Guía
Phishing fiscal: Evita fraudes a nombre de la Agencia Tributaria
Equipo de seguridad de URLVIS · Última actualización: 26 de agosto de 2026
Las campañas de la Renta y los cierres de trimestres fiscales suelen venir acompañados de oleadas masivas de estafas que suplantan a la Agencia Tributaria (Hacienda) en España. Los ciberdelincuentes utilizan el correo electrónico (phishing) o mensajes SMS (smishing) para engañar a los ciudadanos, aprovechando la sensibilidad económica y el temor que generan las comunicaciones oficiales sobre impuestos o multas. Estas estafas operan principalmente bajo dos tácticas opuestas. La primera y más común es el cebo positivo: un mensaje que informa a la víctima de que tiene derecho a un inesperado "reembolso de impuestos" de una cantidad atractiva, invitándole a reclamarlo a través de un enlace antes de que caduque el plazo. La segunda táctica es el cebo negativo: una advertencia urgente sobre una multa impagada, una discrepancia en la declaración de IRPF o un supuesto embargo, exigiendo un pago inmediato para evitar graves consecuencias legales. En ambos escenarios, el desenlace es el mismo. El enlace conduce a un sitio web falso que imita a la perfección el diseño institucional del Ministerio de Hacienda, completo con los escudos oficiales del Gobierno de España. En esta página fraudulenta se solicita a la víctima que introduzca sus datos personales exhaustivos (DNI, dirección, teléfono) y, sobre todo, los números completos de su tarjeta de crédito bajo la excusa de "realizar el ingreso del reembolso" o "procesar el pago de la multa". Es vital recordar que la Agencia Tributaria en España jamás solicita información financiera sensible, ni datos de tarjetas de crédito, ni pagos inmediatos a través de correos electrónicos no solicitados o mensajes SMS. Los pagos oficiales siempre se realizan mediante pasarelas seguras (NRC) desde la sede electrónica, y las devoluciones de impuestos se ingresan directamente en la cuenta bancaria (IBAN) que el contribuyente especificó en su declaración de la Renta, sin necesidad de que deba "reclamarlo" facilitando su tarjeta. Antes de alarmarte o dejarte seducir por un reembolso sorpresa, verifica cualquier comunicación accediendo directamente a la Sede Electrónica oficial de la Agencia Tributaria tecleando la dirección en tu navegador y accediendo a tu área personal.
Cómo identificarla
- Revisa la dirección del remitente: Aunque el nombre visible sea "Agencia Tributaria", la dirección de correo electrónico real suele delatar el fraude. Los correos oficiales provienen de dominios terminados en "correo.aeat.es", no de Gmail, Hotmail o servidores comprometidos.
- Atención al requerimiento de tarjetas de crédito: Hacienda NUNCA te pedirá el número de tu tarjeta de crédito o débito, su fecha de caducidad ni el CVV para hacerte una devolución. Las devoluciones legítimas se realizan por transferencia a la cuenta IBAN que consta en tu expediente.
- Cuidado con la urgencia y los plazos cortos: Los mensajes que exigen un pago o una reclamación "en menos de 24 horas" bajo amenaza de acciones legales suelen ser un intento claro de fraude para forzar una decisión precipitada.
- Verifica el diseño y la ortografía: Las comunicaciones oficiales son rigurosas. Si detectas errores de redacción, ausencia de acentos, o tratamientos lingüísticos inusuales ("Estimado contribuyente de España"), desconfía inmediatamente.
- No confíes ciegamente en el "Candado Verde": Aunque la página fraudulenta utilice HTTPS y muestre un candado de seguridad, esto solo significa que la conexión está cifrada, no que la web sea realmente de la Agencia Tributaria.
- Notificaciones formales: La Agencia Tributaria comunica las resoluciones y expedientes a través del buzón electrónico de la DEHú (Dirección Electrónica Habilitada única) o mediante carta certificada, no a través de SMS genéricos.
