Los ciberdelincuentes continúan utilizando la imagen de Hacienda para intentar engañar a los contribuyentes. En los últimos meses se han detectado nuevas campañas de phishing (a través del correo electrónico) y smishing (mediante SMS) que suplantan la identidad de la Agencia Tributaria con el objetivo de robar datos personales y bancarios.
Estos mensajes suelen informar de un supuesto reembolso, de una notificación pendiente o de un problema con una entrega, e incluyen un enlace que dirige a la víctima a una página web falsa que imita la sede electrónica de la Agencia Tributaria o la de una empresa de mensajería.
Hacienda nunca envía SMS para devolver dinero
Es importante tener muy presente una cuestión fundamental: Hacienda nunca envía mensajes SMS ni correos electrónicos para comunicar devoluciones de impuestos con enlaces directos ni para solicitar datos bancarios o personales.
Si tienes que recibir una devolución o una notificación oficial, esta se gestiona a través de los canales oficiales de la Agencia Tributaria, donde existe un área personal y de notificaciones con un alto nivel de seguridad. Existe la posibilidad de recibir un aviso previo de Hacienda para informar de la existencia de una notificación por correo electrónico o por SMS, pero sin ningún enlace; y las notificaciones administrativas se practican conforme a los procedimientos establecidos, principalmente mediante la sede electrónica para quienes están obligados a relacionarse electrónicamente con la Administración o, cuando corresponde, por correo postal. En ningún caso se solicitan datos confidenciales mediante un SMS o un correo electrónico.
Por tanto, si recibes un mensaje que te pide hacer clic en un enlace para cobrar una devolución, verificar una cuenta o completar una notificación, es muy probable que se trate de un intento de estafa.
¿Cómo funciona esta estafa?
Los delincuentes envían un SMS o un correo electrónico que aparentemente procede de la AEAT y en el que se informa de que se ha emitido una comunicación dirigida al contribuyente. El mensaje incorpora un enlace que, en muchos casos, redirige a una página fraudulenta que suplanta la identidad.
El objetivo es crear una sensación de urgencia para que la víctima haga clic en el enlace e introduzca datos personales, credenciales de acceso o información bancaria. Estos datos son capturados por los ciberdelincuentes y pueden utilizarse para cometer fraudes económicos.
Señales que indican que se trata de un fraude
Existen varios indicadores que pueden ayudarte a detectar estos intentos de suplantación:
- El mensaje habla de una devolución de impuestos o de una notificación urgente enviada por SMS o correo electrónico, cuya gestión debe realizarse desde la propia comunicación.
- Solicita datos bancarios o personales.
- Incluye enlaces que no corresponden al dominio oficial de la Agencia Tributaria.
- Contiene faltas de ortografía o errores gramaticales.
- Utiliza expresiones que generan presión, como "último aviso", "pago pendiente" o "acción inmediata".
- El remitente parece oficial, pero este identificador puede haber sido manipulado por los estafadores.
Cómo actuar si recibes un SMS o un correo electrónico sospechoso
Si recibes un mensaje de este tipo, es importante seguir estas recomendaciones:
- No hagas clic en ningún enlace.
- No descargues ningún archivo adjunto.
- No respondas al mensaje.
- Elimínalo directamente.
- Si tienes dudas sobre alguna notificación, consulta siempre la información accediendo directamente a la sede electrónica de la Agencia Tributaria o revisando las notificaciones recibidas a través de los canales oficiales.
¿Y si ya has facilitado tus datos?
Si has introducido datos personales o bancarios en una página fraudulenta, es recomendable actuar con rapidez:
- Contacta inmediatamente con tu entidad bancaria.
- Bloquea la tarjeta si has facilitado sus datos.
- Cambia las contraseñas de los servicios afectados.
- Presenta una denuncia ante las fuerzas y cuerpos de seguridad.
- Informa del incidente a través de los canales habilitados por las autoridades competentes en ciberseguridad.
La mejor protección es la prevención
Las campañas de phishing son cada vez más sofisticadas y pueden resultar muy convincentes. Por ello, es esencial desconfiar de cualquier mensaje inesperado que solicite información personal o bancaria.
Recuerda esta norma básica: Hacienda no envía SMS ni correos electrónicos para devolver dinero ni para solicitar datos confidenciales. Cualquier notificación oficial se comunica a través de los canales oficiales y, cuando procede, mediante correo postal. Ante cualquier duda, es preferible acceder directamente a la sede electrónica de la Agencia Tributaria escribiendo manualmente la dirección en el navegador, sin utilizar los enlaces recibidos por SMS o correo electrónico.
¿Qué hacer si has sido víctima del fraude?
Actuar con rapidez es clave para reducir el impacto de la estafa y proteger tus datos.
En Cataluña debes presentar la denuncia ante el Cuerpo de Mossos d'Esquadra, acudiendo a la Unidad de Investigación de Delitos Informáticos o a cualquier comisaría. Paralelamente, contacta con tu entidad bancaria, bloquea las tarjetas afectadas y cambia las contraseñas de las cuentas que puedan haberse visto comprometidas.
Otros artículos de interés:
MEDICONSULTING ETL GLOBAL, S.L.; NIF B-58818501; domicilio social: Passeig de la Bonanova, 47, Barcelona 08017; Inscrita en el Registro Mercantil de Barcelona, Volumen 22352, folio 151, Inscripción 6ª de adaptación, Hoja B-36.748.