Cuatro sitios falsos ofrecen pagar el impuesto vehicular en Colombia, muestran datos reales del carro y desvían el dinero a los estafadores

Una red de al menos cuatro sitios web que suplantan el trámite de pago del impuesto vehicular en Colombia fue identificada por un investigador en ciberseguridad, quien compartió el hallazgo con esta redacción y ya había notificado el caso a las plataformas correspondientes. A partir de ese reporte, MuchoHacker.lol realizó un análisis técnico independiente para verificar y ampliar los hallazgos.

A diferencia de estafas anteriores que copian el sitio de una gobernación o de la entidad encargada del recaudo, esta red se presenta como una pasarela de pago intermediaria, lo que le da una apariencia más creíble. Este método tiene además una ventaja adicional para los estafadores: al no suplantar directamente a ninguna entidad específica, diluye la responsabilidad y dificulta que las víctimas —o incluso las autoridades— sepan a quién reclamar, dejando el fraude en una zona de impunidad.

Mientras tanto, la estafa sigue activa: roba y engaña sin que nadie logre detenerla a tiempo. Lo más preocupante es que esta operación se apoya en infraestructura de proveedores reconocidos como Google Cloud y en la pasarela de pago Stripe, sin que estas empresas parezcan aplicar controles suficientes para impedir que actores delincuenciales usen su tecnología en beneficio propio.

Los cuatro sitios, todos registrados en las últimas semanas, son:

• hxxps[:]//impuestovehicular[.]icu
• hxxps[:]//impvehialdiapago[.]com
• hxxps[:]//impvehicolombia[.]store
• hxxps[:]//pagoimpuestovehicular[.]store

Cómo funciona el engaño

El sitio pide la placa del vehículo y muestra información que parece oficial: marca, modelo, año y hasta el nombre del propietario. Como esos datos son reales, la persona confía y avanza al siguiente paso, donde se le pide la tarjeta de crédito o débito para completar el pago.

Nuestro análisis técnico confirmó algo importante: esa información no se consulta en tiempo real ante ninguna entidad oficial. Los datos ya están guardados de antemano en un sistema propio de los estafadores, probablemente obtenidos de una base de datos filtrada anteriormente. No hay ninguna conexión real con el RUNT ni con ninguna otra entidad del Estado; todo lo que ve la víctima ya lo tenían guardado desde antes.

Una vez ingresada la tarjeta, el cobro sí se procesa a través de plataformas de pago reales y reconocidas (Habríamos identificado el uso de Stripe y también de MercadoPago), lo cual genera un recibo que parece completamente válido. El problema es que ese dinero nunca llega a la gobernación ni a ninguna entidad de tránsito: queda en manos de los operadores del fraude. Como el recibo parece legítimo, la víctima puede tardar meses en darse cuenta del engaño, hasta que la entidad de tránsito le notifique que el impuesto nunca fue pagado.

Queda una pregunta que este caso no resuelve, pero que vale la pena que la ciudadanía y las autoridades se hagan: ¿cómo llegó a manos de una red de estafadores una base de datos con información vehicular que parece cubrir a un número significativo de colombianos? Ya sea que se trate de una filtración de alguna entidad pública o privada, una venta irregular de datos, o una combinación de varias fuentes, el hecho de que estos datos existan y circulen fuera de control es en sí mismo un problema de seguridad nacional que trasciende a esta estafa puntual.

Una operación con varias caras

Nuestro equipo encontró que dos de los cuatro sitios comparten exactamente el mismo servidor, lo que sugiere que son operados por el mismo grupo. Un tercer sitio usa un formulario que recolecta el correo electrónico de los visitantes, incluso si no llegan a pagar nada — ese correo puede terminar usándose para enviar más mensajes fraudulentos en el futuro. También se identificaron señales de que los operadores estarían pagando publicidad en Google para atraer más visitas a sus sitios falsos.

Adicionalmente, se encontró que la programación de uno de los sitios contiene errores de seguridad graves por parte de los propios estafadores, como dejar información sensible de su panel de administración accesible en el código público de la página. MuchoHacker.lol no va a divulgar ni usar esa información — nuestra política es reportarla directamente a las autoridades competentes, no explotarla.

¿Cómo evitar caer en esta estafa?

• Pague el impuesto vehicular únicamente a través de los canales oficiales de su gobernación, alcaldía.Si tiene dudas de cuál es el canal oficial, llame directamente a la línea de atención de su gobernación, no use el número o enlace que aparece en un anuncio o resultado de búsqueda.
  
• Desconfíe de cualquier sitio que se presente como “pasarela” o “intermediario” para pagar impuestos. Ninguna gobernación delega el recaudo de impuesto vehicular en plataformas externas de terceros; el pago siempre se hace directamente en el portal oficial de la entidad.
  
• Que el sitio muestre datos reales de su vehículo no es garantía de que sea legítimo. Como explicamos en este artículo, esa información puede provenir de bases de datos filtradas previamente, no de una consulta oficial en el momento. Ver su placa, marca o modelo correctos no confirma que esté en un sitio real.
  
• Revise la dirección web con cuidado antes de ingresar cualquier dato. Los sitios oficiales de gobernaciones terminan en .gov.co. Cualquier variación (.com, .store, .icu, .online, etc.) que ofrezca este trámite debe generar sospecha inmediata.
  
• Desconfíe de anuncios pagados en buscadores que ofrezcan “pagar impuesto vehicular con descuento” o similares — identificamos que al menos uno de estos sitios estaría usando publicidad paga para atraer víctimas.
  
• Si ya ingresó sus datos de tarjeta en uno de estos sitios, contacte de inmediato a su banco para bloquear la tarjeta y reportar la transacción como fraudulenta, y presente la denuncia correspondiente ante la Policía Nacional (línea 165) o la Fiscalía.
  
• Si solo dejó su correo electrónico (sin llegar a pagar), esté atento a mensajes sospechosos futuros que puedan llegarle a esa cuenta, y evite hacer clic en enlaces de correos no solicitados relacionados con trámites vehiculares.