Nos habéis preguntado por un SMS supuestamente enviado por la Agencia Tributaria en el que nos informan de un supuesto reembolso de impuestos de 471 euros. En el mensaje se incluye un enlace a través del cual el usuario puede acceder a la web de la entidad. Pero esto es smishing (phishing a través de SMS).
En el SMS se nos pide que pinchemos en el enlace para poder acceder a esta supuesta devolución monetaria. Sin embargo, esta no es la web de la Agencia Tributaria, y redirige a una página que ya no existe.
La página web ya no existe y está en la lista negra de una web de análisis de Seguridad
En Maldita.es ya os hablamos de esta clase de SMS que suplantan a la Agencia Tributaria y que cada vez son más comunes. Para detectar estos timos es fundamental fijarse en la URL y comprobar si se corresponde con la página oficial de la entidad (https://sede.agenciatributaria.gob.es).
La dirección que aparece en el enlace no coincide con la página web de la Agencia Tributaria, como podemos comprobar. Además, hemos introducido la URL del enlace en la plataforma de análisis de seguridad Securi. donde hemos podido comprobar que la web está en la lista negra de phishings del portal.
La Policía también ha avisado a través de Twitter de la circulación de este tipo de mensajes que suplantan a la Agencia Tributaria, y han pedido que, en caso de recibirlos, no se abran y se borren inmediatamente.
La OSI, por su parte, ha actualizado su artículo sobre la declaración de la renta para incluir casos sobre estos supuestos reembolsos y añade una serie de recomendaciones al respecto para las víctimas tanto por email como por SMS.
La Agencia Tributaria nunca te pedirá tus datos personales o bancarios por mensaje
La propia entidad advierte en su página web de que nunca pedirá datos bancarios o personales a través de SMS o correo electrónico. Además, recomienda precaución cuando se recibe un mensaje de estas características, puesto que el objetivo de estos envíos es introducir virus o hacerse con las credenciales de los usuarios.
De la misma forma, se pide no descargar ningún tipo de archivo adjunto, no contestar a estos mensajes y no abrir SMS o correos de contactos que no conozcamos o tengamos registrados de manera previa. En su página web aparecen diferentes ejemplos de intentos de phishing que los clientes han compartido con la entidad.
Consejos para evitar caer en la trampa del phishing:
- Fíjate en la URL. Comprueba en la barra de direcciones que la página web a la que te dirige el enlace del supuesto mensaje de tu banco tenga una URL oficial. Ten en cuenta que los delincuentes pueden copiar la imagen corporativa de la entidad bancaria, pero no pueden copiar su dominio.
- Atento a la dirección del correo electrónico. Algo parecido a lo anterior ocurre en este caso, los estafadores te envían comunicaciones desde emails que se parecen a los oficiales, pero no lo son. Presta atención a lo que viene después de la “@”, si notas algo raro, borra el correo.
- Revisa la redacción del texto. En una notificación oficial de tu banco, es muy improbable que el texto tenga faltas de ortografía. Los emails de phishing suelen estar mal redactados o tienen erratas graves.
- Si no está dirigido a tu nombre, sospecha. Normalmente, cuando tu banco te envía un correo electrónico se dirige a ti por tu nombre. En los correos de phishing se suelen utilizar fórmulas anónimas como “Estimado cliente” o “Notificación al usuario”.
- Antes de pinchar, pregunta a tu banco. Que una entidad bancaria pida información confidencial a través de un SMS no es lo común. Si sospechas del mensaje, llama a tu banco.
- Contrasta la información con fuentes oficiales. Los mensajes de phishing te solicitan que introduzcas tus datos con urgencia para que no te dé tiempo a reaccionar. Pero, si dudas, recuerda que puedes preguntar a la Policía o a la Guardia Civil para comprobar si se trata de phishing.
En Maldita.es ya hemos desmentido otros casos de phishing en los que te prometen regalos increíbles a cambio de introducir tus datos; o bien, te ofrecen falsas ofertas y promociones para robarte de las credenciales.
Primera fecha de publicación de este artículo: 20/06/2022