Correos electrónicos fraudulentos de Hacienda

Correos electrónicos fraudulentos de Hacienda: Cómo detectarlos y proteger su negocio

En Asesorania, entendemos la importancia de mantener la seguridad financiera de su empresa en España. En el entorno digital actual, una de las amenazas más persistentes son los correos electrónicos fraudulentos que suplantan la identidad de organizaciones oficiales como la Agencia Tributaria (Hacienda). 

Estos correos, cada vez más sofisticados, buscan engañar a los contribuyentes para obtener información sensible o realizar acciones perjudiciales. El objetivo de este artículo es proporcionarle el conocimiento y las herramientas necesarias para identificar y evitar ser víctima de estas estafas.

Análisis de un correo electrónico fraudulento común

A continuación, analizaremos un ejemplo típico de correo electrónico fraudulento que simula ser de Hacienda:

Estimado contribuyente: Tras analizar la situación fiscal de su empresa, la Agencia Tributaria ha detectado posibles irregularidades en los registros financieros.

Para aclarar estas discrepancias y evitar posibles sanciones, le solicitamos que nos proporcione, en un plazo de 5 días hábiles desde la recepción de esta notificación, los siguientes documentos: Copia de las facturas emitidas y recibidas en los últimos 2 meses. Justificantes de pago de las facturas abonadas. Copia de las facturas pendientes, incluyendo fechas de vencimiento y montos adeudados.

El incumplimiento de esta solicitud puede conllevar la aplicación de sanciones conforme a la legislación fiscal vigente. Para enviar los documentos o para cualquier aclaración adicional, le rogamos responder a este correo electrónico (Responder Ahora – Agencia Tributaria).

Atentamente, Agencia Tributaria

Agencia Estatal de Administración Tributaria, con DIR3: L58014924797539774 Identificador: 5856b4a22e10419015a583ec14fd3d33

A primera vista, este correo podría parecer oficial. Incluye referencias a la «Agencia Tributaria» y la «Agencia Estatal de Administración Tributaria», e incluso proporciona un código DIR3 y un identificador. Sin embargo, al examinarlo más de cerca, se pueden identificar varias señales de alerta.

La salutación genérica, «Estimado contribuyente, es un indicio de que el correo no está dirigido específicamente a usted. La mención de «posibles irregularidades» sin especificar cuáles, es también una táctica común para generar preocupación sin ofrecer detalles concretos.

El plazo de «5 días hábiles» ejerce presión para que actúe rápidamente sin pensar. Es importante destacar que Hacienda rara vez solicita el envío de documentación financiera detallada a través de correos electrónicos no solicitados.

La instrucción de «responder a este correo electrónico» para enviar documentos o solicitar aclaraciones es otra señal sospechosa, ya que las comunicaciones oficiales de Hacienda suelen dirigir a los usuarios a su portal en línea seguro.

Finalmente, la llamada a la acción «Responder Ahora» es una táctica habitual en los correos de phishing para incitar a una respuesta impulsiva.

Tácticas comunes en correos electrónicos falsos de Hacienda

El ejemplo anterior ilustra algunas de las tácticas más comunes utilizadas en los correos electrónicos fraudulentos que se hacen pasar por Hacienda. Sin embargo, existen otros escenarios que debe conocer:

• Falsos reembolsos de impuestos: Estos correos afirman que usted tiene derecho a un reembolso de impuestos y le solicitan sus datos bancarios para procesarlo . Esta táctica aprovecha el deseo de las personas de recibir dinero inesperado, lo que puede llevarlas a hacer clic en enlaces o proporcionar información sin pensar detenidamente.  

• Notificaciones urgentes o demandas de pago: Recibirá correos electrónicos que le informan sobre un problema urgente con su declaración de impuestos o un pago pendiente que requiere atención inmediata para evitar sanciones o acciones legales . El miedo a las sanciones o problemas legales puede nublar el juicio y hacer que las personas actúen impulsivamente sin verificar la autenticidad del correo.  

• Solicitudes de información personal o bancaria: Estos correos le pedirán que actualice o confirme sus datos personales, números de cuenta bancaria o información de tarjetas de crédito. El objetivo principal de estos ataques es robar información sensible que pueda utilizarse para el robo de identidad o el fraude financiero. 

• Correos con enlaces o archivos adjuntos sospechosos: Estos correos contienen enlaces que le redirigen a sitios web falsos diseñados para robar sus credenciales de inicio de sesión o instalar malware en su dispositivo. También pueden incluir archivos adjuntos que contienen software malicioso. Estos enlaces y archivos adjuntos son los mecanismos a través de los cuales los estafadores intentan robar información o comprometer su dispositivo. 

