En el último Balance de Ciberseguridad 2022 del Instituto Nacional de Ciberseguridad de España (Incibe), órgano dependiente del Ministerio de Asuntos Económicos y Transformación Digital, a través de la Secretaría de Estado de Digitalización e Inteligencia Artificial, se destaca que durante el pasado año este organismo gestionó un total de 118.820 incidentes de ciberseguridad, un 9% más respecto al año anterior.

El Instituto, que apunta que «los incidentes siguen creciendo de manera continuada», resalta que entre los incidentes más frecuentes destaca el phishing, con casi 17.000 incidentes, seguido del malware con más de 14.000 y, por último, el ransomware, con casi 450 incidentes.

Una de las excusas y vías más habituales utilizadas por los ciberdelincuentes para elaborar sus intentos de estafa son la Campaña de la Renta y la suplantación de la identidad de la Agencia Tributaria. En este sentido, el Incibe advierte que «durante el período de la Declaración de la Renta entre abril y junio, durante los meses previos y la temporada habilitada se puede apreciar un auge de esta modalidad de phishing«.

Coincidiendo con el inicio de la presente Campaña de la Renta 2022, abierta desde el 11 de abril al 30 de junio, el pasado día 12 de abril tanto la Agencia Tributaria como el propio Incibe alertaron sobre una estafa de phishing que trataba de hacerse con los datos de los contribuyentes suplantando la identidad de la AEAT.

El texto recibido rezaba el siguiente mensaje: «Teniendo en cuenta la información que obra en poder de la Agencia Tributaria no ha sido posible devolverle el impuesto actual de la campaña de Renta. Por diversas razones aún no disponemos de la totalidad de los datos necesarios para la devolución. Para ello, ha de comunicar estos datos lo antes posible siguiendo este enlace».

El Incibe alertó de que se trataba «de una campaña de correos maliciosos que tratan de suplantar a la Agencia Tributaria, con el objetivo de obtener las credenciales de acceso del usuario a través de una página fraudulenta que suplanta a la legítima, o trata de infectar su dispositivo».

Tipos de estafas

Pero el phishing tiene más variantes. Por ejemplo, el smishing, que es «la suplantación de identidad vía SMS, mediante la cual se notifica al usuario de que ha sido seleccionado para recibir una devolución de dinero», explica el instituto de ciberseguridad. En este tipo de fraude, si el usuario abre el enlace adjunto en el mensaje de texto, accederá a una página en la que deberá introducir su cuenta bancaria, con pin incluido, de manera que los ciberatacantes obtienen las credenciales.

La propia Agencia Tributaria indica en su página web la existencia de diversas técnicas de fraude que suplantan su identidad para cometer estafas, no solo a través de correos electrónicos, sino también por medio de páginas web, mensajes de texto, supuestos servicios de cita previa y aplicaciones móviles.

En su página web pueden observarse numerosos ejemplos que el organismo viene recopilando desde 2020, en los que los estafadores siempre intentan hacerse pasar por por el Fisco. Entre los recogidos en 2023, se encuentran un aviso de denuncia por facturas y tickets no declarados; una solicitud de 500 euros a través de Bizum; una petición de dirección de correo electrónico y contraseña en una falsa web de la AEAT; un email con un aviso de notificación postal emitido supuestamente por la Agencia Tributaria con enlaces malignos; y un SMS que suplanta la identidad de la AEAT para notificar un reembolso de impuestos, con un enlace a una web con la apariencia de la AEAT en la que hay que rellenar un formulario con los datos de la tarjeta de crédito, incluido el código de seguridad.

Consejos

Ante la proliferación de todos estos fraudes, la Agencia Tributaria recuerda que nunca solicita por correo electrónico, SMS o Bizum información confidencial, económica o personal, números de cuenta ni números de tarjeta de los contribuyentes, ni adjunta anexos con información de facturas u otros tipos de datos.

La empresa de ciberseguridad VU advierte que «los ataques de phishing aumentan durante la época de la Declaración de la Renta», ya que «los ciberdelincuentes aprovechan la confusión y el estrés que puede generar este proceso para intentar obtener información confidencial de los contribuyentes desprevenidos». El objetivo de las estafas es hacerse con información personal confidencial, como contraseñas, números de tarjetas de crédito y datos de cuentas bancarias. Para ello, los correos electrónicos fraudulentos suelen incluir enlaces a sitios web que parecen los auténticos, utilizando el logo y tipografía de Hacienda.

Para prevenir este tipo de fraudes en los que se suele hacer referencia a un reembolso de impuestos inexistente, la Agencia Tributaria, además de ofrecer varias vías de colaboración para informar sobre estas estafas, ofrece una serie de consejos como no hacer clic en ningún enlace o fichero adjunto que proceda de un correo sospechoso.

Así, entre los consejos de la Agncia Tributaria para evitar estos fraudes están no abrir mensajes de usuarios desconocidos o que no hayan sido solicitados; no contestar en ningún caso a dichos mensajes; precaución al seguir enlaces en correos aunque sean de contactos conocidos; y precaución al descargar ficheros adjuntos de correos aunque sean de contactos conocidos. Para mayor seguridad, la AEAT recomienda conectarse a la Agencia Tributaria tecleando la dirección en el navegador y en especial, en el acceso a la Sede electrónica, verificar su certificado.

Fuente: Expansión