- Los correos simulan una reclamación de Hacienda e incluyen enlaces a webs falsas que buscan robar credenciales de acceso.
- La estafa suplanta a la Agencia Tributaria y a la DEHú, por lo que revisar el remitente resulta clave para detectarla.
La Policía Nacional ha alertado de una nueva campaña de phishing que utiliza la imagen de la Agencia Tributaria para intentar obtener datos de acceso de los usuarios. El engaño llega por correo electrónico con la apariencia de una notificación oficial sobre una supuesta reclamación y pide descargar el documento a través de un enlace incluido en el propio mensaje. A simple vista, el aviso puede resultar convincente, porque reproduce el tono y el formato habituales de este tipo de comunicaciones.
El elemento clave para detectar el fraude está en el remitente. Aunque el mensaje esté bien redactado y simule una comunicación administrativa real, la dirección de correo no se corresponde con los dominios oficiales utilizados por la Agencia Tributaria. Ese detalle es especialmente relevante en este tipo de estafas, ya que los ciberdelincuentes suelen cuidar la presentación del mensaje para que el usuario baje la guardia y pulse sin comprobar antes el origen del correo.
Según la advertencia difundida, el enlace no lleva a una notificación auténtica, sino a una web fraudulenta preparada para imitar servicios legítimos de la Administración. En los casos detectados, una de las páginas suplanta la plataforma de la Dirección Electrónica Habilitada Única, conocida como DEHú, que centraliza notificaciones y comunicaciones de distintas administraciones públicas. Otra reproduce la imagen de la propia Agencia Tributaria. En ambos supuestos, el objetivo es el mismo: que la víctima introduzca sus credenciales creyendo que está accediendo a un portal oficial.
La mecánica del fraude no es nueva, pero sí recurrente. Los ataques de phishing que usan como gancho a Hacienda aparecen de forma periódica, sobre todo cuando los delincuentes aprovechan el conocimiento general de la ciudadanía sobre trámites fiscales, avisos administrativos o campañas tributarias. Esa familiaridad con el emisor suplantado aumenta la eficacia del engaño, porque convierte un mensaje aparentemente rutinario en una posible puerta de entrada al robo de datos personales, contraseñas o información sensible.
La Agencia Tributaria lleva tiempo recordando que no solicita por correo electrónico o SMS información confidencial, económica o personal, ni números de cuenta o de tarjeta. También insiste en revisar siempre el dominio antes de introducir credenciales en cualquier página vinculada a sus servicios. En paralelo, los avisos de ciberseguridad publicados por organismos oficiales han subrayado en los últimos meses que este tipo de campañas no se limita a un único formato: pueden presentarse como devoluciones, incidencias, requerimientos o nuevas notificaciones pendientes.
El uso de la DEHú como señuelo tampoco es casual. Se trata de una herramienta real de acceso a notificaciones electrónicas de la Administración, de modo que su mención aporta apariencia de legitimidad al mensaje fraudulento. Precisamente por eso, los expertos en ciberseguridad recomiendan no acceder nunca a este tipo de avisos desde enlaces recibidos por correo, sino entrar manualmente en la web oficial o hacerlo a través de canales ya verificados por el usuario.
Si una persona ha recibido uno de estos mensajes y no ha pulsado en el enlace, la recomendación general es eliminarlo o marcarlo como spam. Si ya ha accedido a la web falsa y ha facilitado datos, conviene cambiar de inmediato las contraseñas afectadas, revisar si se ha comprometido algún certificado digital y extremar la vigilancia ante posibles intentos posteriores de suplantación o fraude. En los casos más graves, también se aconseja comunicar la incidencia a los canales oficiales de ciberseguridad y presentar denuncia.
La difusión de este aviso vuelve a poner el foco en una pauta básica que sigue siendo determinante: desconfiar de cualquier mensaje que introduzca urgencia, solicite acciones inmediatas o dirija a páginas de acceso mediante enlaces incrustados. En un contexto en el que las campañas de suplantación son cada vez más sofisticadas, comprobar el remitente, el dominio y la ruta de acceso a los servicios oficiales se ha convertido en una de las medidas más eficaces para evitar caer en el engaño.