Por qué este fraude llega justo ahora (y por qué funciona tan bien)
El 5 de noviembre de 2026 venció el plazo del segundo pago fraccionado del IRPF. Millones de contribuyentes acaban de ver cómo su cuenta se aligeraba, y muchos tienen aún el miedo activado: ¿habrá salido bien el cargo? ¿Me habrán aplicado algún recargo? Los estafadores explotan exactamente esa ventana de incertidumbre para colarte un mensaje que parece urgente y real.
La mecánica es clásica: el SMS incluye tu nombre de pila, una cantidad concreta que suena oficial (914,19 euros, según recoge ABC), un lenguaje de alarma máxima ('incidencia grave', 'posible sanción', 'inmediatamente') y un enlace al que se supone que debes acceder para resolver el problema. El objetivo es que el miedo anule el pensamiento crítico y hagas clic antes de pararte a dudar. Si quieres entender cómo funcionan este tipo de tácticas en el mundo financiero, consulta nuestras alertas de estafas financieras, donde documentamos los fraudes activos en España.
No es el único esquema de este tipo circulando este mes. Hace pocas semanas alertábamos sobre la nueva estafa bancaria del código *21, otra táctica de ingeniería social que también apunta directamente a tu cuenta. El patrón se repite: urgencia artificial, dato concreto para dar credibilidad y una acción que debes completar ahora mismo.
Las cinco señales que delatan el fraude antes de que cometas un error
Hacienda lleva tiempo advirtiendo de que ha eliminado los enlaces de sus comunicaciones por SMS. Esa es la señal más clara y definitiva: si el mensaje incluye un link, es una estafa, sin excepción. La Agencia Tributaria solo te pedirá que entres tú directamente a su Sede Electrónica, siempre tecleando la dirección oficial en el navegador. Nunca te llevará de la mano a través de un enlace en un mensaje de texto.
Más allá de los enlaces, existen otras cuatro señales que, según ABC, permiten identificar el fraude a simple vista. Primera: el tono de urgencia extrema con palabras como 'grave' o 'inmediatamente', diseñadas para que no pienses. Segunda: las cantidades económicas excesivamente concretas, como esos 914,19 euros, que buscan aparentar un cálculo oficial cuando en realidad son un número elegido para resultar creíble. Tercera: la solicitud de documentación privada o bancaria a través del SMS, algo que Hacienda jamás hace, ya que todos los trámites reales pasan por Cl@ve, certificado digital o DNI electrónico. Cuarta: que el mensaje use solo tu nombre de pila sin apellidos, señal inequívoca de que quien envía el mensaje no tiene acceso a tus datos reales.
Guarda esta lista en algún lugar accesible o compártela con familiares mayores, que suelen ser el perfil más vulnerable a este tipo de ataques. La protección más eficaz contra el phishing y el smishing no es tecnológica: es saber qué buscar.
¿Qué opinas tú sobre esta noticia? Comenta más abajo →
Qué hacer si ya has recibido el SMS (o, peor, si has pinchado el enlace)
Si el SMS está en tu teléfono y no has interactuado con él, el protocolo es sencillo: no pulses el enlace bajo ninguna circunstancia, bloquea el número remitente, borra el mensaje y, si quieres contribuir a frenar la campaña, repórtalo a las Fuerzas y Cuerpos de Seguridad del Estado a través del canal habilitado por la Policía Nacional o la Guardia Civil. También puedes notificarlo al INCIBE (Instituto Nacional de Ciberseguridad) en su línea de ayuda gratuita.
Si ya has pulsado el enlace pero no has introducido ningún dato, sal del navegador de inmediato, borra el historial y analiza el dispositivo con un antivirus actualizado. Cambia las contraseñas de tus cuentas bancarias desde otro dispositivo, preferiblemente desde un ordenador de sobremesa en una red segura, y activa la verificación en dos pasos si tu banco lo permite.
El escenario más delicado es haber introducido datos bancarios o de tarjeta. En ese caso, actúa en los próximos minutos: llama a tu banco para bloquear la tarjeta o cuenta afectada, pide que anulen cualquier transacción no autorizada e interpón una denuncia ante la Policía Nacional, ya que el documento de denuncia es necesario para los procesos de reclamación bancaria. Si la estafa te genera un problema de liquidez urgente mientras resuelves el bloqueo, puedes comparar opciones de financiación para cubrir gastos básicos en ese período intermedio.
Cómo relacionarte con Hacienda de forma segura a partir de ahora
La mejor vacuna contra este tipo de fraudes es saber exactamente cómo funciona la comunicación real de la Agencia Tributaria. Hacienda notifica las incidencias graves por carta certificada en papel o mediante notificación en el sistema de Dirección Electrónica Habilitada (DEH), al que accedes con tu certificado digital o Cl@ve. Nunca por SMS con enlace. Si quieres saber si Hacienda tiene alguna comunicación pendiente para ti, entra directamente en la Sede Electrónica de la AEAT escribiendo la URL en tu navegador; no sigas ningún enlace recibido por correo o mensaje.
Aprovecha también para revisar si Hacienda podría deberte dinero, algo que muchos contribuyentes desconocen. En nuestra pieza sobre cómo comprobar si Hacienda te debe dinero explicamos el proceso paso a paso antes de que el derecho prescriba. Conviene también tener a mano las fechas del calendario fiscal para no depender de recordatorios externos, ya sean legítimos o fraudulentos.
Por último, si esta campaña de smishing te ha recordado que tu situación financiera es más frágil de lo que te gustaría, con un colchón de ahorro escaso que convierte cualquier imprevisto en una emergencia, es buen momento para revisar tu fondo de emergencia y calcular cuánto necesitas realmente para estar protegido ante sustos de este tipo, sean reales o fingidos.