11 de septiembre de 2026

Correo falso de Hacienda o la Seguridad Social: cómo saber si es una estafa

Hace unos años, un correo que decía ser de la Agencia Tributaria se detectaba a la primera: el castellano daba risa, el logotipo estaba estirado y el asunto llevaba tres signos de exclamación. Hoy ya no. Con IA generativa, cualquier estafador redacta un requerimiento impecable, con el tono administrativo correcto, un número de expediente bien formado y una página de destino que es una copia casi exacta de la sede electrónica.

El resultado es que la regla que usábamos todos —«si está mal escrito, es falso»— ya no sirve. Y nos deja sin el filtro principal justo en la época del año en que más correos de este tipo circulan: septiembre y octubre, con los plazos trimestrales a la vuelta de la esquina.

Qué buscan en realidad

No siempre quieren que pagues. A menudo van a por una de estas tres cosas:

Tus credenciales. Las de la sede electrónica, las del banco o las del correo corporativo.

Tu certificado digital. Es la llave maestra: con él pueden presentar declaraciones, solicitar ayudas o dar de alta cambios a nombre de tu empresa.

Que abras un adjunto. Instala software malicioso y abre la puerta al resto de ordenadores de la oficina.

La «deuda pendiente» o la «notificación urgente» son solo la excusa para meter prisa.

Un caso como tantos otros

Una empresa de limpieza de Sabadell con nueve trabajadores recibió un correo que decía ser de la Seguridad Social: había una discrepancia en las cotizaciones de un trabajador y tenían 48 horas para subsanarla antes de una sanción. El correo llevaba el logotipo correcto, el lenguaje administrativo justo y un enlace a «la sede electrónica».

La persona de administración hizo clic y llegó a una página calcada a la original. Se detuvo por un detalle pequeño: el navegador no le ofreció el certificado digital que siempre le aparece cuando entra de verdad. Llamó al número oficial de la Seguridad Social —no al que figuraba en el correo— y le confirmaron que no había ningún expediente abierto. La estafa quedó en un susto de diez minutos.

Las señales de alerta que siguen funcionando

Con la redacción ya no basta, pero hay señales que la IA no puede maquillar:

El dominio del remitente. Los organismos españoles escriben desde dominios terminados en .gob.es o .seg-social.es. Cualquier variante creativa —agenciatributaria-es.com, sede-agenciatributaria.net, segsocial.info— es falsa, por muy bien escrita que esté.

Los plazos imposibles. La Administración no te da 24 o 48 horas por correo electrónico. Los plazos reales llegan por notificación electrónica y son de días o semanas.

Pedir datos por correo. Hacienda y la Seguridad Social nunca te pedirán el número de cuenta, la contraseña ni que subas el certificado digital a ningún formulario.

Enlaces que no coinciden. Pasa el ratón por encima del enlace sin hacer clic: abajo, en el navegador o en el gestor de correo, verás la dirección real. Si no coincide con el texto, fuera.

Devoluciones y ayudas inesperadas. «Tienes una devolución pendiente de 1.842 €» es el cebo más viejo y sigue funcionando, porque nadie mira con lupa una buena noticia.

Las comprobaciones de dos minutos

Cuando llegue un correo así, no respondas ni hagas clic en nada. Haz tres cosas:

Entra por tu camino de siempre. Abre el navegador y escribe tú mismo la dirección de la sede electrónica, o usa el marcador que ya tienes. Si hay un requerimiento de verdad, estará ahí: las notificaciones oficiales siempre pueden consultarse desde el portal, nunca solo desde un enlace.

Llama al teléfono oficial. El de la web, no el del correo. Dos minutos de espera valen mucho menos que una sanción o un certificado robado.

Pregunta a tu gestoría. Si la tienes, es quien mejor sabe qué expedientes tienes abiertos de verdad. Un mensaje de WhatsApp con la captura suele resolver la duda.

Qué hacer si ya has hecho clic

Si alguien del equipo ha introducido credenciales o ha abierto un adjunto, el reloj ya corre:

Cambia de inmediato la contraseña de la cuenta afectada y de cualquier otra donde la repitáis. Este es, precisamente, el motivo por el que no deben repetirse nunca.

Activa la verificación en dos pasos si todavía no la tenéis.

Revoca y vuelve a solicitar el certificado digital si existe alguna posibilidad de que se haya expuesto. Es un trámite incómodo; sustituirlo por una denuncia por suplantación lo es mucho más.

Desconecta el ordenador de la red si sospechas de un adjunto, y que lo revise alguien antes de volver a encenderlo.

Denúncialo a la Policía Nacional o a los Mossos d'Esquadra, y avisa a la entidad suplantada. No recuperarás nada por denunciar, pero deja constancia si después hay movimientos a tu nombre.

La parte que nadie cuenta

La defensa más eficaz no es tecnológica: es una norma interna de una sola frase. «Ninguna comunicación de un organismo oficial se responde desde el correo; siempre se entra por el portal.» Si todo el equipo la conoce y nadie se juega nada por pararse a comprobarlo, la inmensa mayoría de estos intentos mueren solos.

Y conviene decirlo en voz alta en la oficina: quien pica no es el más descuidado, es el que iba más agobiado ese día. Los estafadores lo saben, y por eso mandan los correos a final de trimestre.