Los ciberdelincuentes aprovechan el periodo de 3 meses en los que se puede presentar la declaración de la Renta para realizar campañas de phishing en las que suplantan al organismo

Este miércoles se inicia la campaña para la declaración de la Renta 2023 que finalizará el próximo 1 de Julio. Durante estos tres meses se multiplicarán las estafas que utilizan la campaña de la Renta como gancho para engañar a sus víctimas. Habitualmente, mediante envíos de comunicaciones masivas por correo electrónico y SMS en las que se suplanta la identidad e imagen de la Agencia Estatal de Administración Tributaria y se hace referencia a supuestos reembolsos y devoluciones de impuestos, pero que tienen como objetivo hacerse con datos personales y bancarios de la víctima. Son tácticas de suplantación de identidad que se conocen como phishing si el medio es el correo electrónico y smishing si el contacto se realiza a través de un SMS.

La Agencia Tributaria alerta en su página web del peligro que suponen y ofrece una serie de consejos para que los contribuyentes no caigan en este tipo de engaños. También clarifica un punto muy importante como son las direcciones web que utiliza, 11 en total, y que son las únicas en las que se pueden realizar trámites con ella que impliquen pagos. Las técnicas de suplantación de identidad habitualmente dirigen a la víctima a páginas web fraudulentas con direcciones web similares a las que emplea la entidad que quieren suplantar, pero no iguales. En otros casos, puede consistir en engañar a la víctima para que se descargue un fichero infectado con un virus.

El organismo también ofrece una relación de los intentos de fraude que detecta clasificados por años. Por ejemplo, puedes ver los de 2024, 2023 y otros años.

Detectar el phishing: lo que nunca hace la Agencia Tributaria

El ente administrativo tiene unos procesos muy reglados para comunicarse con los contribuyentes que facilitan la detección de los intentos de fraude. Así, la Agencia Tributaria recuerda una serie de supuestos trámites o gestiones que se suelen requerir por los ciberdelincuentes, pero que no coinciden con su forma de proceder en las comunicaciones. Estos son:

  • La Agencia Tributaria nunca solicita por correo electrónico información confidencial, económica o personal, números de cuenta ni números de tarjeta.
  • Nunca adjunta anexos con información de facturas u otros tipos de datos.
  • Nunca realiza devoluciones a tarjetas de crédito o débito.
  • Nunca cobra importe alguno por los servicios que presta. La persona que los utiliza solo asumirá el coste compartido de las llamadas a teléfonos 901

Las recomendaciones de la Agencia Tributaria para evitar caer en engaños

Ante la recepción de un correo electrónico o un SMS fraudulento, el organismo público recomienda:

  • No abrir mensajes de usuarios desconocidos o que no hayas solicitado.
  • No contestar en ningún caso a estos mensajes.
  • Precaución al seguir enlaces en correos electrónicos, aunque sean de contactos conocidos. Lo mismo aplica a los SMS.
  • Precaución al descargar ficheros adjuntos de correos, aunque sean de contactos conocidos.

Estas son las direcciones web que utiliza la Agencia Tributaria

Los ciberdelincuentes utilizan webs fraudulentas con nombres similares a agenciatributaria.es, por lo que es importante conocer cuáles son las direcciones web que utiliza el organismo y ser consciente de que si un correo o SMS fraudulentos te remite a una supuesta URL de la Agencia Tributaria que no coincide exactamente con ninguna de ellas, entonces es una estafa.

El ente no utiliza solo la dirección web mencionada, que corresponde al Portal de la Agencia Tributaria, sino también otros 10 dominios que usa su Sede electrónica. La lista completa de los dominios de la Agencia Tributaria que corresponden a webs en las que se pueden realizar pagos es la siguiente: