Correos y SMS falsos de Hacienda, Correos y la DGT: cómo reconocerlos

Los estafadores suplantan a organismos y empresas que todos esperamos que nos escriban: Hacienda (con una devolución pendiente), Correos o una mensajería (con un paquete retenido) y la DGT (con una multa sin pagar). El objetivo es el mismo: que pulses un enlace y pagues una pequeña cantidad o escribas los datos de tu tarjeta. La regla: no uses el enlace; entra tú en la web oficial o en la app.

Funcionan porque se apoyan en algo que podría ser verdad. Mucha gente espera una devolución de la Renta, casi todo el mundo tiene algún paquete en camino y cualquiera que conduce teme una multa. El mensaje no necesita convencerte de nada nuevo: solo aprovecha una preocupación que ya tenías.

Los tres mensajes más habituales

“Tiene una devolución pendiente de la Agencia Tributaria”

Te piden pulsar un enlace para “recibir el reembolso” e introducir los datos de tu tarjeta. Hacienda devuelve el dinero por transferencia a la cuenta que indicas en tu declaración, no pidiendo los datos de la tarjeta por correo o SMS.

Este es el razonamiento que desmonta el engaño: para que te devuelvan dinero, nadie necesita el número de tu tarjeta, su fecha de caducidad ni el código de seguridad de tres cifras. Esos datos sirven para cobrar, no para pagar. Si un supuesto reembolso te los pide, el objetivo es hacerte un cargo.

La Agencia Tributaria sí envía a veces comunicaciones informativas, por ejemplo durante la campaña de la Renta, pero las notificaciones con efectos legales llegan por los canales oficiales (correo postal certificado o notificación electrónica en la sede, en la Dirección Electrónica Habilitada única o en la Carpeta Ciudadana). Puedes consultarlas siempre identificándote tú en la sede.

“Su paquete está retenido, pague 1,99 € de gastos de envío”

Llega un SMS con un enlace a una web que imita a Correos o a una mensajería. La cantidad es pequeña para que no lo pienses, pero lo que buscan son los datos completos de tu tarjeta (y a veces el código de confirmación).

Hay un matiz real que los estafadores aprovechan: los envíos que llegan desde fuera de la Unión Europea pueden tener que pagar IVA y gastos de gestión aduanera antes de la entrega. Por eso el mensaje resulta creíble. La forma de saber si te corresponde algún pago es buscar tu número de seguimiento (el que te dio la tienda, no el del SMS) en la web oficial de la empresa de transporte, escrita por ti. Si allí no aparece ningún importe pendiente, el SMS es falso.

Si no esperas ningún paquete, la respuesta es todavía más sencilla: no hay nada que comprobar.

“Tiene una multa de tráfico pendiente”

Te amenazan con un recargo si no pagas ya desde el enlace. Las multas de la DGT se notifican por los canales oficiales, y puedes consultarlas en su sede electrónica o en la app miDGT.

Las notificaciones de tráfico llegan por correo postal o, si estás dado de alta, a la Dirección Electrónica Vial (DEV). Si no se pueden entregar, se publican en el Tablón Edictal Único del BOE. Ninguno de estos canales es un SMS con un enlace para pagar con tarjeta en una web desconocida. Si de verdad tienes una sanción, aparecerá en la sede de la DGT o en miDGT, y podrás pagarla desde allí con el descuento por pronto pago si estás dentro del plazo.

Otras variantes que circulan

Los tres modelos anteriores son los más frecuentes, pero el esquema se repite con otros remitentes:

Seguridad Social o el SEPE, con una supuesta prestación o un reembolso.
Compañías de luz, gas o telefonía, con una factura impagada o un “reembolso por cobro duplicado”.
Ayuntamientos, con multas de aparcamiento o zona de bajas emisiones.
Tu propio banco, con un bloqueo o un cargo sospechoso. Este caso tiene su propia guía en cómo detectar un SMS falso del banco, y su versión telefónica en llamadas falsas del banco.

También es cada vez más habitual que el mensaje no lleve enlace y te pida llamar a un número, o que te llamen después de enviar el SMS para “ayudarte” a completar el pago. Los textos están cada vez mejor escritos, en parte gracias a herramientas de inteligencia artificial, así que las faltas de ortografía ya no sirven como señal fiable.

