Vamos a explicarte cómo funciona y cómo identificar la estafa por SMS del falso pago de la Agencia Tributaria, que coincidiendo con la campaña de la Renta 2021 puede haberte llegado al móvil para que parezca realista. Se trata de un tipo de estafa por SMS bastante poco sofisticada, pero aunque sea más fácil de detectar que en otras ocasiones, siempre es bueno recordar cómo funcionan para que nadie pueda caer en ellas.

Por eso mismo, vamos a intentar que tengas toda la información posible en este artículo. Empezaremos diciéndote qué es este tipo de estafa y cuál es su funcionamiento. Y luego, te diremos cómo puedes identificar esta estafa concreta de las demás, ya que además de los signos clásicos de este tipo de estafa hay un par de cosas específicas relacionadas con las palabras que se utilizan que también te puede ayudar con otras estafas relacionadas con Hacienda.

Qué son este tipo de estafas

A este tipo de estafas por SMS se las puede llamar de dos maneras. Por una parte, es un tipo de ataque conocido como phishing, que significa pesca. Es un nombre bastante descriptivo, porque lo que se hace con estos ataques es lanzar “anzuelos” o mensajes trampa por SMS o por correo electrónico de forma masiva, con la idea de que algún usuario desprevenido acabe mordiéndolo y picando.

Pero dentro de la familia de los ataques de phishing, podemos decir que este concreto se trata de un ataque de smishing. Su nombre significa SMS phishing o pesca a través de SMS. Por lo tanto, como has adivinado, es el método de pesca que los cibercriminales utilizan enviando los anzuelos por mensajes de texto, normalmente haciéndose pasar por empresas o entidades reales, con la intención de robar tus datos o infectar tus dispositivos.

En esta estafa en concreto, el remitente se hace pasar por una oficina de correos diciéndote que hay un pago que debes realizar. Lo hace mediante un SMS en el que adjuntan una dirección web que te lleva a la página del atacante, que es donde se te invita a rellenar tus datos de pago para, así, robarte dinero.

En el caso de este ataque concreto, los atacantes se hacen pasar por la Agencia Tributaria, aunque sin utilizar técnicas sofisticadas de SMS spoofing, que son esas con las que falsifican el remitente de los SMS. Aquí, verás directamente que es un número de teléfono normal, aunque con el texto te intenten despistar. Sin embargo, conviene mencionar que es posible que en algún momento esta estafa pueda evolucionar para falsificar también el remitente.

Cómo funciona este engaño

El mecanismo de esta estafa es bastante básico y sencillo. Simplemente, recibirás un SMS en el que se te dice que te escriben de la Agencia Tributaria. En este mensaje, te intentan hacer creer que tienes pendiente cobrar dinero, lo que ellos dicen que es un “reembolso de impuestos”, algo que realmente no existe.

Por lo tanto, el gancho es intentar hacerte creer que vas a ganar dinero, algo que nunca viene mal aunque no entiendas bien la razón. Para ello, te ofrecen un enlace con un formulario para recibir el dinero. Este enlace te llevará a una página falsa diseñada por los atacantes para que introduzcas los datos de tu tarjeta. No los datos necesarios para que recibas dinero, sino sus datos completos como si fueras a realizar un pago… que al final es lo que ellos quieren, usar estos datos para gastar tu dinero.

Afortunadamente para todos, en la versión de la estafa que nos ha llegado a nosotros, el mensaje contiene un lenguaje que Hacienda nunca utilizaría, y el formulario al que se te lleva debería hacerte sospechar si sueles hacer y recibir pagos online. Además, si te fijas bien verás que se te ha llevado a una página rusa.

Desafortunadamente no todos tienen estos conocimientos, por lo que algunas personas podrían no identificar bien la estafa, y siempre hay posibilidades de que alguien acabe introduciendo sus datos en el formulario y viendo que alguien ha hecho un gran pago con su tarjeta y sin su permiso.

Cómo evitar esta estafa

Para evitar esta estafa, hay varios puntos que debes tener en mente. En primer lugar, la Agencia Tributaria nunca te enviará un SMS si no has activado la opción de recibirlos en su web oficial. Por lo tanto, si no has entrado en la web de la Agencia Tributaria y no has solicitado que las notificaciones te lleguen por mensaje de texto, debes sospechar de cualquier mensaje que te llegue diciendo que son ellos.

En este aspecto, lo aconsejable es desconfiar siempre de cualquier SMS que te pida entrar a un enlace para hacer cualquier tipo de gestión. Da igual si es porque tu casa se está incendiando o por si te han robado dinero, no piques, no entres en ese enlace. Si el enlace tiene una URL acortada, entonces la sospecha siempre tiene que ser doble o triple.

En segundo lugar, Hacienda no te mandaría un mensaje así si no has hecho la Declaración de la Renta, en cuyo caso ya sabrás si te sale a pagar o a devolver. En mi caso me ha salido a pagar, por lo que no es muy efectivo que me hagan creer que tengo que recibir dinero. Y si no has hecho todavía la declaración, pues es evidente que no te puede llegar un SMS así.

E incluso si la has hecho, Hacienda no te enviará un SMS para enviarte el pago, ya que ellos ya tienen tus datos bancarios que les has dado cuando haces la declaración. Pero es que Hacienda tampoco hará otras cosas que aparecen en el mensaje.

Si te fijas bien, este mensaje tiene palabras y términos que la Agencia Tributaria nunca va a utilizar. En España, ninguna entidad te va a “calificar” para un reembolso, simplemente esa palabra no se utiliza, por lo que posiblemente es una mala traducción de algún traductor online.

En el SMS también se dice que te van a hacer “un reembolso de impuestos”. Esto no es un supermercado ni se te va a devolver un pago de Amazon, por lo que Hacienda nunca usará palabras como reembolso. La Agencia Tributaria te puede solicitar una devolución o un ingreso, pero no un reembolso.

Y si cometes el error de entrar en la web del SMS, en ella también hay varias cosas que deben llamar tu atención inmediatamente, tanto en esta estafa concreta como en cualquier otra que te lleve a una web similar.

En primer lugar, siempre debes fijarte en la URL de la web a la que se te envía. En este caso, verás que no es la web oficial de la Agencia Tributaria, y que de hecho ni siquiera utiliza un dominio español .es, sino un dominio ruso .ru. Ya puedes adivinar con esto que posiblemente sea una web rusa.

Y luego están los datos que se te piden. Los datos de la fecha de caducidad y código de seguridad de tu tarjeta solo se piden a la hora de hacer pagos con ella, ya que no son necesarios para recibir dinero. Por lo tanto, si en cualquier formulario online se te piden, debes saber inmediatamente que la intención es utilizar tu tarjeta para hacer pagos con ella. Dicho de otra manera, quieren que tú les pagues a ellos. Quieren robarte.