Estafas en la Declaración de la Renta: cómo detectarlas, evitarlas y qué hacer si ya has caído

Hace unos días, Sofía Pérez, periodista del medio de verificación Newtral.es, contactó con nuestro CEO Pablo F. Iglesias para recabar su opinión experta sobre uno de los fenómenos que se repite cada año sin excepción: el auge de los fraudes digitales que aprovechan la Campaña de la Declaración de la Renta para atacar a ciudadanos y empresas.

El resultado fue una pieza publicada en Newtral en la que Pablo desglosó los principales vectores de ataque y los pasos a seguir si se cae en uno de ellos.

En este artículo recogemos y ampliamos ese contenido, porque creemos que es información que todo el mundo debería tener a mano ahora que la campaña acaba de arrancar.

Por qué la campaña de la Renta es temporada alta para los estafadores

No es casualidad que los ciberdelincuentes pongan en marcha sus propias «campañas paralelas» justo cuando Hacienda abre el periodo de presentación de declaraciones.

La combinación de tres factores crea el escenario ideal para el fraude:

• la urgencia fiscal que siente el contribuyente,
• el desconocimiento generalizado sobre cómo se comunica realmente la Agencia Tributaria,
• y el movimiento masivo de datos sensibles —bancarios, fiscales e identificativos— que se produce durante estas semanas.

En 2026, además, el auge de los sistemas asistidos por inteligencia artificial está elevando la sofisticación de estos ataques a niveles que hace apenas tres años habrían parecido ciencia ficción.

Los tipos de estafa más frecuentes

Antes de entrar en detalle, hay que dejar una cosa muy clara: la Agencia Tributaria nunca solicita datos bancarios, contraseñas ni información confidencial por correo electrónico o SMS.

Si recibes un mensaje de ese tipo, independientemente de lo convincente que parezca, estás ante un fraude.

Los cuatro vectores de ataque más habituales durante la campaña de la Renta son los siguientes.

• El phishing sigue siendo el método más extendido. Los atacantes envían correos electrónicos que suplantan a la AEAT informando de una supuesta devolución pendiente o de un error en tu declaración. El mensaje incluye un enlace a una página web falsa —visualmente casi idéntica a la sede oficial— donde se capturan tus credenciales y datos bancarios.
• El smishing es exactamente el mismo esquema, pero ejecutado vía SMS. Lo que lo hace especialmente peligroso es que algunos de estos mensajes logran colarse en el mismo hilo de conversación que los SMS legítimos de Hacienda, generando una falsa sensación de autenticidad que baja la guardia del receptor.
• El vishing con IA es la variante más sofisticada y en ascenso. Se trata de llamadas telefónicas en las que una voz —a veces generada o modulada por inteligencia artificial— se hace pasar por un funcionario de la Agencia Tributaria para presionar al contribuyente a que pague una supuesta deuda o ceda datos personales de forma inmediata. La presión psicológica es el arma principal: el atacante recrea un contexto de urgencia que bloquea el pensamiento crítico de la víctima.
• Finalmente, el quishing es la tendencia al alza en 2026. En lugar de incluir un enlace clásico en el correo fraudulento —que los filtros antiphishing cada vez detectan mejor—, los atacantes insertan un código QR aparentemente oficial. Al escanearlo con el móvil, el usuario acaba en una pasarela de pago falsa que captura datos bancarios e incluso datos biométricos en algunos casos.

Cómo identificar un intento de fraude que suplanta a la AEAT

Las señales de alarma se repiten en prácticamente todos los ataques, independientemente del canal que usen.

• El mensaje transmite urgencia extrema: «actúa en las próximas 24 horas o serás sancionado», «tu expediente será bloqueado esta tarde».
• Te prometen una devolución inesperada que no solicitaste, o te amenazan con cargos por un supuesto error en tu declaración.
• El remitente del correo o SMS tiene un dominio sospechoso o ligeramente diferente al oficial: recuerda que la AEAT únicamente utiliza direcciones bajo el dominio @agenciatributaria.gob.es.
• Te solicitan datos bancarios o contraseñas a través del propio mensaje o de un enlace adjunto.
• La URL de la web a la que te redirigen no comienza por sede.agenciatributaria.gob.es.

Aplicar sistemáticamente estas comprobaciones elimina de un plumazo la práctica totalidad de los intentos de fraude que llegarán a tu bandeja de entrada durante estos meses.