Señales de alarma

Te piden pagar o dar la tarjeta desde un enlace recibido por SMS o correo.
Urgencia: “último aviso”, “en 24 horas”, “recargo”.
La dirección del enlace no es la oficial (los organismos públicos usan dominios .gob.es; desconfía de variaciones o dominios extraños). Mantén pulsado el enlace sin abrirlo para ver la dirección.
El remitente no cuadra o el mensaje no lleva tu nombre.

Sobre la dirección, mira con atención dónde termina el dominio. sede.agenciatributaria.gob.es es oficial. agenciatributaria.gob.es.devolucion-online.com no lo es: el dominio real es devolucion-online.com, y lo anterior es solo un adorno. Tampoco te fíes de que el SMS aparezca en el mismo hilo que mensajes reales anteriores de una empresa: el nombre del remitente de un SMS se puede falsificar, y por eso un mensaje fraudulento puede colarse junto a otros auténticos.

Cómo comprobar si un aviso es real

Si dice ser de…	Compruébalo así
Agencia Tributaria	Entra escribiendo tú `sede.agenciatributaria.gob.es` o usa su app oficial
Correos o mensajería	Usa el número de seguimiento en la web oficial de la empresa, escrita por ti
DGT	Entra en `sede.dgt.gob.es` o en la app miDGT
Tu banco	Abre la app oficial del banco

Para entrar en la sede de Hacienda o de la DGT necesitarás identificarte con Cl@ve, certificado digital u otro método admitido. Es un paso más, pero también es la garantía de que estás en el sitio correcto: ninguna web oficial te pedirá identificarte con los datos de tu tarjeta.

Si ya has pinchado o pagado

Si diste los datos de la tarjeta, llama a tu banco y bloquéala.
Si te llegó un código por SMS y lo escribiste en la web, avisa al banco: puede que hayan autorizado un pago o añadido tu tarjeta a otro dispositivo.
Revisa los movimientos en los días siguientes.
Si instalaste una app desde el enlace, desinstálala y consulta con tu banco.
Denuncia y, si necesitas orientación, llama al 017 de INCIBE.

El paso 2 es el que más dinero cuesta cuando se pasa por alto. Con los datos de la tarjeta y el código que te envía el banco, los estafadores pueden dar de alta tu tarjeta en un monedero digital de su propio móvil y pagar con ella en tiendas físicas durante días. Si escribiste un código en la web falsa, dile expresamente al banco que revise si se ha añadido tu tarjeta a algún dispositivo nuevo. Si te cargan operaciones que no autorizaste, en cómo reclamar si te roban dinero de la cuenta tienes los plazos y los pasos.

Si solo pulsaste el enlace y cerraste la página sin escribir nada, el riesgo es bajo. Borra el mensaje, no respondas y, si quieres, márcalo como spam o no deseado en tu aplicación de mensajes.

Más detalles en cómo detectar un SMS falso de tu banco, porque el procedimiento es el mismo.

Preguntas frecuentes

¿Cómo tienen mi número de teléfono si no les he dado nada?

En la mayoría de los casos no te han elegido a ti. Los mensajes se envían de forma masiva a listas de números obtenidas de filtraciones de datos o generadas automáticamente. Que el SMS no incluya tu nombre es precisamente una pista de que se ha enviado a miles de personas a la vez.

¿Hacienda me puede enviar un SMS de verdad?

Sí, la Agencia Tributaria puede enviar mensajes informativos, por ejemplo recordatorios relacionados con la Renta. Lo que no hará es pedirte por SMS o correo los datos de tu tarjeta ni pedirte que pagues o cobres desde un enlace. Ante cualquier duda, entra tú en la sede o en la app oficial y comprueba si tienes algo pendiente.

Pagué solo 1,99 €, ¿merece la pena avisar al banco?

Sí. El importe pequeño es solo el cebo: lo valioso para los estafadores son los datos completos de la tarjeta, que pueden usar después para cargos mucho mayores o venderlos. Bloquea la tarjeta y pide una nueva, aunque el cargo inicial sea mínimo.

¿Dónde puedo reportar estos mensajes?

Puedes llamar al 017 de INCIBE para recibir orientación y, si has sufrido un perjuicio económico, presentar denuncia en la Policía Nacional o la Guardia Civil. Guarda capturas del mensaje en las que se vea el remitente, la fecha y el enlace, porque te las pueden pedir.

Relacionado: Cómo detectar un SMS falso de tu banco · Organizar tus documentos para la Renta