Los ciberdelicuentes son previsibles y la campaña de la renta siempre trae consigo un aumento de los intentos de fraude. La propia Agencia Tributaria advierte de que los ciberdelincuentes aprovechan estas fechas para intentar engañar suplantando su identidad.
Siempre es importante que no bajemos la guardia, pero en determinados momentos, aún lo es más, porque el riesgo de ser víctima de los ciberlincuentes aumenta. Ya sea por correo electrónico (phishing), mensaje sms (smishing) o incluso mediante una llamada telefónica (vishing).
En este nuevo capítulo de Reverso Digital, nuestro ciber guardián nos ofrece unos consejos para no picar.
Os recordamos las advertencias de la Agencia Tributaria, que conviene tener muy presente:
La Agencia Tributaria:
- Nunca solicita por correo electrónico ni SMS información confidencial, económica o personal, ni números de cuenta ni números de tarjeta, ni adjunta anexos con información de facturas u otros tipos de dato.
- Nunca realiza devoluciones a tarjetas de crédito o débito, ni usando BIZUM.
- Nunca cobra importe alguno por los servicios que presta.
Por tanto, si recibes un correo electrónico supuestamente enviado por la Agencia Tributaria, no descargues documentos o ficheros adjuntos al correo y no pinches en los enlaces que te manden. Repórtalo y bórralo.
Si recibes un SMS supuestamente enviado por la Agencia Tributaria con enlaces para recibir devoluciones de impuestos o donde te solicitan información, bórralo.
La propia Agencia Tributaria tiene habilitados canales para denunciar los fraude.
Además, conocer casos reales de intentos de fraude ayuda a estar mejor preparado. Aquí te ofrecemos algunos ejemplos recientes de fraudes que se han reportado durante campañas anteriores.
Correo falso de la Agencia Tributaria
Es el típico caso de phishing. Cómo funciona:
El contribuyente recibe un correo electrónico que simula ser de la Agencia Tributaria. En el mensaje, se informa que tiene derecho a un reembolso fiscal y se le pide que rellene un formulario con datos bancarios.
Si completas el formulario, los ciberestafadores obtendrán acceso a la cuenta bancaria de la víctima y podrían hacer cargos fraudulentos.
Claves para detectar el fraude:
- El mensaje suele venir de direcciones falsas, pero parecidas a la oficial. Por ejemplo, [email protected], o algo así.
- La URL a la que dirige el enlace no pertenece al dominio oficial.
- Se presiona al usuario con frases como «debe completarlo en menos de 24 horas»
La urgencia, un factor de alerta
La urgencia, como te comentábamos, es siempre un factor que nos debe poner en alerta. En este ejemplo de mensaje falso se ve claramente.
Fíjate en las señales de alerta:
⦁ 1. El mensaje es impersonal, se dirige con un «Le informamos», sin aportar ningún tipo de dato que lo identifique.
⦁ 2. Los ciberdelincuentes intentan manipular a la víctima jugando con el carácter de urgencia del mensaje, de forma que actúe sin pensar.
⦁ 3. El identificador es un número aleatorio que no se corresponde con ningún dato legítimo.
⦁ 4. Otro detalle a destacar es que, para dar una mayor credibilidad al mensaje, se nombra una ley y se afirma el mensaje como si de la agencia Estatal de Administración Tributaria (AEAT) se tratase.
En caso de hacer clic en el enlace proporcionado, se redirige al usuario a una página web fraudulenta muy similar a la legítima, en la que solicita las credenciales de acceso.
Si introduces los datos y haces clic en “Entrar”, estos quedarán en manos de los ciberdelincuentes.
Es importante señalar que, para acceder al área personal de la Agencia Tributaria, se solicita el certificado digital, DNI electrónico o Cl@ve, nunca el correo electrónico, por lo que el hecho de que en el formulario se pida la dirección de correo electrónico, debería ser señal de sospecha.
Caso Smishing: SMS con enlace fraudulento
Cómo funcionan estos fraudes. Te explicamos: se recibe un mensaje de texto que aparenta ser de la Agencia Tributaria.
El SMS incluye un enlace acortado para «verificar información de la declaración», «subsanar errores» o
⦁ 1. Estos SMS incluyen un enlace fraudulento que, cuando el usuario pincha en él, lo redirige a una página suplantada de la Agencia Tributaria.
⦁ 2. En la página suplantada, se le solicita al usuario introducir todos los datos de su tarjeta bancaria.
⦁ 3. Posteriormente, aparecerá otra página donde se pedirá introducir un código que supuestamente recibirá a través de un SMS (que la víctima nunca recibe), o abrir la aplicación de tu banca online, desde el propio teléfono, donde se supone que se recibirá una notificación del reembolso.
Las claves para detectar estos fraudes son:
- El uso de enlaces acortados u ocultos.
- La presión para actuar rápido.
- Errores gramaticales o formatos inusuales.
Caso Vishing: Llamadas suplantando a empleados de Hacienda
“Te llamo de la Agencia Tributaria. Hemos identificado un error en tus datos bancarios al intentar realizar la devolución de los impuestos. ¿Puedes por favor confirmarme tus datos de tarjeta para que podamos realizar la operación?”
¿Qué debes hacer si has recibido este tipo de vishing? Es recomendable eliminarlo inmediatamente, sin acceder al enlace ni proporcionar ningún dato, pero antes de ello, debes:
⦁ Reportarlo utilizando el botón de reportar (desde tu correo corporativo) o reportarlo a la Agencia Tributaria en su página web (si lo recibes a tu correo personal).
⦁ Ponerlo en conocimiento del resto de compañeros y del equipo de Ciberseguridad para evitar posibles víctimas.
⦁ Si has accedido al enlace y has introducido credenciales, es recomendable:
- Cambiar inmediatamente la contraseña que se ha proporcionado, tanto en este como en todas las cuentas donde se utilice.
- Activar un doble factor de autenticación, siempre que sea posible.
- Contacta con tu gestor/a para informarle de lo sucedido y realizar las cancelaciones que te indiquen (transacciones, códigos PIN, etc.).
- Presta atención ya que ahora, los ciberdelincuentes tienen los datos que les has proporcionado (correo electrónico, nombre, apellidos, número de DNI, etc.) y puedes ser objeto de un phishing dirigido o que usen tu identidad para suplantarte.
- Reportar el incidente a la Agencia Tributaria a través de su página dedicada a avisos sobre phishing y consejos de seguridad.
