La Guardia Civil avisa: si recibes este correo de Hacienda… ¡No piques!

La Guardia Civil ha lanzado un aviso por una campaña de correos electrónicos fraudulentos que suplantan a la Agencia Estatal de Administración Tributaria (AEAT). El objetivo de este engaño, conocido como phishing, es que la víctima entregue sus credenciales de acceso a la Dirección Electrónica Habilitada Única (DEHÚ) al pinchar en un enlace y “entrar” en una supuesta notificación.

El INCIBE (Instituto Nacional de Ciberseguridad) recoge este fraude y explica cómo identificarlo y qué hacer si se ha interactuado con el mensaje.

El gancho: “Tiene una nueva notificación electrónica REF-…”

El patrón se repite: llega un email con apariencia administrativa, lenguaje formal y referencias a una “notificación puesta a disposición” o a una reclamación/expediente, con un identificador del tipo REF-XXXXXXXX. La sensación de urgencia (plazos, trámites, “descargar notificación”) busca que el usuario actúe rápido.

El correo incluye un enlace para acceder a la supuesta notificación. Y ahí está la trampa.

Qué ocurre si haces clic

Al pinchar, el enlace puede llevar a una web que imita servicios oficiales (AEAT/DEHÚ) y te pide usuario y contraseña. Si los introduces, se los entregas directamente a los ciberdelincuentes, que después pueden intentar acceder a tus notificaciones o reutilizar esas claves en otros servicios si las tienes repetidas.

Señales claras de que es una estafa

Estas pistas suelen delatar el fraude:

• Remitente raro o dirección que no cuadra con un organismo oficial.
• Enlaces que no son los oficiales (aunque el texto parezca legítimo).
• Mensajes que te empujan a iniciar sesión desde el propio email.
• Errores sutiles: dominios parecidos, páginas “clon” y formularios de acceso sospechosos.

Qué hacer si lo has recibido (y no has pinchado)

• No hagas clic en ningún enlace ni descargues archivos.
• Borra el correo y márcalo como phishing/spam en tu gestor de correo.
• Si quieres comprobar si tienes algo pendiente, entra por tu cuenta en los canales oficiales (sin usar el enlace del email).

Si has pinchado y has puesto tus datos: pasos rápidos

• Cambia la contraseña de inmediato (y de cualquier servicio donde la repitas).
• Activa verificación en dos pasos si está disponible.
• Guarda capturas y el email como prueba.
• Pide ayuda y reporta el caso en los canales recomendados (INCIBE) y, si procede, denuncia.

La regla de oro para evitar sustos

Si un correo te pide credenciales para “ver una notificación”, no entres desde el enlace. Ve siempre a la web o app oficial escribiéndola tú o usando accesos guardados de confianza.