Hacienda nunca escribe por WhatsApp: suplantación de administración

El mensaje llega un martes por la tarde. Lo envía alguien que se hace llamar "Agencia Tributaria — Notificaciones". El texto dice que tienes una devolución pendiente de 347 euros y que debes confirmar tu cuenta bancaria antes de las 48 horas o el importe quedará anulado. Hay un enlace. El enlace parece oficial. Pinchas.

La suplantación de Hacienda es uno de los timos más extendidos en España. La Agencia Tributaria no contacta a los contribuyentes por WhatsApp, Telegram ni SMS con enlaces para reclamar devoluciones o verificar datos. Nunca. Si recibes un mensaje así, es un fraude. El canal oficial de comunicación es la sede electrónica de la AEAT (sede.agenciatributaria.gob.es) y el correo postal certificado. Cualquier otra vía es una señal de alarma.

¿Cómo funciona por dentro la estafa de suplantación de Hacienda?

El fraude sigue una mecánica sencilla y efectiva. Los estafadores compran bases de datos con números de teléfono o direcciones de correo electrónico y lanzan envíos masivos sin saber siquiera si el destinatario es contribuyente o no. El mensaje apela a dos resortes psicológicos que funcionan siempre: la codicia (tienes dinero esperándote) o el miedo (debes una cantidad o enfrentas consecuencias). Ambos crean urgencia. La urgencia anula el análisis.

El enlace lleva a una página que imita con bastante fidelidad el diseño de la AEAT. Pide el DNI, el número de cuenta IBAN y a veces los datos de la tarjeta de crédito "para procesar la devolución". En algunos casos añade un segundo paso: una llamada de un supuesto funcionario que valida la operación y pide el código SMS que acaba de llegarte, que es precisamente el código de autorización de tu banco. Cuando lo entregas, la transferencia ya está hecha.

El ciclo completo dura menos de diez minutos. El daño puede ser tu cuenta vaciada o tus datos vendidos en mercados clandestinos para futuros fraudes.

¿Qué señales delatan que el mensaje no es de Hacienda?

Identificar el timo no requiere ser experto. Requiere leer con calma y conocer las reglas de juego de la administración pública española. Estas son las señales que aparecen en casi todos los casos documentados por el INCIBE y la Policía Nacional.

• El canal es WhatsApp, Telegram o SMS con enlace. La Agencia Tributaria notifica por correo postal, por la sede electrónica o por la app móvil oficial. No usa aplicaciones de mensajería instantánea para comunicarse con contribuyentes.
• El dominio del enlace no es agenciatributaria.gob.es. Fíjate bien: "agencia-tributaria.es", "aeat-devoluciones.com" o "hacienda-seguro.net/verificar" son dominios falsos. El único dominio oficial termina en .gob.es.
• El mensaje crea un plazo artificial. "48 horas", "antes del viernes", "o se cancela el proceso". La administración pública tiene plazos legales reglados, no inventados para presionarte.
• Te piden datos bancarios para recibir una devolución. La AEAT ya tiene o puede solicitar tus datos por vía oficial. Nunca los pide por mensaje con un formulario externo.
• El remitente no tiene identificación verificable. En WhatsApp aparece como un número desconocido o con un nombre de perfil genérico. En correo electrónico, la dirección usa dominios como "notificaciones-aeat.info" o similares.
• La redacción mezcla formalidad y errores. Frases rígidas junto a tildes ausentes, concordancias rotas o un español que suena traducido. La administración española revisa sus comunicaciones.

"Estimado contribuyente, la Agencia Tributaria ha procesado su declaración y detectado un saldo a su favor de 347,00 EUR. Para recibir el reembolso en un plazo de 24-48 horas, acceda al siguiente enlace y confirme sus datos bancarios: hacienda-devolucion.net/verificar — ATENCIÓN: si no completa el proceso en 48 horas, el importe será cancelado definitivamente."

Este es el patrón exacto. Cámbialo por 289 euros, por "multa pendiente" o por "error en tu última declaración" y obtienes el resto de variantes. El mecanismo es idéntico.

¿Qué hago ahora mismo si he recibido este mensaje?

Depende de en qué punto estás.

Si solo has recibido el mensaje y no has pinchado: borra el mensaje, bloquea el número y, si quieres hacer algo útil, repórtalo al INCIBE a través de su línea de ayuda en ciberseguridad (017) o al formulario de la Oficina de Seguridad del Internauta (OSI, osi.es). Cada reporte ayuda a cerrar páginas fraudulentas más rápido.

