Este es el nuevo intento de estafa de quienes, a través de un sms, se hacen pasar por la Agencia Tributaria
El Instituto Nacional de Ciberseguridad (INCIBE), ha lanzado una alerta de importancia alta debido a una nueva campaña de fraude digital. Esta vez la amenaza se basa en una técnica denominada smishing, donde los ciberdelincuentes utilizan mensajes de texto para engañar a los ciudadanos. El objetivo principal de estos atacantes es suplantar la identidad de la Agencia Tributaria. Mediante el envío masivo de estos SMS, los estafadores buscan que las víctimas entreguen información delicada de carácter personal y financiero. Es fundamental que los usuarios estén al tanto de esta maniobra para proteger sus cuentas bancarias. El INCIBE subraya que la sofisticación de estos ataques está aumentando para atrapar a los más desprevenidos.
De hecho, la prevención es actualmente la mejor herramienta de defensa disponible para toda la ciudadanía afectada. El impacto de este tipo de estafas puede ser devastador para la economía de los usuarios. La mecánica del fraude es directa y engañosa, aprovechando la autoridad que proyecta una institución pública como la Agencia Tributaria. Los mensajes recibidos por las víctimas suelen informar sobre un supuesto comunicado pendiente de consultar o una devolución. Para acceder a dicha información, se incluye un enlace que redirige a una página web fraudulenta. Este sitio web está diseñado cuidadosamente para imitar la apariencia visual de la sede electrónica oficial de Hacienda.
Una vez que el usuario se encuentra en el portal falso, se le solicita que introduzca datos bancarios. Es común que pidan números de tarjetas de crédito o credenciales de acceso a la banca electrónica. Sin embargo, se trata simplemente de un anzuelo para capturar información confidencial de forma ilícita. La rapidez con la que operan estos sitios temporales dificulta en ocasiones su cierre inmediato. Por ello, el INCIBE insiste en la importancia de verificar siempre el origen de cualquier enlace.
Uno de los puntos clave para detectar el engaño reside en analizar detenidamente la dirección URL del enlace proporcionado. Los expertos señalan que las páginas oficiales de la administración pública siempre terminan en dominios .gob.es o .es. En cambio, las plataformas utilizadas por los ciberdelincuentes suelen emplear extensiones mucho más genéricas. Dominios acabados en .top o .click son señales claras de que nos encontramos ante una web de estafa. Estas extensiones son preferidas por los atacantes porque permiten crear y descartar sitios web de forma muy rápida. Cualquier carácter extraño o extensión inusual debe ponernos inmediatamente en estado de máxima alerta. La vigilancia del navegador puede ser la primera barrera efectiva para evitar caer en esta trampa.
Otro elemento que induce al error es el nombre del remitente que aparece en la pantalla del teléfono móvil. Los atacantes emplean una técnica conocida como SMS spoofing para camuflar el número de teléfono de origen. Esto permite que en el dispositivo del usuario aparezca el nombre legítimo de la AEAT como remitente. Lo más peligroso es que el mensaje fraudulento puede colarse en el mismo hilo de mensajes auténticos. Ver mensajes anteriores legítimos en la misma conversación genera una falsa sensación de seguridad en la víctima. No obstante, el INCIBE advierte que no debemos fiarnos únicamente de la etiqueta que identifica al remitente. Esta suplantación técnica es una de las razones por las que este fraude está teniendo éxito.
Es imperativo desconfiar incluso si el mensaje parece provenir de una fuente de confianza habitual. La tecnología actual permite estas manipulaciones con relativa sencillez para los grupos de ciberdelincuencia organizada. La redacción y el nivel de personalización del mensaje son otros indicadores fundamentales que delatan la falsedad de la comunicación. Las notificaciones reales de la administración pública suelen incluir el nombre, apellidos o parte del NIF. En esta campaña de smishing, los mensajes son extremadamente genéricos y carecen de cualquier identificación personal. Se utilizan expresiones extrañas como “dirigida a usted” o “que usted recibe en calidad de titular”.
Además, es frecuente encontrar errores tipográficos, como espacios innecesarios antes de los signos de puntuación. La redacción suele ser redundante, artificial y alejada de los estándares comunicativos de la Agencia Tributaria. Estos fallos son típicos en plantillas automatizadas que se traducen o generan de manera masiva por atacantes. Si el tono del mensaje suena forzado o no incluye sus datos básicos, es casi seguro un fraude. La observación detallada de la gramática puede salvarnos de un problema financiero mayor.
Es vital recordar la política oficial de comunicación que sigue la Agencia Tributaria. La AEAT ha reiterado en numerosas ocasiones que jamás solicitará información confidencial por SMS o correo electrónico. Esto incluye números de tarjetas bancarias, claves de acceso o cualquier dato sensible de cuentas corrientes. Tampoco se envían enlaces directos para cobrar devoluciones de impuestos o consultar expedientes específicos. Todas las gestiones relacionadas con devoluciones se tramitan exclusivamente a través de la sede electrónica oficial. Otro canal legítimo es la declaración de la renta presentada formalmente por los cauces establecidos cada año. Cualquier mensaje que prometa un reembolso rápido mediante un simple clic en un enlace es falso.
Actuar rápido
Para aquellos que reciban el mensaje pero aún no hayan interactuado con el enlace, existen pasos preventivos recomendados. Lo más aconsejable es reportar el mensaje al buzón de incidentes del INCIBE para su análisis. Esta acción colaborativa permite recopilar datos que sirven para alertar y proteger a otros usuarios vulnerables. Posteriormente, se debe proceder a bloquear al remitente en el dispositivo móvil de forma permanente. El último paso preventivo es la eliminación definitiva del mensaje para evitar pulsaciones accidentales en el futuro. Si existe alguna duda real sobre una deuda o comunicación, se debe contactar por canales oficiales. Acceder directamente a la web de la Agencia Tributaria sin usar enlaces externos es la mejor práctica.
En el caso de que un usuario ya haya facilitado sus datos en la web fraudulenta, debe actuar con celeridad. Lo primero es contactar con la entidad bancaria para bloquear tarjetas y movimientos no autorizados. Es fundamental reunir todas las evidencias posibles, como capturas de pantalla de los mensajes y enlaces. Se recomienda presentar una denuncia ante las Fuerzas y Cuerpos de Seguridad del Estado con estas pruebas. Además, el INCIBE aconseja realizar egosurfing periódicamente para comprobar si nuestra información ha sido expuesta. Actuar con rapidez puede minimizar el impacto del robo de identidad y de los fondos bancarios. La concienciación ciudadana sigue siendo el pilar fundamental para erradicar estas prácticas delictivas en internet.