Correo falso de la Agencia Tributaria: «devolución»

«La Agencia Tributaria ha calculado una devolución a su favor de 387,52 €. Pulse aquí para recibirla.» Si has recibido un correo así, probablemente sea una estafa. Llega sobre todo en la época de la declaración de la renta, cuando mucha gente espera de verdad una devolución.

Cómo funciona la estafa

El enlace lleva a una página que copia el aspecto de la Agencia Tributaria. Allí te piden tu nombre, tu DNI y los datos de tu tarjeta o de tu cuenta «para ingresarte el dinero». En realidad, los estafadores usan esos datos para cobrarte a ti, o los venden. A veces después te llaman fingiendo ser tu banco.

Cómo reconocerla

• No esperabas ninguna devolución, o la cantidad te sorprende.
• Te piden datos de tu tarjeta para recibir dinero. Para ingresarte algo no hace falta pagar ni dar el código de tu tarjeta.
• Hay prisa: «tiene 24 horas para reclamarla», «de lo contrario la perderá».
• El saludo es genérico («Estimado contribuyente») y hay faltas o frases raras.
• El remitente no es de la web oficial, sino una dirección rara o un correo gratuito.
• El enlace, al pasar el ratón por encima, no lleva a agenciatributaria.gob.es.
• Hay un archivo adjunto «con el detalle de la devolución». No lo abras.

Versiones habituales

• «Devolución de IRPF pendiente», con un enlace para «verificar su identidad».
• «Notificación pendiente» o «requerimiento», con un adjunto o un enlace.
• «Multa o sanción», que te pide pagar una pequeña cantidad para evitar un recargo.
• Un SMS con un enlace acortado: es la misma estafa en el móvil.

Qué hacer

1. No pulses el enlace, no abras adjuntos y no respondas.
2. Para consultar el estado de tu devolución, escribe tú mismo la dirección oficial en el navegador o usa la app oficial.
3. Borra el correo o márcalo como spam.
4. Si tienes dudas, llama al 017 de INCIBE.

¿Y si ya has pulsado o pagado?

Actúa rápido, pero con calma. Si has escrito los datos de tu tarjeta, llama a tu banco para bloquearla y revisa los últimos movimientos. Cambia la contraseña de cualquier cuenta que hayas usado en esa página, empezando por la del correo. Guarda el mensaje y los justificantes, y denuncia ante la Policía Nacional o la Guardia Civil si has perdido dinero. El 017 de INCIBE atiende de forma gratuita y confidencial.

Para ver más señales, lee cómo reconocer un correo de phishing. Si el mensaje pide pagar una tasa pequeña, mira también la estafa del paquete.

Compruébalo con Fishi

Reenvía el correo sospechoso a check@fishi.email, idealmente como archivo adjunto. Fishi comprueba adónde lleva realmente el enlace, qué antigüedad tiene la web y si figura en listas de phishing, y te responde con una respuesta clara. Es gratis y no necesitas cuenta.