Cuidado con los ataques informáticos que aprovechan la campaña de Renta 2022

La campaña de Renta 2022 ha comenzado esta semana en España abriendo el periodo de ‘ajuste de cuentas’ con la Hacienda pública. Como viene sucediendo en los últimos años en el inicio del periodo de declaración de la renta, se han detectado campañas maliciosas que intentan suplantar la identidad de la Agencia Tributaria. ¡Mucho cuidado!

La suplantación de identidad es una actividad malintencionada que se ha extendido los últimos años con la explosión de uso del Internet móvil, SMS, las redes sociales y las apps de mensajería instantánea. Básicamente, su objetivo es hacerse pasar por otra persona o entidad digital. Hay que decir que todas las semanas se detectan algún tipo de estas campañas, pero son en periodos mediáticos como el que nos ocupa cuando los delincuentes trabajan más activamente. Las motivaciones son comunes y van desde el robo de datos a los fraudes y engaños para obtener información o un beneficio económico, pasando por el ciberacoso, extorsión o el grooming.

La Agencia Tributaria es uno de los organismos que más intentos de suplantación de identidad recibe. Los ciberdelincuentes intentan aprovechar el «pavor» que Hacienda o una falta de respuesta ante sus requerimientos provoca ante cualquier contribuyente. O al contrario, una comunicación de devolución económica o similar. Algunos son intentos burdos, otros están mejor preparados y muchos usuarios pueden caer en sus garras.

Renta 2022: campañas maliciosas

Como era esperable, los intentos de suplantar la identidad de Hacienda se ha incrementado los últimos días y desde ESET alertan de una campaña de phishing con difusión tanto por correo electrónico como a través de mensajes de texto.

En el caso de los SMS se nos notifica que hay un reembolso de nuestros impuestos que muchos usuarios pueden interpretar como que la declaración de la renta les sale a devolver. Para solicitar este reembolso se pide que accedamos a un enlace que quieren hacer pasar por legítimo pero que, con que solo nos fijemos un poco, podremos comprobar que poco tiene que ver con el de la Agencia Tributaria real.

El mensaje es sospechoso, no, lo siguiente. Pero seguimos picando….

Si pulsas el enlace, te mandará a una web que sí tiene un parecido bastante conseguido con la legítima, pero el dominio en el que está alojado no tiene nada que ver. Esta web fraudulenta nos indica como conseguir el supuesto reembolso, iniciando el proceso al pulsar el botón preparado por los delincuentes, que implica les facilites datos de tu tarjeta de crédito. El resto ya lo conoces: te van a saquear.

Recomendaciones: las habituales

La prevención y la prudencia son el mejor antídoto contra estas campañas maliciosas que aprovechan distintas variantes de phishing. Si los malos usan ingeniería social, nosotros tenemos que aplicar sentido común. Lamentablemente, este tipo de ataques siguen siendo altamente efectivos ya que solo requiere que una pequeña parte de los usuarios caiga en su «cebo» y «pique» para obtener rentabilidad.

Las recomendaciones son las habituales contra phishing y suplantación de identidades:

• Desconfía de cualquier requerimiento que te obligue a facilitar información personal.
• Sumo cuidado con supuestos mensajes de organismos oficiales: son los más usados para suplantar identidades.
• No abras correos, SMS o chats de mensajería de usuarios desconocidos o que no hayas solicitado. Elimínalos directamente.
• No contestes en ningún caso a estos correos.
• NO facilites tus datos personales (número de teléfono, nombre, apellidos, dirección o correo electrónico) o bancarios en cualquier página.
• Revisa cuidadosamente los enlaces antes de hacer clic, aunque sean de contactos conocidos.
• Desconfía de los enlaces acortados.
• Desconfía de los ficheros adjuntos, aunque sean de contactos conocidos.
• Ten siempre actualizado el sistema operativo y el antivirus.
• Usar contraseñas únicas y complejas para cada una de las cuentas y habilitar la autenticación de dos factores siempre que sea posible.

Y mucha prudencia amigo…. si recibes una notificación por parte de la Agencia Tributaria u otro organismo gubernamental, debes acceder SIEMPRE a través de la sede electrónica con un certificado u otra autenticación segura para comprobar las notificaciones o avisos. Y NUNCA debes acceder a través del enlace contenido en el cuerpo del mensaje y mucho menos tras descargar archivos adjuntos utilizados habitualmente para incluir malware.