Cómo funciona la estafa
El pretexto plausible
Un reembolso pendiente, un error en la declaración o un trámite urgente — mensajes creíbles justo después del cierre de la campaña de la renta.
El enlace de «verificación»
El SMS incluye un enlace que pide confirmar sus datos para «desbloquear» el reembolso o corregir el supuesto error.
La web falsa
La página imita la Sede Electrónica de la AEAT — mismos colores y logos — y solicita datos bancarios, personales o sus credenciales Cl@ve.
El robo
Los datos introducidos van directos a los estafadores — un reembolso real nunca requiere confirmar nada por un enlace enviado por SMS, y Hacienda no ingresa devoluciones en una tarjeta de crédito, solo en el IBAN ya registrado.
Cómo reconocerla
- Cualquier solicitud de datos bancarios o personales por SMS o a través de un enlace.
- Un enlace para «reclamar» un reembolso: los reembolsos reales se ingresan automáticamente en el IBAN que Hacienda ya tiene registrado — nunca en una tarjeta, y nunca tras confirmar nada por SMS.
- Un dominio que no termina en
.gob.es: las páginas reales de la AEAT están siempre bajoagenciatributaria.gob.es. Dominios como «agencia-tributaria-es.com» son la señal más fiable. - Urgencia alrededor de un plazo o una supuesta sanción por no verificar los datos.
Qué hacer si recibe este SMS
- No haga clic, no responda con ningún dato.
- Verifique por el canal real: accede a su Sede Electrónica directamente en agenciatributaria.gob.es con su certificado digital o Cl@ve.
- Denúncielo a través de la web de INCIBE o ante la policía.
Egidio: su detector automático de phishing
Estos mensajes funcionan porque llegan justo cuando un reembolso real es plausible. Egidio bloquea la llamada y los mensajes que siguen a este tipo de campaña.
Egidio analiza los enlaces recibidos por mensajería en tiempo real. Cuando reconoce una falsa web de la AEAT, la bloquea antes de que se abra.
Instalar Egidio