Falsos SMS y correos suplantando a Hacienda antes de la Renta: qué buscan y cómo protegerte

La Campaña de la Renta 2025-2026 está a la vuelta de la esquina y los ciberdelincuentes ya han empezado a hacer su agosto. Con el inicio de las presentaciones telemáticas, fijado para el próximo 8 de abril de 2026, se ha detectado una oleada masiva de correos electrónicos y mensajes de texto que suplantan a la Agencia Tributaria (AEAT) con un único objetivo: robar tus credenciales y vaciar tu cuenta bancaria.

Aprovechando la urgencia de los plazos fiscales y la esperanza de muchos ciudadanos de recibir una devolución rápida, los estafadores están desplegando campañas de phishing (fraude por correo electrónico) y smishing (la misma técnica, pero a través de SMS) cada vez más sofisticadas.

Así funciona el falso SMS de Hacienda que cada vez engaña a más usuarios

El mecanismo de la estafa es directo y tira de ingeniería social para crear alarma. La víctima recibe un mensaje con apariencia legítima que le avisa sobre una supuesta devolución pendiente, un error en su borrador o una sanción inminente.

El texto incluye un enlace que redirige a una página web falsa que clona a la perfección el portal de Renta Web de la Agencia Tributaria.

Una vez allí, se solicita a la víctima que introduzca su DNI, contraseña o los datos de su tarjeta bancaria. Según estimaciones de empresas de ciberseguridad, más del 60% de los usuarios no es capaz de distinguir correctamente un correo o web fraudulenta cuando está bien elaborada.

Por eso, la propia AEAT tiene habilitado un formulario en su web, para que cualquier persona pueda informar ante cualquier sospecha de intento de fraude.

El problema se agrava en los teléfonos móviles, donde la pantalla pequeña dificulta verificar si la dirección web (URL) es la oficial. De hecho, el INCIBE ya ha alertado de que España cerró 2025 con un nuevo máximo histórico de incidentes de ciberseguridad.

Qué hacen con tus datos y el aviso oficial de la AEAT

La información robada no solo sirve para realizar cargos no autorizados en la tarjeta de la víctima. Los atacantes suelen vender estos perfiles completos (con DNI y datos fiscales) en la Dark Web, o los utilizan para suplantar la identidad del contribuyente.

En algunos casos, llegan a modificar las declaraciones de la Renta para desviar devoluciones legítimas a cuentas controladas por las mafias.

Ante esta situación, la Agencia Tributaria ha sido tajante en su Sede Electrónica oficial. El organismo insiste en que “nunca solicita por correo electrónico o SMS información confidencial, económica o personal, números de cuenta ni números de tarjeta de los contribuyentes”.

El organismo tampoco adjunta anexos con facturas ni exige pagos inmediatos a través de estos canales.

Mi Carpeta Ciudadana, el otro gran gancho de los estafadores

El fraude institucional no se limita a Hacienda. En las últimas semanas, tanto el INCIBE como la OCU han alertado de una campaña paralela que suplanta a la aplicación gubernamental Mi Carpeta Ciudadana.

El gancho es muy similar: se promete a la víctima un falso ingreso estatal con una cifra muy concreta, 552,97 euros, para darle mayor credibilidad.

El objetivo en este caso es dirigir al usuario a una web fraudulenta que imita el portal oficial. Una vez allí, se le piden datos personales (nombre, DNI, fecha de nacimiento, teléfono) y, a continuación, su número de cuenta bancaria y contraseña de acceso, con la excusa de tramitar el supuesto ingreso. Una señal clave para detectar el engaño: la web falsa no solicita identificación mediante Cl@ve ni certificado digital, algo que los servicios oficiales de la Administración sí exigen.

Cómo detectar el fraude a tiempo

Evitar convertirse en una víctima más de esta campaña de la Renta requiere sentido común y aplicar unas reglas básicas de higiene digital. Si recibes una comunicación de la Agencia Tributaria, sigue estos pasos:

• Ignora las prisas: Ninguna administración te pedirá resolver un problema fiscal en minutos a través de un SMS.
• No hagas clic en los enlaces: Accede siempre desde la web oficial de la Agencia Tributaria.
• Revisa la dirección web: Debe ser exactamente sede.agenciatributaria.gob.es.
• No descargues adjuntos: Hacienda no envía archivos sorpresa por correo no solicitado.