse desaparecida.
La OCU advertía este mismo verano de 2026 sobre el crecimiento de distintos fraudes digitales durante las vacaciones e incluía específicamente las falsas multas de tráfico entre los engaños de los que conviene desconfiar.
La recomendación básica es bastante sencilla.
No pagar directamente utilizando un QR o una dirección web que aparezca en un papel, SMS o correo electrónico sin comprobar antes que pertenece realmente a la Administración correspondiente.
Lo más seguro es entrar por nuestra cuenta en la página oficial del organismo, comprobar si existe realmente el expediente y realizar cualquier gestión desde allí.
Incluso la propia AEPD recomienda como regla general no utilizar enlaces recibidos para realizar trámites relacionados con información personal y acceder directamente al dominio oficial correspondiente.
Una multa falsa acabó produciendo una multa muy real
La historia tiene una ironía difícil de ignorar.
Alguien creó multas que no existían.
Las imprimió.
Las dejó en coches aparcados.
Creó una página para que pareciera posible pagarlas.
Y utilizó los datos personales de otra persona en aquella infraestructura.
La Policía consiguió detener la actividad y cerrar el dominio, pero la investigación inicial no permitió determinar quién estaba detrás.
Entonces entró en escena la persona cuya identidad había sido utilizada.
Presentó una reclamación.
Protección de Datos comenzó a preguntar.
Tiró del dominio.
Tiró de la línea telefónica.
Y dos años después llegó una sanción de 2.000 euros.
No es una condena por estafa.
No sabemos, con la información publicada, cuánto dinero llegó realmente a obtener mediante aquellas falsas multas ni cuántas víctimas llegaron a pagar.
Pero sí sabemos algo.
El responsable ideó un sistema para conseguir que otros conductores pagasen multas que nunca habían existido.
Y al final hubo una multa que sí existió.
La suya.