Un individuo en Salamanca fue identificado y multado por la Agencia Española de Protección de Datos (AEPD) tras distribuir multas de ORA falsas que dirigían a una pasarela de pago fraudulenta. Aunque la investigación inicial de la estafa fue archivada, la AEPD logró identificar al responsable gracias a una denuncia por suplantación de identidad, imponiéndole una sanción por el tratamiento ilícito de datos personales.
Estamos familiarizados con los intentos de estafa que llegan por teléfono, SMS o correo electrónico, e incluso por correo postal. Sin embargo, es menos común encontrarse con una multa de tráfico fraudulenta colocada en el coche, que lleva a una pasarela de pago ilegítima. Este fue el caso en Salamanca hace un par de años, y el responsable ha sido multado, aunque no directamente por la estafa.
En junio de 2024, el Ayuntamiento de Salamanca alertó en su cuenta de X sobre la aparición de tiques de ORA falsos. Estos tiques incluían un enlace para realizar el pago voluntario de una supuesta sanción de 45 euros. A pesar de las diferencias evidentes con un tique original, el diseño era convincente y podía pasar por real. Tras detectar la estafa, el Ayuntamiento informó a la Policía Nacional, que solicitó la ayuda del Centro Criptológico Nacional para cancelar el dominio fraudulento.
Aquí es donde la situación se vuelve más compleja. La persona detrás de la estafa dejó deliberadamente datos personales de otro ciudadano (nombre, DNI e incluso una fotografía) en la raíz del dominio fraudulento, con la intención de desviar la investigación. Esta táctica funcionó inicialmente, y al no poder encontrar al verdadero responsable, la investigación por las multas falsas fue archivada. Sin embargo, esta misma pista falsa terminaría siendo clave para resolver el caso.
El estafador pensó que se saldría con la suya, pero no contó con que la víctima de la suplantación de identidad presentaría una denuncia ante la Agencia Española de Protección de Datos (AEPD). Se desconocen los intentos previos para identificar al responsable, pero es notable que la AEPD lograra lo que la Policía y el CNI no consiguieron. ¿Cómo lo hicieron? Simplemente solicitaron la titularidad de la línea telefónica utilizada al registrar el dominio para localizarlo.
La AEPD ha emitido su resolución, condenando al autor o autora (cuyas iniciales son A.A.A) a pagar una multa de 2.000 euros. La agencia considera que la publicación y conservación de dichos datos constituye un tratamiento de datos personales sin consentimiento, lo que representa una infracción muy grave según la normativa. La AEPD solo puede sancionar lo que es de su competencia, que es la publicación de datos personales, pero es posible que ahora que se conoce la identidad, la investigación sobre la estafa se reabra.
