«Tiene una nueva notificación electrónica de la Agencia Tributaria». Es uno de los correos falsos más repetidos en España, y funciona porque se parece mucho a los avisos de verdad. En una empresa o una gestoría, que recibe avisos reales cada semana, es todavía más fácil caer. Hay una forma sencilla de no equivocarse nunca: no fiarse del correo y comprobarlo siempre por otro camino.
Cómo funcionan las notificaciones de verdad
La Agencia Tributaria no te manda la notificación por correo. Te manda, como mucho, un aviso de que tienes una notificación disponible. El contenido solo se puede ver entrando en la sede electrónica de la Agencia Tributaria o en la Dirección Electrónica Habilitada única (DEHú), identificándote con certificado digital, Cl@ve o DNI electrónico.
Por eso, un correo que trae la notificación en un adjunto, que te pide descargar un archivo o que te lleva a pagar desde un enlace, es falso.
Señales de un aviso falso
- Trae un adjunto (un PDF, un ZIP, un documento) o un enlace para «ver la notificación».
- Te pide pagar una deuda, una multa o una tasa desde el propio mensaje.
- Promete una devolución y te pide los datos de una tarjeta para recibirla.
- Mete prisa: «si no responde en 24 horas, se iniciará un procedimiento de embargo».
- Llega por SMS o WhatsApp con un enlace acortado.
Ojo con el remitente
Los estafadores pueden falsificar la dirección del remitente y hacer que parezca una dirección real de la Agencia Tributaria. Un remitente correcto no demuestra nada: lo que cuenta es entrar tú, por tu cuenta, en la sede electrónica.
Cómo comprobar si es real, en un minuto
- No hagas clic en nada del mensaje.
- Abre el navegador y escribe tú la dirección de la sede electrónica de la Agencia Tributaria, o entra en la DEHú, desde tus favoritos o desde el buscador.
- Identifícate y revisa si de verdad tienes una notificación pendiente.
- Si ya tienes un documento de la Agencia Tributaria, busca su Código Seguro de Verificación (CSV) y compruébalo en el servicio de cotejo de la sede: te dirá si lo emitió la Agencia.
Si ya has hecho clic
- Si has escrito una contraseña, cámbiala desde otro dispositivo y activa el doble factor en esa cuenta.
- Si has descargado y abierto un archivo, desconecta el equipo de la red y avisa a quien lleve vuestra informática antes de seguir usándolo. Muchas de estas campañas instalan programas que roban las contraseñas guardadas.
- Si has dado datos de una tarjeta o del banco, llama a tu banco para bloquearla y denuncia ante la Policía Nacional o la Guardia Civil.
- Si tienes dudas, el 017 de INCIBE es una línea gratuita y confidencial.
En una gestoría o asesoría, una norma para todo el equipo
Una gestoría recibe avisos de notificaciones de muchos clientes, y los atacantes lo saben. La norma más eficaz es también la más simple: a las notificaciones se entra siempre desde la sede o la DEHú, nunca desde un correo. Si todo el equipo la aplica sin excepciones, este fraude deja de funcionar.
Además, conviene revisar en qué equipos están instalados los certificados digitales de los clientes. Si un ordenador se infecta, el certificado que haya en él queda expuesto. Cómo protegemos a gestorías y asesorías.