Alerta en Estados Unidos: el truco de los ciberdelincuentes con falsos mensajes de peajes impagos

Los mensajes fraudulentos sobre peajes impagos se han convertido en una estafa masiva en Estados Unidos, con ciberdelincuentes que imitan a operadores de peaje, para robar información clave de sus víctimas.

La estafa usada por los ‘hackers’

Los delincuentes están usando un sofisticado esquema de estafas a través de mensajes de texto, conocido como smishing, el cual ha incrementado su alcance en los últimos meses, afectando a millones de personas en Estados Unidos.

El smishing (phishing mediante SMS) ha experimentado un crecimiento exponencial en Estados Unidos durante 2025, con estrategias cada vez más sofisticadas que aprovechan la confianza en los mensajes de texto.

Según la información registrada por medios como NPR y NBC News, este tipo de mensajes falsos simulan ser notificaciones de peajes que no han sido pagados, los que están vinculados a redes internacionales de ciberdelincuentes que operan tras plataformas como Telegram.

Las autoridades han advertido sobre el peligro de estos mensajes, que buscan robar información personal y financiera de las víctimas.

La capacidad de estafa de estos delincuentes es alarmante, pues se estima que para febrero de este año los estadounidenses ya han recibido alrededor de 19.200 millones de mensajes de texto no deseados, un aumento significativo en comparación con el otoño anterior.

¿Cómo actúan los ciberestafadores de multas?

Los mensajes fraudulentos se basan en actividades comunes de las personas para engañar a las víctimas.

Entre los más frecuentes se encuentran notificaciones de premios inexistentes, reembolsos del IRS o, más recientemente, avisos de peajes impagos.

Tácticas diversificadas para engañar a través de multas impagas:

• Peajes y estacionamiento: mensajes falsos de operadores como E-ZPass, Peach Pass o SunPass que exigen pagar multas por peajes impagos o infracciones de estacionamiento, con amenazas de sanciones diarias de hasta USD 35.
• Servicios de entrega: alertas falsas de empresas como FedEx o DHL, solicitando datos para reclamar paquetes.
• Blended threats: combinación con quishing (phishing mediante códigos QR) y vishing (phishing por voz) para evadir filtros de seguridad.

Telegram y redes internacionales

Según un informe de NBC News, detrás de estos mensajes se encuentra una red de ciberdelincuentes que utiliza Telegram, una plataforma de mensajería con sede en Dubái, para coordinar sus actividades.

A través de esta plataforma, los estafadores, en su mayoría de habla china, venden kits de phishing como Smishing-as-a-Service (SaaS), en la dark web, lo cual permite que estafadores sin experiencia puedan lanzar campañas masivas, que permiten crear páginas de pago falsas con apariencia legítima.

Esta metodología no solo facilita el robo de datos personales y financieros, sino que también permite a los delincuentes añadir las tarjetas de crédito robadas a billeteras digitales como Apple Wallet o Google Wallet.

Ford Merrill, investigador de SecAlliance, señaló al medio en mención que este esquema ha evolucionado rápidamente desde 2023, pues a través de él logran tener resultados exitosos en muy pocos días, replicando esta táctica fácilmente.

Mecanismos de engaño

• Urgencia artificial

Mensajes como “A35 daily fee will be imposed if payment is not completed today” para presionar a las víctimas.

• Personalización con IA
• Phishing kits que generan mensajes personalizados, imitando comunicaciones oficiales.
• Enlaces móviles

Sitios web optimizados para dispositivos móviles, con errores ortográficos sutiles (ejemplo: “fas-trak.com” en lugar de dominios legítimos).

Recomendaciones de seguridad

• Verificación directa

No haga clic en enlaces de mensajes no solicitados. Contacte a la entidad mediante su sitio web oficial o número conocido.

• Reporte inmediato

Elimine y reporte los mensajes usando la opción “report junk” o enviándolos al 7726 (SPAM).

• Acciones postincidente

Congele cuentas bancarias y monitoree transacciones si ya proporcionó datos.

Realiza escaneos de malware si accedió a un enlace.