El Instituto Nacional de Ciberseguridad (Incibe) ha alertado en el último mes sobre una campaña de fraude mediante mensajes de texto que suplanta la identidad de la Agencia Estatal de Administración Tributaria (AEAT). El objetivo de los ciberdelincuentes es engañar a los usuarios para que accedan a enlaces fraudulentos y que faciliten información personal y bancaria.
Según el organismo, la campaña se desarrolla a través de mensajes SMS que informan a las víctimas de la existencia de una supuesta comunicación oficial pendiente de consulta. "La Agencia Tributaria ha emitido una comunicación dirigida a usted que usted recibe en calidad de titular", reza el mensaje. Para acceder a ella, el usuario es invitado a pulsar sobre un enlace incluido en el mensaje. Una vez accede a la página, que imita la apariencia de la Sede Electrónica de la Agencia Tributaria, se le solicita información sensible con el pretexto de gestionar una devolución económica o un trámite fiscal.
Incibe señala que existen varios indicios que permiten identificar el fraude. Uno de ellos es la dirección web utilizada en los mensajes. Mientras que las páginas oficiales de la Agencia Tributaria emplean dominios terminados en '.gob.es' o '.es', los ciberdelincuentes utilizan extensiones como '.top' o '.click', habituales en campañas de estafa por su bajo coste y facilidad de registro.
Otro elemento destacado es la utilización del nombre AEAT como remitente del SMS. El organismo explica que los atacantes emplean técnicas conocidas como SMS spoofing, que permiten falsear la identidad del emisor y mostrar en el teléfono de la víctima el nombre de una entidad legítima. Incluso pueden conseguir que el mensaje aparezca integrado en conversaciones anteriores auténticas, aumentando así su apariencia de legitimidad.
La redacción del mensaje constituye una tercera señal de alerta. Incibe destaca que los textos empleados presentan expresiones genéricas, construcciones poco naturales y errores de formato. Además, carecen de elementos identificativos personales, como el nombre del destinatario o parte de su número de identificación fiscal, información que sí suele aparecer en las comunicaciones oficiales de las Administraciones Públicas.
El organismo recuerda que la Agencia Tributaria nunca solicita por SMS o correo electrónico datos confidenciales, números de tarjetas de crédito o información bancaria. Tampoco envía enlaces directos para gestionar devoluciones fiscales. Estos trámites se realizan exclusivamente a través de los canales oficiales habilitados por la Administración y mediante procedimientos formales.
Ante la recepción de uno de estos mensajes, Incibe recomienda no acceder al enlace, bloquear al remitente y eliminar el SMS. Asimismo, aconseja reportar el incidente para contribuir a la detección de nuevas campañas fraudulentas.
En caso de haber pulsado sobre el enlace y facilitado información personal o bancaria, el organismo recomienda contactar de inmediato con la entidad financiera correspondiente para prevenir movimientos no autorizados, recopilar todas las evidencias disponibles, denunciar los hechos ante las Fuerzas y Cuerpos de Seguridad del Estado y solicitar asesoramiento especializado a través de los servicios de ayuda en ciberseguridad. También aconseja vigilar periódicamente la posible utilización indebida de los datos personales comprometidos.
La alerta, publicada por Incibe el 26 de mayo de 2026 y clasificada con nivel de importancia alta, afecta potencialmente a todos aquellos usuarios que hayan accedido a la web fraudulenta y proporcionado información personal o financiera.