Señales de alerta: Identificando un correo electrónico de phishing de Hacienda

Para protegerse de estas amenazas, es crucial poder identificar las señales de alerta de un correo electrónico fraudulento de Hacienda. Aquí tiene una lista de elementos a los que debe prestar atención:

• Información del remitente sospechosa: La dirección de correo electrónico del remitente es uno de los primeros elementos que debe examinar. Los correos electrónicos legítimos de la Agencia Tributaria siempre terminarán con el dominio oficial «@agenciatributaria.es». Desconfíe de cualquier dirección que no coincida exactamente o que utilice dominios genéricos como «@gmail.com» o «@hotmail.com»  

Los estafadores a menudo utilizan dominios que se parecen al oficial pero con ligeras variaciones, como «@agencia-tributaria.es» o «@aeat.es.login». 

• Asuntos genéricos o alarmistas: Los asuntos de los correos electrónicos fraudulentos suelen ser vagos («Notificación», «Aviso») o están diseñados para crear una sensación de urgencia o alarma («Urgente», «Acción requerida») . Algunos ejemplos de asuntos detectados en… disponible – Identificador XXXXXX’”, “AVISO IMPORTANTE”, “Aviso puesta a disposición de nueva notificación electrónica REF-XXXXXX”, «Atención Urgente Requerida con Respecto a su Declaración de Impuestos Corporativos (Modelo 200)» y «AEAT: Notfiicación Final de Documentación: Plazo Límite de 48 Horas».  

• Solicitudes urgentes de acción: Los correos electrónicos fraudulentos a menudo exigen una acción inmediata dentro de un plazo muy corto («en 24/48 horas», «en 5 días hábiles») . También pueden incluir amenazas de sanciones, acciones legales o suspensión de cuentas si no se realiza la acción solicitada . Esta táctica de crear una falsa sensación de urgencia está diseñada para presionar a las víctimas para que cometan errores sin pensar.  

• Demandas de datos personales o financieros: Hacienda nunca solicitará información personal sensible, como números de cuenta bancaria, detalles de tarjetas de crédito o contraseñas, a través de correo electrónico . Cualquier correo electrónico que le pida esta información debe considerarse sospechoso.  

• Errores gramaticales y tipográficos: Muchos correos electrónicos de phishing contienen errores de ortografía o gramática notables, así como un lenguaje o formato poco profesional. Si bien algunas estafas sofisticadas pueden tener textos bien redactados, la presencia de errores suele ser un indicio de que el correo no es legítimo. 

• Enlaces y archivos adjuntos inusuales: Antes de hacer clic en cualquier enlace, pase el ratón por encima para ver la dirección web real a la que dirige. Si la dirección parece sospechosa o no coincide con el texto del enlace, no haga clic. Desconfíe también de los archivos adjuntos que no esperaba o que tienen extensiones de archivo inusuales (por ejemplo, .exe, .zip si no los ha solicitado). 

¿Cómo se comunica realmente Hacienda? Canales oficiales

Es fundamental conocer los canales oficiales que utiliza la Agencia Tributaria para comunicarse con los contribuyentes:

• La Sede Electrónica Oficial: Este es el canal principal y más seguro para las comunicaciones de Hacienda. Puede acceder a la Sede Electrónica directamente a través de su navegador escribiendo la dirección oficial: sede.agenciatributaria.gob.es. Las notificaciones y comunicaciones oficiales suelen estar disponibles en su área personal de la Sede Electrónica, a la que se accede mediante autenticación segura (certificado digital, Cl@ve PIN) .  

• Correo postal: Hacienda todavía utiliza el correo postal certificado para ciertas comunicaciones oficiales. Estas cartas siempre irán en papel oficial con membrete y no suelen solicitar información sensible por correo de respuesta o enlaces directos para una acción inmediata en línea.  

• Notificaciones por SMS y correo electrónico (informativas): Hacienda puede enviar mensajes SMS o correos electrónicos como recordatorios o para informarle de que tiene una nueva notificación disponible en su Sede Electrónica. Sin embargo, estos mensajes nunca contendrán información personal o financiera sensible ni enlaces directos que le pidan que introduzca datos de inmediato.


• Llamadas telefónicas (menos común para notificaciones formales iniciales): Hacienda puede llamar a los contribuyentes en circunstancias específicas, pero esto es menos común para las notificaciones formales iniciales o las solicitudes de documentación. Si recibe una llamada, sea extremadamente cauteloso y nunca proporcione información sensible por teléfono a menos que usted haya iniciado la llamada a un número oficial conocido.