Cómo prevenir estas estafas antes de que te afecten

La prevención siempre resulta menos costosa —en tiempo, dinero y estrés— que la reacción. Los hábitos que marcan la diferencia son sencillos de implementar pero requieren constancia.

• No hagas clic en ningún enlace de correos o SMS relacionados con Hacienda, aunque el remitente parezca completamente legítimo.
• Accede siempre a la Sede Electrónica escribiendo la dirección directamente en la barra del navegador.
• Activa la verificación en dos pasos tanto en tu cuenta de correo como en tus servicios bancarios online; este único paso bloquea la mayoría de los ataques incluso cuando el atacante ya tiene tu contraseña.
• Ante cualquier comunicación «urgente» que afirme provenir de la AEAT, verifica su autenticidad llamando directamente al número oficial de la Agencia Tributaria (901 33 55 33) antes de realizar cualquier acción.
• Y no escanees códigos QR recibidos en correos electrónicos sin haber verificado previamente la legitimidad del remitente.
• En el caso de empresas y autónomos, es fundamental comunicar estos protocolos al equipo: cualquier mensaje aparentemente procedente de Hacienda que solicite una acción inmediata debe escalarse antes de actuar.
• Configurar filtros antiphishing en el servidor de correo corporativo y establecer un protocolo interno claro reduce drásticamente la superficie de exposición.

Servicio de asesoramiento a víctimas de fraude

Desde CyberBrainers ofrecemos un servicio de asesoramiento a víctimas de cualquier tipo de fraude cibernético.

Gracias a él, revisamos cada caso por separado, te explicamos qué opciones tienes, y te ofrecemos soporte en aquello que necesites (ayuda legal, asesoramiento técnico para evitar problemas futuros…).

Además, si hay posibilidad de recuperar el dinero robado, te ayudamos con la recuperación.

Si has sido víctima de alguno de estos timos, ponte en contacto con nosotros y revisaremos el caso.

¡Me han estafado! Necesito ayuda

Qué hacer si ya has caído en una de estas estafas

El tiempo es el factor más crítico. Si crees que has sido víctima de un fraude relacionado con la campaña de la Renta, actúa en este orden sin demora.

• Primero, bloquea tus cuentas bancarias: llama a tu entidad de inmediato para cancelar tarjetas y bloquear cualquier movimiento sospechoso.
• Segundo, cambia tus contraseñas de acceso a la Sede Electrónica de la AEAT y de cualquier otro servicio que pueda haberse visto comprometido, empezando por el correo electrónico.
• Tercero, recopila evidencias: capturas de pantalla del mensaje fraudulento, la URL de la web falsa, el número de teléfono desde el que llamaron, los datos que facilitaste. Esta documentación será esencial para la denuncia.
• Cuarto, interpón una denuncia ante la Policía Nacional, la Guardia Civil o a través del portal online del INCIBE (017).
• Por último, comunícalo a la AEAT a través de su web oficial, para que puedan registrar el ataque y alertar a otros contribuyentes.

Cómo puede ayudarte CyberBrainers si eres víctima de fraude

Cuando la situación es compleja —robo de identidad, suplantación en declaraciones presentadas de forma fraudulenta, pérdida económica significativa o simplemente no sabes por dónde empezar— contar con asesoramiento especializado marca la diferencia entre una gestión eficaz del incidente y semanas de incertidumbre.

En CyberBrainers disponemos de un servicio de asesoramiento a víctimas de fraude digital orientado precisamente a estos casos: ayudamos a las personas y organizaciones afectadas a gestionar el impacto del incidente, documentar correctamente el caso, y coordinarse con las autoridades competentes para maximizar las posibilidades de resolución.

Además, a través de nuestros servicios de monitorización y escucha activa, podemos detectar de forma proactiva si tus datos o los de tu organización están siendo utilizados en campañas de fraude activas antes de que el daño se materialice.

Actuar rápido y con el acompañamiento adecuado no garantiza siempre recuperar lo perdido, pero sí maximiza las opciones disponibles y evita que el problema escale.

Si tienes dudas o crees que puedes estar siendo víctima de alguna de estas estafas, contáctanos y te orientamos sin compromiso.

Puedes leer el artículo completo en Newtral.

En CyberBrainers ayudamos a empresas y usuarios a prevenir, monitorizar y minimizar los daños de un ataque informático o una crisis reputacional. Si estás en esta situación, o si quieres evitar estarlo el día de mañana, escríbenos y te preparamos una serie de acciones para remediarlo.