Cuidado con el phishing en la campaña de la Renta

Mañana 6 de abril comienza la campaña de la Renta y Patrimonio 2021 en España. Toca ponerse al día con la Hacienda pública y la manera más sencilla es usando Internet. Pero, cuidado, los ciberdelincuentes están al acecho y aprovechan cualquier ocasión para distribuir malware, como una campaña de phishing activa que utiliza como argumento «irregularidades en el pago de impuestos» para robar datos personales y financieros de los ciudadanos.

La campaña de la Renta y Patrimonio 2021 comienza mañana para la presentación de las declaraciones por Internet en una campaña que se alargará hasta el 30 de junio. La Agencia Tributaria pone a disposición de los contribuyentes borradores de la misma que siempre conviene revisar a fondo por si puedes añadir deducciones que te correspondan. Para acceder a los borradores y/o declaraciones por Internet necesitas identificarte ante el organismo en su página web o aplicación de las siguientes formas:

• Certificado electrónico o DNI electrónico.
• Con el sistema de Cl@ve PIN.
• A través del número de referencia.

Para la campaña de este año, no están obligados a hacer la declaración los trabajadores que obtuvieran ingresos inferiores a los 22.000 euros anuales de un solo pagador. Aún así, conviene descargar el borrador y valorar la presentación si queremos recuperar las retenciones practicadas.

En cuanto a las novedades de la campaña, destacan la nueva sección para las criptomonedas donde tendremos que asignar los saldos en monedas virtuales u otras ganancias y pérdidas que derivan de la transmisión de elementos patrimoniales, de cualquier operación que hayamos realizado con criptomonedas desde el 11 de julio de 2021 siempre que hayan generado rendimientos. También hay una modificación en la escala de gravamen, así como nuevas deducciones que podemos practicar. Tienes información de todo ello en la página web de la Agencia dedicada a la Campaña de Renta 2021.

Phishing en la campaña de la Renta

Los ciberdelincuentes aprovechan cualquier ocasión para distribuir malware y si es una campaña masiva como la que nos ocupa, donde millones de contribuyentes usarán Internet para ponerse al día con la Hacienda pública, mejor. De hecho, la campaña anual de la declaración de la Renta es un momento preferente como hemos ido viendo los años anteriores. Sobre todo mediante phishing, el segundo tipo de ataque informático por peligrosidad después del Ransomware.

Este año no va a ser diferente y la firma de seguridad Bitdefender ha identificado una campaña de malspam dirigida a usuarios europeos que utiliza como argumento irregularidades en el pago de impuestos. Los asaltantes envían a usuarios de dispositivos Windows y Android mensajes que alertan sobre cantidades pendientes de pagar. Estos mensajes contienen el troyano LokiPWS, capaz de robar datos como nombre de usuario, contraseña, información sobre monederos de criptomonedas y otras credenciales.

Los mensajes utilizan el nombre e imagen de los organismos encargados de la recaudación de impuestos y en ellos se solicita consultar un archivo adjunto para acceder a la información sobre un supuesto impago en las declaraciones del IVA. Este archivo suele llamarse “obligación impuesto valor añadido.rar” o «defecto en el pago del IVA1.rar”.

Solo es un ejemplo de lo que nos espera. Hay que decir que los organismos oficiales NUNCA pedirán este tipo de datos a los contribuyentes ni, por supuesto, debes hacerles ningún caso. Lamentablemente, este tipo de ataques siguen siendo altamente efectivos ya que solo requiere que una parte de los usuarios caiga en su «cebo» y «pique» para obtener rentabilidad.

Las recetas contra el phishing sea en la campaña de la renta o cualquier otra son las conocidas:

• No responder NUNCA a los mensajes no solicitados de organismos oficiales.
• No proporcionar NUNCA datos bancarios, códigos PIN o contraseñas.
• Sospechar de mensajes con errores ortográficos y gramaticales, aunque los delincuentes se esfuerzan en crearlos lo más precisos posibles.
• No abrir NUNCA archivos adjuntos o hacer clic en enlaces que aparezcan en el cuerpo de mensajes de correos electrónicos que no ofrezcan la máxima seguridad.
• Usar siempre contraseñas únicas y complejas para cada una de las cuentas y habilitar la autenticación de dos factores siempre que sea posible.