La declaración de la renta es uno de los grandes objetivos de los hackers, no hay duda. De hecho, cada año mejoran sus artimañas para conseguir su gran objetivo: robar nuestro dinero. Este 2021, no va a ser menos. Por eso, desde Instituto Nacional de Ciberseguridad (Incibe) ya se alerta de numerosos emails fraudulentos que suplantan a la Agencia Tributaria para difundir programas maliciosos aprovechando el inicio de la campaña.

“El correo electrónico detectado enlaza a un tipo de malware que ha sido identificado como Trojan Cryso. Se trata de un scareware que está diseñado para mostrar alertas o notificaciones engañosas haciendo creer al usuario que su equipo está infectado con un virus y se encuentra bloqueado”, explican desde Incibe. Este tipo de malware está diseñado para robar datos personales del usuario, incluidas las credenciales bancarias.

Para llevar a cabo el engaño, los ciberdelincuentes se valen de la técnica email spoofing, que consiste en tratar de hacer creer a la víctima que el remitente del correo electrónico es la Agencia Tributaria, cuando realmente no lo es.

Como puede observarse, una forma rápida de identificar que se trata de una estafa es analizando el texto: si presenta erratas o deficiencias sintácticas, lo más probable es que no proceda de la Agencia Tributaria. Al final del mismo dice: “Acceder a toda la información en el (archivo) adjuntado a continuación”. De tal modo que, en caso de hacerle caso, se abrirá el navegador para descargar el archivo malicioso, como puede observarse en la siguiente imagen.

El archivo descargado contiene el malware, que podría ser detectado por algunos navegadores como archivo malicioso, notificándolo al usuario.

Para evitar situaciones de este tipo, la propia Agencia ha publicado en su web ciertas indicaciones para saber reconocer si el mensaje procede realmente del organismo o si se trata de un fraude.

Acudir a canales oficiales

Es de vital importancia acceder a los canales de información y contacto oficiales de la Agencia Tributaria (www.agenciatributaria.es o www.agenciatributaria.gob.es) cuando se quiera realizar la declaración de la renta. Se debe prestar atención a la dirección ya que, en ocasiones, las webs maliciosas utilizan una muy similar a la original. Por ejemplo, www1.agenciatributaria.gob.es, www2.agenciatributaria.gob.es y así hasta llegar a www10.agenciatributaria.gob.es son algunas de las detectadas.

Por otro lado, si el contribuyente tiene algún tipo de duda o necesita asesoramiento, la Agencia Tributaria ha habilitado un teléfono de ayuda bajo el plan Le llamamos. En este caso el usuario tendrá que solicitar que cita por internet para que desde la Agencia se pongan en contacto con él a través del teléfono. Estas citas tendrán una duración de 15 minutos por lo que es necesario tener toda la documentación lista cuando se produzca la llamada.

Además, existen otros teléfonos a los que se puede llamar para realizar alguna consulta. Es importante comprobar que el número aparece en el listado disponible en la web oficial, si no fuese así es que no se trata de la AEAT.

Por último, el contribuyente puede acudir a la aplicación oficial de la Agencia Tributaria y consultar así sus datos fiscales y el número de referencia para poder iniciar el proceso de presentación de la declaración. Está disponible para iOS y Android.

En cuanto al correo electrónico, la AEAT avisa de que nunca solicita por este medio información económica o personal, números de cuenta ni números de tarjeta. Además no realizan devoluciones a tarjetas de crédito o débito, ni cobran importe alguno por los servicios que prestan. Por este motivo, de darse alguno de estos casos, podemos estar seguros de que no se trata de la Agencia Tributaria.

Cómo reaccionar

Además de tener en consideración todas estas pautas, con el objetivo de que este tipo de campañas maliciosas cesen lo antes posible, Entelgy Innotec Security, la división de ciberseguridad de Entelgyaconseja:

• En el caso de que el canal utilizado sea alguna red social, se denuncie tanto el mensaje como al responsable del mismo a través de la propia plataforma.
• Notificar al organismo afectado, es decir, escribir o llamar a la Agencia Tributaria y comunicarle que está circulando un mensaje suplantando su identidad.
• Interponer una denuncia ante las Fuerzas y Cuerpos de Seguridad del Estado. Para ello, se recomienda guardar todas las evidencias para poder demostrar los hechos denunciados.
• Avisar a familiares, amigos, compañeros de trabajo, etc. puede ayudar a disminuir el número de afectados, dado que estos pueden hacer lo propio en su círculo.