Los ciberdelincuentes se aprovechan de la declaración de la renta: ¿cómo detectar estas estafas?
RED
Suplantar la identidad de la Agencia Tributaria para engañar a los usuarios es ya habitual, pero los expertos advierten del aluvión de intentos de estafas con motivo de la campaña de la renta
11 abr 2025 . Actualizado a las 09:36 h.La Campaña de la Renta 2024 arrancó el pasado 2 de abril. Los contribuyentes tienen de plazo hasta el próximo 30 de junio para ponerse al día con el fisco. La Agencia Tributaria prevé que casi 25 millones de ciudadanos realicen declaraciones. Pueden hacerlo de forma presencial, por teléfono, y por internet. Como cada año, los que opten por esta última vía deben prestar especial atención a las posibles estafas. Los ciberdelincuentes aprovechan especialmente este período para intentar engañar a los contribuyentes. Y aunque durante todo el año se pueden recibir intentos de estafas suplantando a la Agencia Tributaria, ahora es cuando llega el aluvión.
El Instituto Nacional de Ciberseguridad (Incibe) ha detectado varias campañas de phishing relacionadas con la declaración de la renta. El phishing se refiere a los engaños en los que alguien se hace pasar por una empresa, persona de confianza, o entidad, para robar información personal, como contraseñas, datos bancarios o números de tarjeta. La estrategia consiste en hacer creer a los usuarios que dicha entidad les ofrece alguna cosa o tienen algo pendiente con ella como una reclamación, el cobro de un reembolso de impuestos o una notificación pendiente revisar. Por eso, ponerse al corriente con Hacienda suele ser la excusa perfecta para los ciberestafadores.
«La temática del pago de impuestos es algo que los delincuentes realizan de forma recurrente todos los años tanto en España como en muchos otros países. Aunque, en los últimos años se han esforzado para hacer que los emails, SMS y páginas fraudulentas sean más creíbles, las técnicas usadas son las mismas que observábamos hace décadas», explica Josep Albors, director de investigación de ESET España, compañía de ciberseguridad.
¿Cómo son estas estafas?
Es habitual que el encabezado o el asunto del correo sea siempre el mismo: «Notificación disponible». El Incibe también alerta de otras variantes como «AVISO IMPORTANTE» o incluso otros más trabajados como «Aviso puesta a disposición de nueva notificación electrónica REF-XXXXXX».
«Cuando analizamos una de estas campañas de phishing siempre revisamos si los delincuentes se han molestado en suplantar también la dirección de email para que parezca que proviene realmente de la Agencia Tributaria», explica Albors. El experto apunta que hay casos en los que simplemente se utilizan direcciones de correo electrónico comprometidas o temporales y otras en las que, al menos aparentemente, estos correos parecen provenir realmente desde un organismo oficial, siendo más creíbles de cara a las víctimas
En cualquier caso, el objetivo final de los ciberestafadores es que los usuarios pulsen sobre el enlace que contienen los correos. Por sí solo, hacerlo no suele tener consecuencias. El engaño viene a continuación. La víctima accede así a un sitio web fraudulento que intenta imitar la página web de la Agencia Tributaria. Incluye el logo, los colores y un diseño lo más similar posible al sitio legítimo. Y siempre hay el mismo elemento: un formulario en el que, conforme se vaya completando, se irán solicitando diferentes datos personales y, finalmente, bancarios.
«Para detectar este tipo de estafas, puedes fijarte en la dirección del remitente, donde verás que no es una oficial; a veces también se observan faltas de ortografía, otra evidencia puede ser la página web del enlace, antes de pulsar sobre ella, pasa por encima para ver a dónde lleva y comprobar si es un sitio oficial», explica el Incibe.
La misma estafa en un SMS
Los ciberestafadores no utilizan solo nuestro correo electrónico para engañarnos, también nuestro teléfono móvil. El uso de mensajes SMS haciéndose pasar por la Agencia Tributaria es otra de las técnicas más populares entre las detectadas en los últimos años. Es posible, incluso, que estos mensajes tengan un identificador que los haga pasar por legítimos, porque en nuestra bandeja de entrada de SMS los cataloga como «Hacienda» o «Agencia Tributaria». Además, la gran mayoría de estos mensajes, tal y como ocurre con los correos fraudulentos, suelen tratar de generar una sensación de urgencia, ya sea porque se ha detectado un posible fallo en nuestra declaración de la renta, hay riesgo de una sanción o se nos debe hacer un abono a nuestra cuenta. El final de la estafa es siempre el mismo: una página web falsa en la que se solicitan datos a la víctima.