Si te llega este mensaje de Hacienda, no pinches: la Agencia Tributaria alerta de una nueva estafa por SMS

La campaña de la Renta es, cada año, uno de los momentos de mayor actividad para millones de contribuyentes en España. La propia Agencia Tributaria mantiene ya abierta la Campaña de Renta 2025, cuyo arranque se produjo el 8 de abril de 2026, con acceso a trámites como Renta Web, datos fiscales, número de referencia y asistencia digital. Esa concentración de gestiones, consultas y notificaciones convierte estas semanas en un terreno especialmente sensible para el fraude, porque muchos ciudadanos esperan comunicaciones oficiales, devoluciones o avisos relacionados con su declaración. Y ahí es donde los ciberdelincuentes encuentran una oportunidad: aprovechar el contexto real para colar mensajes falsos con apariencia institucional.

Por eso, expertos en ciberseguridad y organismos públicos advierten: durante la campaña de la Renta hay que extremar la precaución.

Nueva estafa

La Agencia Tributaria ha publicado un aviso de seguridad sobre un nuevo intento de phishing mediante suplantación de identidad de la AEAT. El organismo explica que se ha detectado una campaña en la que el usuario recibe un SMS o una notificación fraudulenta que aparenta proceder de Hacienda y le empuja a acceder a un enlace para completar una gestión. En el caso descrito por la AEAT el gancho era una supuesta notificación de reembolso de impuestos con un plazo de cinco días para cumplimentar un formulario; además, el organismo subraya que el objetivo del ataque es el robo de credenciales y datos personales.

El modus operandi es sencillo. Tras pulsar en el enlace del SMS, la víctima aterriza en una página que aparenta ser un entorno de la sede electrónica de la Agencia Tributaria, con diseño institucional, formularios y apariencia de trámite real. Ahí, una pantalla de supuesto registro electrónico solicita nombre y apellidos junto al teléfono móvil, y que usa una dirección sospechosa como “sede.agenciatributaria.es.sede-online.es”.

Cuando el usuario introduce sus datos en la web fraudulenta, los estafadores ya disponen de material suficiente para cometer otros fraudes, desde accesos indebidos a cuentas hasta intentos de suplantación o movimientos bancarios no autorizados. Si el mensaje ya ha sido recibido pero no se ha pulsado el enlace, la recomendación es bloquear al remitente, borrar el SMS y reportar el incidente. Si sí se han facilitado datos, conviene actuar cuanto antes: contactar con la entidad bancaria, cambiar contraseñas, guardar evidencias y presentar denuncia. En plena campaña de la Renta, la mejor defensa sigue siendo la más simple: desconfiar de cualquier SMS que pida actuar deprisa y verificar siempre desde la sede oficial de la Agencia Tributaria

Nunca des datos por SMS

La propia Agencia Tributaria recalca que “nunca solicita por SMS o correo electrónico información confidencial, económica o personal, ni números de cuenta ni números de tarjeta ni adjunta anexos con información de facturas u otros tipos de datos”. A esa advertencia añade una instrucción que conviene convertir en rutina: “Ante cualquier duda, accede directamente a la Sede electrónica y comprueba si tienes comunicaciones o notificaciones pendientes; no utilices enlaces contenidos en SMS o correos”.