- No abras archivos adjuntos sospechosos: Algunas variantes de esta estafa incluyen falsos "comprobantes fiscales" en formato .zip o .exe. Son programas maliciosos que infectarán tu equipo informático.
Ejemplos reales
Los siguientes ejemplos son solo ilustrativos. No hacen referencia a ninguna persona, marca u organización real y existen únicamente para mostrar el patrón de la estafa.
Falso reembolso de impuestos de la Renta
Ejemplo ficticio — Agencia Tributaria: Tras revisar su declaracion anual, hemos determinado que tiene derecho a un reembolso de 350,45 EUR. Para reclamar su importe hoy mismo y recibir la transferencia, acceda a su expediente aqui: https://reembolsos-hacienda-es.com/renta
Supuesta multa o irregularidad fiscal urgente
Ejemplo ficticio — [AEAT] Ministerio de Hacienda. Se ha detectado una irregularidad en el pago de sus tributos. Tiene una sancion pendiente de 125,00 EUR. Abone ahora para evitar el embargo preventivo de sus cuentas: http://sede-aeat-pagos.info
Falso bloqueo de la firma digital (phishing de credenciales)
Ejemplo ficticio — Sede Electronica Agencia Tributaria: Su Certificado FNMT ha sido suspendido temporalmente por inactividad. Para volver a realizar tramites administrativos debe reactivarlo introduciendo sus datos personales en el siguiente enlace de verificacion.
Fuentes
Canales de denuncia
- INCIBE (Instituto Nacional de Ciberseguridad): Puedes reenviar el correo o mensaje fraudulento para que analicen la página y procedan a su bloqueo en España.
- Agencia Tributaria - Avisos de seguridad: La propia AEAT dispone de un portal específico advirtiendo sobre las campañas fraudulentas activas que suplantan su identidad.
- Fuerzas y Cuerpos de Seguridad (Policía Nacional / Guardia Civil): Si has caído en el engaño y proporcionado tus datos financieros, es indispensable presentar una denuncia formal.
Preguntas frecuentes
¿Puede Hacienda solicitarme la tarjeta bancaria para devolverme dinero?
Nunca, bajo ningún concepto. La Agencia Tributaria siempre realiza los ingresos a través de transferencias bancarias al número de cuenta (IBAN) que tú mismo has especificado previamente en tu declaración o en tu área personal censal, jamás te pedirán la tarjeta.
Recibí un correo sobre un reembolso, pero no he hecho la declaración aún.
Esto es una confirmación absoluta de que se trata de un intento de estafa (phishing). Los defraudadores envían estos correos de forma masiva a miles de direcciones al azar, esperando que alguien "pique" independientemente de su situación fiscal real.
He proporcionado los datos de mi tarjeta en la web falsa, ¿qué hago ahora?
Cancela la tarjeta inmediatamente contactando con el teléfono de emergencias de tu banco (disponible 24 horas). Verifica los movimientos recientes de la cuenta. Posteriormente, acude a una comisaría con capturas de pantalla para presentar una denuncia por robo de datos.
¿Cómo sé si tengo notificaciones reales de la Agencia Tributaria?
La forma más segura de comprobarlo es accediendo por tus propios medios a la Sede Electrónica de la Agencia Tributaria (sede.agenciatributaria.gob.es) o al portal de la DEHú (Dirección Electrónica Habilitada única). Una vez identificado con tu DNI, certificado digital o Cl@ve, podrás ver si tienes notificaciones pendientes en tu buzón oficial.
¿Sirve de algo bloquear el número que me envió el SMS?
Es una buena práctica para no recibir más mensajes de ese mismo identificador, pero ten en cuenta que los estafadores utilizan programas informáticos para falsificar los números o cambian constantemente de origen, por lo que podrías recibir mensajes similares desde otros números.
How This Guide Was Prepared
This guide was compiled from publicly available fraud-reporting sources and URLVIS's own multilingual risk taxonomy; an AI-assisted draft was reviewed before publication. It is for general information only and is not legal or financial advice. Spotted an error or outdated detail? Report it to [email protected].