Esta semana ha comenzado la campaña de las declaraciones de Renta Y Patrimonio de 2020, un proceso que durará hasta el 30 de junio y en el que es preciso tener en cuenta la seguridad para protegerse de los ciberataques que buscan estafar a los contribuyentes.
Apenas a un día de comenzar la campaña, no han tardado en aparecer las primeras amenazas relacionadas con la Renta 2020, y el Instituto Nacional de Ciberseguridad (INCIBE) ha alertado sobre un ‘malware’ que, haciéndose pasar por la Agencia Tributaria, actúa a través de un correo con el asunto ‘Acción fiscal’ para robar datos personales a los usuarios.
Durante los años anteriores, la campaña de la Renta se ha visto amenzada por ciberataques como los de ‘phishing’, que suplantan la identidad por medios digitales precisamente con el objetivo de robar información, como sucede con el ‘malware’ alertado por INCIBE.
La Agencia Tributaria dispone en su portal web de ejemplos de campañas fraudulentas de correo en las que se ha suplantado su identidad para estafar a los ciudadanos. Uno de estos es precisamente en relación a la declaración de la Renta del pasado año.
Este mensaje decía lo siguiente: «Se han detectado irregularidades en su declaracion jurata de Renta correspondiente al 2019. Adjunto a este mensaje va su factura con la deferencia que debe. En caso de no realizar el pago en fecha puede incurrir en cargos y multas extras».
Este tipo de mensajes, similares a una comunicación oficial, provocan el temor del usuario, quien accede a llevar a cabo el trámite que se le solicita. Sin embargo, hay una serie de indicios que muestran que, efectivamente, se trata de un engaño, como ha recogido Entelgy Innotec Security, división de ciberseguridad de Entelgy.
Los cuatro indicios más comunes comienzan por darse cuenta de si el dominio del remitente no es el oficial. En el ejemplo mencionado, el correo lo envía aviso@agencia.es, donde el dominio sería ‘agencia.es’. No obstante, tal y como recoge la AEAT en su portal, su dominio real es ‘correo.aeat.es’.
El segundo indicio de que se trata de un fraude es que el canal no es el empleado habitualmente. La AEAT nunca solicita a los contribuyentes este tipo de información a través de este medio.
Asimismo, otro indicador que puede hacer sospechar son los errores ortográficos. Normalmente los correos de ‘phishing’ incluyen varias incorrecciones en la escritura. Y como se puede apreciar en el mensaje, la palabra ‘declaración’ no lleva tilde y ‘jurada’ está escrita como ‘jurata’.
El cuarto indicio de que estamos ante un ataque de ‘phishing’ es la presencia de archivos adjuntos para descargar en los correos, o bien se incluyen enlaces a los que se solicita que se acceda.
Es importante saber que por medio de ambas opciones se puede infectar el dispositivo desde el cual se está leyendo el correo. Por ello, si el usuario ve alguno de estos casos (en el ejemplo lo que se requiere es descargar una factura), hay que desconfiar.
Ejemplos como este mensaje son los que se espera que se repitan a lo largo de toda la campaña de este año. No obstante, en caso de duda siempre está la opción de contactar directamente con la Agencia a través de uno de sus teléfonos oficiales (901 200 347, 91 757 57 77 o 93 442 27 64) y preguntar por la veracidad del correo recibido.
