Los ciberdelitos no cesan, y cada vez son más sofisticados. Los ciberdelincuentes, que han encontrado en la IA un gran aliado, se aprovechan de los momentos de crisis, de los periodos de declaración de impuestos o de ciertas campañas de ayuda humanitaria para manipular a las víctimas y sacar tajada.
Ahora, el Instituto Nacional de Ciberseguridad (Incibe) ha detectado una campaña de suplantación a la Agencia Estatal de Administración Tributaria (AEAT) a través de notificaciones por correo electrónico. El objetivo no es otro que engañar a las víctimas para que faciliten sus credenciales de acceso a la Dirección Electrónica Habilitada Única (DEHÚ).
“Aviso de una nueva notificación electrónica”
Se trata de una campaña de phishing: los delincuentes envían a las víctimas potenciales una notificación electrónica relacionada con una supuesta reclamación. Esta va acompañada de un enlace para acceder a la plataforma y descargar la notificación, pero dicho enlace redirecciona una web fraudulenta. El asunto con el que se identifican estos correos es: “Aviso puesta a disposición de nueva notificación electrónica REF-XXXXXXXX”, lo que despierta el sentido de urgencia.
Aparentemente, las notificaciones están bien redactadas y maquetadas (lo que no siempre es habitual), pero el engaño se revela al observar con atención la dirección de correo del remitente, que no tiene relación con el dominio oficial de la agencia tributaria “agenciatributaria.gob.es”.
Correos fraudulentos de la AEAT
Así, la entidad ha pedido a los usuarios que revisen bien los correos enviados, supuestamente, por la AEAT. En caso de detectar que el enlace es fraudulento, su recomendación es reenviarlo a su buzón de incidentes.
“Esto nos permitirá recopilar la información para prevenir que otros usuarios caigan en este tipo de fraudes. Además, bloquea al remitente y elimina el mensaje de tu bandeja de entrada”, aconsejan.
Qué hacer en estos casos
En caso de haber accedido al enlace y haber facilitado información, estas son las recomendaciones del Incibe:
- Puedes ponerte en contacto con la Línea de Ayuda en Ciberseguridad para que te asesoremos de forma personalizada.
- Reúne y guarda todas las evidencias disponibles sobre el fraude, como capturas de pantalla o enlaces maliciosos. Puedes utilizar servicios de testigos online para validar la recopilación de pruebas, especialmente en este caso de smishing o phishing. Presenta una denuncia ante las Fuerzas y Cuerpos de Seguridad del Estado, aportando todas las pruebas recopiladas durante el proceso.
- Practica egosurfing de manera periódica hasta pasados unos meses para detectar si tu información personal ha sido expuesta o utilizada de forma indebida.
- Cambia tus credenciales de acceso en caso de que las utilices en otras cuentas online. Recuerda que lo más seguro es utilizar una para cada sitio y si es posible, siempre con un doble factor de autenticación.
"Si dudas sobre la legitimidad de una comunicación, verifica siempre antes de actuar por los canales oficiales, como la web de la Agencia Tributaria", remarca el Incibe.