Real official sites

Type them yourself. A letter extra in the domain is the clone.

Nobody from tax, bank or the region asks for Cl@ve or a PIN by SMS.
WhatOfficial
Tax AEATsede.agenciatributaria.gob.es
Cl@veclave.gob.es
Carpeta Ciudadanasede.administracion.gob.es/carpeta
Social Securitysede.seg-social.gob.es · importass.seg-social.gob.es
SEPEsepe.es · sede.sepe.gob.es
Traffic DGTsede.dgt.gob.es
ID appointmentcitapreviadnie.es
National Policepolicia.es · denuncias.policia.es
Guardia Civilguardiacivil.es
INCIBE 017incibe.es
CNMV / Banco de Españacnmv.es · bde.es
Region of Madridcomunidad.madrid · sede.comunidad.madrid
City of Madridmadrid.es · sede.madrid.es
Airportaena.es

Banks: type caixabank.es, bancosantander.es, bbva.es — or open the app you already installed.

Casi pico. Un vecino me mandó esta ficha. No pagué.

— relato ilustrativo — no es un expediente judicial. ejemplo
Illustrative story so you recognise the pattern. Not a published case file.

The pattern

Hurry + fake authority + a channel you do not control. Use the app you already have, type .gob.es, call the number on the card.

SAFE.MADRID