Si has pinchado el enlace pero no has introducido datos: cierra el navegador. Pasa el antivirus en tu dispositivo. No hay datos comprometidos, pero el sitio pudo intentar instalar algo.

Si has introducido datos bancarios o de tarjeta: llama ahora a tu banco. Pide el bloqueo preventivo de la tarjeta o cuenta afectada. Solicita que revisen los movimientos de las últimas horas. Después interpón una denuncia en la Policía Nacional o la Guardia Civil, bien presencialmente o a través de sus portales online. Guarda capturas del mensaje como evidencia antes de borrarlo.

Si has entregado el código SMS de confirmación: el banco es la primera llamada. Ese código es el equivalente a tu firma en una transferencia. La ventana de acción es muy corta.

Para verificar si tienes notificaciones reales pendientes de la Agencia Tributaria, entra directamente en sede.agenciatributaria.gob.es escribiendo esa dirección tú mismo en el navegador. No uses ningún enlace recibido por mensaje.

¿Por qué la administración pública nunca te contacta así?

La Agencia Tributaria está sujeta a la Ley 39/2015 de Procedimiento Administrativo Común. Esa ley establece que las notificaciones a ciudadanos deben realizarse por canales verificables y con acuse de recibo: la sede electrónica, el sistema de Dirección Electrónica Habilitada (DEH) o el correo postal certificado. Un mensaje de WhatsApp no tiene ninguna validez legal como notificación administrativa. No existe un procedimiento interno en la AEAT que lo contemple. Por tanto, si llega, es externo a la institución. Es decir, es un fraude.

Preguntas frecuentes

¿La Agencia Tributaria envía SMS?

La AEAT puede enviar SMS como aviso de que tienes una notificación disponible en la sede electrónica, pero nunca incluye enlaces para introducir datos ni pide confirmación bancaria por ese canal. Si el SMS lleva un enlace a un formulario, es fraudulento.

¿Cómo sé si una web es la real de Hacienda?

El único dominio oficial es agenciatributaria.gob.es. Comprueba que la URL empieza exactamente así, que el certificado de seguridad aparece en tu navegador y que lo has escrito tú directamente, no llegado desde un enlace en un mensaje.

¿Puedo recuperar el dinero si he caído en la estafa?

Depende del banco y de la rapidez con que actúes. Algunos bancos pueden revertir transferencias recientes si se notifica en las primeras horas. Llama de inmediato a tu entidad, denuncia ante la Policía Nacional y conserva todas las pruebas. El banco evaluará cada caso de forma individual.

¿A quién denuncio una suplantación de Hacienda?

Puedes denunciar en la Policía Nacional (a través de su portal de denuncia online o en comisaría), en la Guardia Civil, o reportar el fraude al INCIBE llamando al 017. Si la página fraudulenta sigue activa, reportarla en OSI.es acelera su cierre.

Diez reglas para no caer en la suplantación de Hacienda

1. Hacienda no escribe por WhatsApp. Nunca. Ningún organismo público español usa mensajería instantánea para notificaciones oficiales.
2. Verifica siempre el dominio. El único válido es agenciatributaria.gob.es. Escríbelo tú en el navegador.
3. Desconfía de los plazos de presión. "48 horas o se cancela" es un mecanismo de urgencia artificial, no un procedimiento administrativo real.
4. La devolución real no requiere que confirmes tu cuenta por mensaje. La AEAT ya dispone de tus datos fiscales o los solicita por vías regladas.
5. No pinches enlaces en SMS o mensajes que no esperabas. Ve directamente al origen escribiendo la dirección oficial.
6. Lee el remitente con lupa. Un correo de "notificaciones-aeat.info" no es un correo de la AEAT.
7. Nunca entregues un código SMS a nadie por teléfono. Ese código es tu firma digital en una operación bancaria.
8. Si tienes dudas, llama al 901 200 345. Es el número oficial de la Agencia Tributaria para atención al contribuyente.
9. Reporta el mensaje aunque no hayas caído. El 017 del INCIBE y OSI.es reciben reportes que sirven para cerrar páginas fraudulentas.
10. Si has dado datos, actúa en minutos, no en horas. Llama al banco, bloquea, denuncia y guarda las capturas.