Protegiéndose: Pasos esenciales para evitar estafas de correo electrónico de Hacienda

Para minimizar el riesgo de ser víctima de estas estafas, siga estos consejos esenciales:

• Acceda Siempre a los servicios de Hacienda directamente: Escriba la dirección web oficial (sede.agenciatributaria.gob.es) directamente en su navegador en lugar de hacer clic en enlaces de correos electrónicos. Guarde la página oficial en sus favoritos para facilitar el acceso y considere utilizar la aplicación móvil oficial de Hacienda.  

• Sea escéptico con los correos electrónicos no solicitados: Trate cualquier correo electrónico inesperado de Hacienda con precaución, incluso si parece legítimo. Recuerde que la principal vía de notificación de Hacienda es la Sede Electrónica.  

• Nunca comparta información sensible por correo electrónico: No responda a correos electrónicos que le soliciten datos personales, números de cuenta bancaria o contraseñas. Hacienda nunca le pedirá esta información por correo electrónico .  

• Compruebe las Conexiones Seguras (HTTPS): Si hace clic en un enlace (asegúrese de que sea de una fuente de confianza), verifique que la dirección del sitio web en su navegador comience con «https://» y que haya un icono de candado en la barra de direcciones. Esto indica que la conexión está cifrada y es segura.  

• Mantenga su software actualizado: Asegúrese de que su sistema operativo, navegador web, software antivirus y otras aplicaciones de seguridad estén siempre actualizados. Las actualizaciones a menudo incluyen parches de seguridad que protegen contra vulnerabilidades conocidas.  

• Active la autenticación de dos factores cuando sea posible: Si su proveedor de correo electrónico y otros servicios en línea ofrecen la autenticación de dos factores (2FA), actívela para obtener una capa adicional de seguridad . Esto dificulta mucho el acceso no autorizado a sus cuentas, incluso si alguien obtiene su contraseña.  

¿Es realmente de Hacienda este correo Electrónico? ¿Cómo verificar?

Si tiene dudas sobre la legitimidad de un correo electrónico que parece ser de Hacienda, siga estos pasos para verificar su autenticidad:

• Compruebe cuidadosamente la dirección de correo electrónico del remitente: Como se mencionó anteriormente, examine la dirección de correo electrónico en busca de discrepancias o dominios inusuales.  

• Busque certificados digitales (avanzado): Los correos electrónicos firmados digitalmente proporcionan una mayor garantía sobre la identidad del remitente. Puede verificar si un correo electrónico tiene una firma digital válida en su cliente de correo electrónico.

• Utilice las herramientas oficiales de verificación de documentos de Hacienda: Hacienda proporciona herramientas en su sitio web para verificar la autenticidad de los documentos recibidos electrónicamente. Busque la opción de «Cotejo de documentos con CSV» donde puede introducir un código seguro de verificación que se encuentra en los documentos oficiales de Hacienda.  

• Contacte directamente con Hacienda a través de canales oficiales conocidos: Si no está seguro de la legitimidad de un correo electrónico, contacte directamente con Hacienda a través de sus números de teléfono oficiales o la Sede Electrónica. No utilice la información de contacto proporcionada en el correo electrónico sospechoso. Los números de teléfono oficiales de Información Tributaria Básica son el 901 33 55 33 / 91 554 87 70.  

Manténgase informado: Alertas y recursos recientes de phishing de Hacienda

Es crucial mantenerse al día sobre las últimas estafas de phishing dirigidas a Hacienda. Tanto Hacienda como organizaciones de ciberseguridad como el INCIBE (Instituto Nacional de Ciberseguridad) suelen emitir alertas sobre campañas en curso.  

Puede encontrar información sobre las amenazas actuales y ejemplos de correos electrónicos y SMS fraudulentos en los siguientes recursos oficiales:

• Página de información sobre phishing de Hacienda: https://sede.agenciatributaria.gob.es/Sede/ayuda/consultas-informaticas/informacion-casos-phishing.html  

Conclusión: Manteniéndose seguro en la era digital – Asesorania está aquí para ayudar

En resumen, la vigilancia y la precaución son esenciales al tratar con correos electrónicos, especialmente aquellos que afirman ser de organizaciones oficiales como Hacienda. Recuerde las señales de alerta clave y la importancia de verificar cualquier comunicación sospechosa a través de los canales oficiales.

En Asesorania, la seguridad y el bienestar de nuestros clientes son nuestra máxima prioridad. Si recibe un correo electrónico sospechoso que parece ser de Hacienda y no está seguro de cómo proceder, no dude en ponerse en contacto con nosotros. Estamos aquí para ayudarle a proteger su negocio y su información financiera.