Las víctimas reciben un email en el que le informan de una notificación de la Agencia Tributaria y y al pinchar en el enlace roban sus credenciales digitales
El Instituto Nacional de Ciberseguridad (INCIBE) ha alertado de una nueva estafa. Se trata de una campaña de suplantación de la Agencia Estatal de Administración Tributaria (AEAT) mediante correos electrónicos fraudulentos que buscan engañar a los usuarios para que faciliten sus datos de acceso a la Dirección Electrónica Habilitada Única (DEHÚ).
Según el aviso, los mensajes informan de una supuesta “nueva notificación electrónica” relacionada con una reclamación y animan a pinchar en un enlace para descargarla. Sin embargo, ese enlace redirige a una web falsa diseñada para robar credenciales.
Los correos están bien redactados y maquetados, lo que aumenta su credibilidad, aunque presentan un detalle clave: la dirección del remitente no pertenece al dominio oficial agenciatributaria.gob.es. El asunto más habitual detectado hasta ahora es:
“Aviso puesta a disposición de nueva notificación electrónica REF-XXXXXXXX”, si bien no se descarta que existan otras variantes.
Qué hacer si recibes uno de estos correos
El fraude afecta especialmente a aquellas personas que hayan accedido al enlace malicioso y facilitado sus datos de identificación.
- Si no has pulsado el enlace, reenvía el mensaje al buzón de incidentes de INCIBE, bloquea al remitente y elimina el correo.
- Si has accedido al enlace o introducido datos personales, se recomienda:
- Contactar con la Línea de Ayuda en Ciberseguridad para recibir asesoramiento personalizado.
- Guardar todas las evidencias del fraude (capturas de pantalla, enlaces, correos).
- Presentar denuncia ante las Fuerzas y Cuerpos de Seguridad del Estado aportando las pruebas recopiladas.
- Realizar egosurfing durante los meses posteriores para comprobar si la información personal está siendo utilizada.
- Cambiar inmediatamente las contraseñas, sobre todo si se reutilizan en otros servicios, y activar el doble factor de autenticación siempre que sea posible.
Desde INCIBE recuerdan además que cualquier gestión con la Administración solo permite el acceso mediante Cl@ve permanente o móvil (SMS), DNI electrónico o certificado digital, y aconsejan verificar siempre la legitimidad de cualquier comunicación a través de los canales oficiales de la Agencia Tributaria antes de actuar.
