Alerta de phishing: falsas notificaciones de la Agencia Tributaria que pueden robar tus credenciales
La Agencia Tributaria (AEAT) vuelve a ser utilizada como reclamo en una nueva campaña de phishing detectada por el INCIBE. En esta ocasión, los ciberdelincuentes envían correos electrónicos que simulan notificaciones oficiales para engañar a los usuarios y robar sus credenciales de acceso a la Dirección Electrónica Habilitada Única (DEHú).
Si eres autónomo, gestor o tienes una pyme, este tipo de fraude puede suponer un riesgo serio para tu información fiscal y administrativa.
¿En qué consiste esta estafa?
Según el aviso publicado por INCIBE (03/02/2026), los atacantes envían correos electrónicos fraudulentos que informan de una supuesta nueva notificación electrónica relacionada con una reclamación administrativa.
El mensaje suele incluir un asunto similar a:
“Aviso puesta a disposición de nueva notificación electrónica REF-XXXXXXXX”
El correo contiene un enlace para “acceder a la notificación”, pero no dirige a la web oficial, sino a una página falsa que imita:
- La Dirección Electrónica Habilitada Única (DEHú)
- O la web de la Agencia Tributaria
Una vez el usuario introduce su identificador y contraseña, la web le redirige a la página legítima de la AEAT, dando sensación de normalidad… pero las credenciales ya han sido robadas.
¿Por qué es especialmente peligroso para empresas y autónomos?
Porque el acceso a la DEHú y a la AEAT permite:
- Consultar y descargar notificaciones oficiales
- Acceder a datos fiscales sensibles
- Realizar trámites administrativos
- Obtener información de clientes o representados
En manos equivocadas, estas credenciales pueden utilizarse para fraude, suplantación de identidad o accesos no autorizados.
Señales claras de que el correo es falso
Aunque los mensajes están bien redactados y maquetados, hay pistas clave:
- El remitente no pertenece al dominio oficial
agenciatributaria.gob.es - El mensaje genera urgencia para que actúes rápido
- El enlace no apunta a una web oficial
- Solicita usuario y contraseña directamente
Recuerda: la Administración nunca te pedirá credenciales por correo electrónico.
¿Qué hacer si recibes uno de estos correos?
Si NO has hecho clic en el enlace
- Reenvía el correo al buzón de incidentes de INCIBE
- Bloquea al remitente
- Elimina el mensaje de tu bandeja de entrada
Si HAS introducido tus datos
Actúa cuanto antes:
- Contacta con la Línea de Ayuda en Ciberseguridad (017) para asesoramiento personalizado
- Guarda todas las pruebas (correos, enlaces, capturas de pantalla)
- Cambia inmediatamente tus credenciales de acceso
- Presenta una denuncia ante las Fuerzas y Cuerpos de Seguridad del Estado
- Comprueba durante los meses siguientes si tus datos han sido utilizados indebidamente
- Activa, siempre que sea posible, la doble autenticación
Cómo protegerte frente a este tipo de fraudes
- Accede siempre a la AEAT escribiendo la web manualmente en el navegador
- Desconfía de correos que hablen de sanciones o reclamaciones inesperadas
- Utiliza contraseñas únicas para cada servicio
- Forma a tu equipo en detección de phishing
- Verifica cualquier duda por canales oficiales
Conclusión
El phishing sigue siendo una de las amenazas más habituales y efectivas, especialmente cuando suplanta organismos oficiales como la Agencia Tributaria. La prevención, la formación y la reacción rápida son clave para evitar consecuencias graves.
Si gestionas información fiscal o administrativa, la ciberseguridad ya no es opcional.
