Cuidado con la estafa de los correos falsos de Hacienda: así funciona esta nueva campaña de phishing

El Instituto Nacional de Ciberseguridad (INCIBE) ha alertado sobre una nueva campaña de phishing y smishing en la que los estafadores suplantan a la Agencia Estatal de Administración Tributaria (AEAT) con el objetivo de obtener datos personales y bancarios de sus víctimas. Esta amenaza, de gran alcance, afecta a cualquier persona que reciba un correo electrónico o un mensaje de texto fraudulento y acceda al enlace incluido en ellos.

Cómo funciona esta estafa

Los atacantes utilizan diferentes versiones de correos electrónicos en los que informan a la víctima sobre supuestos reembolsos de impuestos, notificaciones urgentes o avisos de pago, con asuntos del estilo “‘Notificación disponible – Identificador XXXXXX” o “AVISO IMPORTANTE”

Estos mensajes contienen enlaces que redirigen a páginas web fraudulentas, diseñadas para imitar el sitio oficial de la Agencia Tributaria es decir, con el logo, colores y diseño que simulen el del sitio legítimo.

Una vez en la web falsa, el usuario es inducido a introducir sus datos personales, credenciales bancarias y contraseñas, que quedan en manos de los ciberdelincuentes. Se puede observar un mensaje en rojo en pantalla informando de que “La validación no es correcta. Vuelve a introducir los dirección de correo y contraseña de correo electrónico”. A partir de este momento, los estafadores obtienen las credenciales de tu correo electrónico.

Según el INCIBE, también se han detectado intentos de fraude mediante mensajes SMS (smishing), que siguen la misma mecánica engañosa.

Señales de alerta ante correos fraudulentos

El INCIBE destaca algunos elementos que pueden ayudar a identificar estos intentos de fraude:

• Dirección del remitente sospechosa o diferente a la oficial.
• Mensajes alarmistas o que requieren una acción inmediata.
• Errores ortográficos o frases mal estructuradas.
• Página web con diseño similar al oficial pero con una URL diferente.

Este tipo de estafas se han convertido en una práctica habitual de los ciberdelincuentes, especialmente en épocas de declaraciones fiscales. Las autoridades recomiendan extremar la precaución y acudir siempre a fuentes oficiales para verificar cualquier comunicación de este tipo.

• Así intentaron timarme suplantando a Starlink: cómo funciona esta estafa online

Cómo protegerse… y cómo actuar en caso de ser víctima

El INCIBE ha publicado una serie de recomendaciones para evitar caer en este tipo de fraudes:

• No acceder a enlaces sospechosos. Si se recibe un correo o mensaje de texto con estas características, se recomienda no pulsar en los enlaces ni facilitar datos personales.
• Verificar siempre la autenticidad. Se debe comprobar la dirección del remitente, buscar errores ortográficos en el mensaje y, en caso de duda, acudir directamente a la web oficial de la Agencia Tributaria.
• Reportar el fraude. En caso de haber recibido uno de estos mensajes, pero no haber accedido al enlace, es aconsejable reportarlo al INCIBE para que pueda prevenir futuras estafas.
• Tomar medidas si se han facilitado datos. Si se han introducido informaciones personales o bancarias en una web fraudulenta, se recomienda:
• Modificar inmediatamente las contraseñas de todas las cuentas afectadas.
• Recopilar pruebas del fraude, como capturas de pantalla y enlaces, y presentarlas ante las autoridades.
• Presentar una denuncia ante las Fuerzas y Cuerpos de Seguridad del Estado.
• Realizar egosurfing periódico para comprobar si los datos han sido filtrados o utilizados indebidamente. El egosurfing es la práctica de buscar tu propio nombre en Google u otros motores de búsqueda para ver qué información sobre ti está disponible en internet.

Imagen: INCIBE