Por qué proliferan los correos falsos de Hacienda en primavera

Cada año, entre abril y junio, coincidiendo con la campaña de la declaración de la renta en España, se disparan los intentos de phishing que suplantan a la Agencia Tributaria. No es casualidad: los estafadores saben que millones de contribuyentes están pendientes de notificaciones fiscales, esperan devoluciones o temen inspecciones. Esa mezcla de expectativa y ansiedad es exactamente el caldo de cultivo que necesitan para que sus mensajes funcionen.

Email falso de Hacienda phishing fiscal

🔍 ¿Dudas de un mensaje recibido?

Analiza remitentes, enlaces o archivos en tiempo real con nuestro scanner.

Analizar ahora

En abril de 2026, Kaspersky ha documentado una oleada internacional de campañas de phishing dirigidas a contribuyentes, con webs falsas que imitan a las agencias tributarias de varios países europeos. España no es una excepción. El motor forense de ORTSLAB ha detectado en las últimas semanas un aumento significativo de correos que suplantan a la Agencia Tributaria, con dos variantes principales: la promesa de una devolución pendiente y la amenaza de una inspección o sanción inminente.

Cómo es un correo falso de Hacienda: señales de alerta

Los correos fraudulentos que suplantan a la Agencia Tributaria tienen una estructura muy reconocible una vez que sabes lo que buscar. Estos son los patrones más frecuentes detectados por ORTSLAB:

  • Asunto alarmante o tentador: "Devolución pendiente de 347,82 €", "Notificación de inspección fiscal", "Acción requerida antes del 30 de junio" o "Su declaración contiene errores". El objetivo es generar urgencia o curiosidad inmediata.
  • Remitente falso pero convincente: El nombre visible puede ser "Agencia Tributaria" o "AEAT", pero la dirección real del remitente no termina en @agenciatributaria.es. Dominios como aeat-notificaciones.com o variantes con guiones son señales claras de fraude.
  • Enlace que no apunta a sede.agenciatributaria.gob.es: La Agencia Tributaria solo opera desde dominios .gob.es. Cualquier enlace que lleve a otro dominio es sospechoso.
  • Solicitud de datos bancarios o del DNI: La Agencia Tributaria nunca solicita por correo electrónico números de cuenta, datos de tarjeta ni copias del DNI.
  • PDF adjunto con "documento oficial": En muchos casos contienen macros maliciosas o redirigen a webs de phishing al abrirse.

Análisis forense: anatomía del ataque

Cuando analizamos este tipo de correos con el motor de ORTSLAB, el patrón de señales es consistente. Un ejemplo real analizado esta semana mostraba las siguientes evidencias:

  • El campo From visible decía "Agencia Tributaria" pero el Return-Path real era una dirección de un servidor en Rumanía.
  • El registro SPF fallaba — el servidor de envío no estaba autorizado para mandar correo en nombre del dominio declarado.
  • Sin firma DKIM — el correo no estaba firmado criptográficamente.
  • El enlace del botón "Acceder a mi devolución" apuntaba a un dominio registrado hacía 4 días, alojado en un servidor ucraniano.
  • La web de destino era una réplica visual casi perfecta del portal de la Agencia Tributaria, con formulario para introducir NIF, número de cuenta y contraseña.

La nueva variante: herramientas de IA fiscales falsas

Kaspersky ha alertado en 2026 de una táctica emergente: sitios web que ofrecen "asistentes de inteligencia artificial" para ayudarte a hacer la declaración de la renta. El usuario introduce sus datos fiscales y la herramienta los recopila para los estafadores sin ofrecer nada a cambio.

Qué hacer si recibes un correo sospechoso de Hacienda

  • No hagas clic en ningún enlace del correo. Abre tu navegador y escribe directamente sede.agenciatributaria.gob.es.
  • Analiza el correo en ORTSLAB — pega el texto o las cabeceras y el motor te dirá en segundos si es legítimo.
  • Comprueba el remitente real, no el nombre visible.
  • Nunca facilites datos bancarios por correo.
  • Denuncia el intento en la OSI en osi.es o en el INCIBE al 017.

Cómo verificar si una comunicación de Hacienda es real

Si recibes un correo que dice ser de Hacienda, ignóralo y accede directamente a sede.agenciatributaria.gob.es con tu certificado digital o Cl@ve PIN. Si hay alguna notificación real, aparecerá allí.

Si necesitas documentar un intento de phishing fiscal para una denuncia formal, solicita un informe pericial firmado a Oscar Orts, perito informático judicial colegiado.