Falsas notificaciones de la DGT, Hacienda y la Seguridad Social

Cómo reconocer una estafa que suplanta a Hacienda, la DGT o la Seguridad Social

El calendario juega a favor de los estafadores. Hasta el 20 de octubre de 2026, autónomos y pymes presentan el IVA y el pago fraccionado del tercer trimestre (modelos 303 y 130), y cualquier mensaje que hable de Hacienda, de una devolución o de un expediente encaja con lo que ya tienes en la cabeza. Las campañas de este año aprovechan ese momento con un guion casi idéntico: urgencia, un enlace y un formulario que termina pidiendo la tarjeta.

No es un fenómeno marginal. INCIBE gestionó 122 223 incidentes de ciberseguridad en 2025; 45 445 fueron fraudes en línea, y de ellos 25 133 casos de phishing, según su balance anual.

Las campañas que han detectado INCIBE y la Agencia Tributaria

Multas de tráfico que se duplican en 24 horas

El aviso más reciente de INCIBE, del 28 de septiembre de 2026, describe correos y SMS que usan el nombre de la DGT para anunciar una multa pendiente o un expediente en revisión. Uno de los asuntos detectados dice «Ultimo recordatorio antes del recargo de su multa», y el mensaje amenaza con que la sanción pase de 100 € a 200 € y llegue a 400 € en 24 horas.

El enlace lleva a una página que copia la imagen de la DGT, pide nombre, apellidos y matrícula, muestra una supuesta multa por exceso de velocidad «rebajada solo hoy» y acaba en un formulario de pago: número de tarjeta, fecha de caducidad y CVV.

Una «prestación pendiente» de la Seguridad Social

El 19 de agosto, INCIBE avisó de SMS que anuncian una actualización pendiente de la Tesorería General de la Seguridad Social. La web falsa habla de una prestación económica por cobrar, pide primero el DNI y después los datos bancarios y los de la tarjeta. Circulan varias versiones del mensaje, con direcciones que imitan los dominios legítimos.

Devoluciones de Hacienda y formularios para empresas

El 26 de mayo, INCIBE alertó de SMS con el remitente «AEAT» que prometen una devolución. En algunos teléfonos aparecen dentro del mismo hilo que los mensajes auténticos de la Agencia Tributaria, porque los atacantes falsean el nombre del remitente; los enlaces terminaban en dominios como .top o .click.

La propia Agencia Tributaria publica los casos que detecta. En 2026 ha registrado, entre otros:

• SMS que ofrecen devoluciones de 311.29 € o de 411.00 € a cambio de rellenar un formulario;
• un correo dirigido a empresas que pedía sus datos para tramitar una supuesta devolución pendiente;
• un correo que exigía pagar en criptomonedas por una regularización internacional inventada.

Por qué cuesta más detectarlo si tienes un negocio

Un particular puede pensar que Hacienda nunca le escribe. Un autónomo o una pyme no: recibe notificaciones electrónicas de verdad, y con plazo. Las sociedades están obligadas a relacionarse con la Administración por medios electrónicos (artículo 14.2 de la Ley 39/2015), y una notificación electrónica obligatoria que nadie abre se da por rechazada a los diez días naturales (artículo 43.2). Los autónomos del RETA también reciben por vía electrónica las notificaciones de la Seguridad Social.

Además, la ley prevé que la Administración envíe un aviso al correo o al móvil (celular) cuando deja una notificación a tu disposición (artículo 41.6). Recibir un correo que menciona una notificación no es sospechoso en sí mismo. Lo sospechoso es lo que te pide.

Los estafadores conocen esta rutina. El 11 de marzo de 2026, la Agencia Tributaria describió un correo que imitaba un aviso de la DEHú, la Dirección Electrónica Habilitada única donde se recogen las notificaciones de la Administración. El asunto era «Notificación de factura electrónica» y el remitente, noreply-dehu@correo-gob.es. El enlace llevaba a una web que pedía el correo y la contraseña. La pista estaba en un detalle: algunas direcciones escribían «redsara,es» con una coma en lugar de «redsara.es».

Dónde comprobar si el aviso es real

La regla es la misma para todos los organismos: el aviso auténtico solo informa; el contenido se lee entrando tú en la web oficial, tecleando la dirección o desde un marcador, nunca desde el enlace recibido.

Si ya has pinchado el enlace

El orden importa: primero el dinero, después las cuentas, luego la denuncia.

1. Si diste la tarjeta, llama a tu banco por su canal oficial, pide que la bloqueen y revisa los últimos movimientos sin esperar a ver un cargo extraño.
2. Si diste una contraseña, como pedía el falso aviso de la DEHú, cámbiala desde la web oficial y activa la verificación en dos pasos donde sea posible.
3. Llama al 017, la línea de ayuda en ciberseguridad de INCIBE, para que te orienten según lo que hayas entregado.
4. Guarda pruebas (capturas, enlaces, número del remitente) y denuncia ante la Policía Nacional o la Guardia Civil.
5. Durante unos meses, busca tu nombre en internet para detectar si alguien usa tus datos.

Si no llegaste a dar nada, no respondas, reporta el mensaje a INCIBE o con el formulario de seguridad de la Agencia Tributaria, bloquea al remitente y bórralo.

Tres costumbres para todo el equipo

• Entrar siempre desde un marcador. Guarda en el navegador la sede de la Agencia Tributaria, la DEHú, la sede de la DGT y la de la Seguridad Social, y úsalas en lugar de cualquier enlace.
• Activar los avisos oficiales. Con los avisos de la DEHú o de la DEV sabes qué notificaciones existen de verdad, y un mensaje que no coincide destaca solo.
• Pactar una regla con tu equipo y tu gestoría. Ningún pago y ningún dato bancario a partir de un enlace recibido. Si algo parece urgente, se comprueba en la sede o con una llamada a la gestoría antes de tocar nada.