Las 4 señales infalibles de un email falso de Hacienda
Los ciberdelincuentes han sofisticado sus técnicas, pero hay señales que conviene revisar siempre. Primero, la Agencia Tributaria nunca solicita por correo electrónico o SMS información confidencial, económica o personal, números de cuenta ni números de tarjeta. Segundo, el dominio oficial es agenciatributaria.gob.es, pero el nombre del remitente se puede falsificar: que el email parezca venir de Hacienda no prueba nada.
La tercera señal es el lenguaje alarmista, con frases como «su cuenta será bloqueada en 24 horas» o «debe regularizar su situación inmediatamente». La cuarta: te ofrecen cobrar una devolución desde un enlace. La Agencia Tributaria no envía enlaces directos para cobrar devoluciones; si tienes una notificación real, podrás verla entrando tú en su sede electrónica.
Si recibes un email sospechoso y necesitas verificar si realmente tienes algún pendiente con Hacienda, accede siempre directamente a la sede electrónica oficial escribiendo la URL en tu navegador. Nunca hagas clic en los enlaces del email, aunque parezcan legítimos.
Cómo actúan los estafadores en temporada de vacaciones
La campaña de la Renta y la planificación de las vacaciones son momentos que los ciberdelincuentes aprovechan, porque mucha gente está pendiente de devoluciones y gastos extra. En ese contexto, muchas personas buscan préstamos para emergencias o atraviesan momentos de menor liquidez, lo que las hace más vulnerables a este tipo de engaños.
Una táctica habitual es prometerte una devolución de Hacienda y pedirte que «verifiques tus datos bancarios» para recibirla. Es justo lo que la Agencia Tributaria nunca te pedirá por email o SMS.
Una vez que introduces tus datos en la web falsa, los estafadores no solo pueden vaciar tu cuenta corriente, sino también intentar pedir microcréditos online a tu nombre. Por eso el daño real suele ir mucho más allá del saldo disponible: también incluye lo que pueden pedir prestado con tu identidad.
¿Qué opinas tú sobre esta noticia? Comenta más abajo →
Qué hacer si ya has caído en la estafa
Si has introducido tus datos en una web falsa de Hacienda, tienes una ventana de actuación muy estrecha antes de que los daños se agraven. Primero, llama inmediatamente al teléfono de tu banco para bloquear todas las tarjetas y cuentas asociadas. No esperes a 'ver qué pasa', cada minuto cuenta.
Segundo, presenta una denuncia ante la Policía Nacional, la Guardia Civil o la policía autonómica, con capturas, el email y los justificantes de los cargos; te servirá para reclamar a tu banco. Tercero, ejerce tu derecho de acceso a los ficheros de morosidad como ASNEF y pide tu informe de la CIRBE del Banco de España, que es gratuito, para comprobar si han pedido créditos con tus datos.
Por último, revisa tu situación real con Hacienda entrando tú en la sede electrónica de la Agencia Tributaria, y reclama al banco las operaciones que no autorizaste. Por las operaciones que tú no autorizaste, el Real Decreto-ley 19/2018 de servicios de pago obliga al banco a devolverte el importe como tarde al final del día hábil siguiente a tu aviso, salvo que tenga motivos razonables para sospechar fraude por tu parte, y es el banco quien debe probar que actuaste con negligencia grave. Avisa sin demora y nunca más tarde de 13 meses desde el cargo. Un matiz importante: si fuiste tú quien hizo la transferencia o el Bizum, aunque fuera engañado, el banco puede tratarlo como una operación autorizada y la devolución deja de ser automática. Si dudas sobre qué hacer, llama al 017, la Línea de Ayuda en Ciberseguridad de INCIBE.
Cómo protegerte antes de que sea tarde
La mejor defensa es configurar alertas automáticas en tu banco para cualquier movimiento por encima de un importe que tú mismo puedas fijar. Muchas víctimas de phishing bancario no tenían activadas estas notificaciones y se enteraron del robo días después. La mayoría de los bancos ofrecen estas alertas en su app; actívalas cuanto antes.
Además, activa la autenticación en dos pasos (2FA) para tu banca online y usa contraseñas largas y distintas para cada servicio. Usa el sistema Cl@ve PIN para acceder a servicios oficiales como Hacienda, y nunca accedas desde enlaces en emails, aunque parezcan oficiales.
Si estás planificando solicitar financiación para las vacaciones, hazlo únicamente a través de plataformas verificadas y compara siempre las condiciones. Los estafadores también crean webs falsas de préstamos que parecen legítimas, pero terminan robando tu identidad financiera en lugar de prestarte dinero.
Actualización octubre 2026: en mayo de 2026, INCIBE avisó de una campaña de SMS que suplantaban a la Agencia Tributaria con un enlace para ver una supuesta comunicación oficial. Su recomendación: no pulses el enlace, bloquea al remitente y, si diste datos, contacta con tu banco, guarda pruebas y denuncia.
Corrección (2 de octubre de 2026): se ha corregido que toda comunicación de Hacienda llegue también por correo postal certificado y la referencia confusa al dominio del remitente, se han retirado importes de devoluciones falsas, testimonios de víctimas y un teléfono que no hemos podido verificar, y se ha precisado cuándo te devuelve el banco el dinero.