Cuidado con la declaración de la Renta 10 consejos fundamentales: Check Point Research detecta un aumento significativo de ciberataques durante la campaña fiscal 2026

Cuidado con la declaración de la Renta 10 consejos fundamentales: Check Point Research detecta un aumento significativo de ciberataques durante la campaña fiscal 2026. La campaña de la Renta 2025-2026 ha comenzado oficialmente y, con ella, se ha disparado la actividad de los ciberdelincuentes. La Agencia Tributaria (AEAT) y el INCIBE ya han alertado sobre nuevas oleadas de phishing y smishing que utilizan el gancho de «reembolsos pendientes» o «notificaciones urgentes» para vaciar las cuentas de los contribuyentes.

• Los ciberdelincuentes intensifican campañas globales de phishing y malware mediante dominios fiscales fraudulentos.
• España, en el punto de mira: algunas campañas suplantan a la Agencia Tributaria para distribuir malware a empresas locales.

Para que tu declaración sea segura y tus ahorros no corran peligro, hemos recopilado los 10 consejos fundamentales para protegerte este año:

1. La AEAT nunca envía enlaces de reembolso por SMS

Si recibes un mensaje diciendo: «Agencia Tributaria: Reembolso de impuestos de 263,00€. Accede aquí para cobrar», bórralo inmediatamente. Hacienda jamás solicita datos bancarios ni de tarjetas de crédito a través de un SMS o un enlace directo.

2. Desconfía de los correos con «Notificación Final»

Se han detectado campañas que suplantan a la Dirección Electrónica Habilitada Única (DEHú) con asuntos urgentes como «Quedan 48 horas para responder». El objetivo es que entres en pánico y hagas clic en un sitio web falso. Accede siempre desde la sede electrónica oficial.

3. Verifica el remitente del correo

Los estafadores usan dominios que parecen reales pero no lo son (ej: [email protected] o [email protected]). Recuerda que la Agencia Tributaria no utiliza cuentas genéricas ni dominios extranjeros para comunicaciones oficiales de la Renta.

4. No facilites datos por teléfono (vishing)

Aunque la AEAT tiene un servicio de confección de declaraciones por teléfono, ellos nunca te llamarán de forma espontánea para pedirte el número de cuenta o de tarjeta. Solo lo harán si tú has concertado una cita previa.

5. Utiliza solo la App Oficial y la Sede Electrónica

La forma más segura de realizar cualquier trámite es a través de la aplicación oficial de la Agencia Tributaria (descargada desde tiendas oficiales) o entrando directamente en sede.agenciatributaria.gob.es. Evita buscar «Hacienda» en Google y hacer clic en los primeros resultados, que podrían ser anuncios fraudulentos.

6. Cuidado con los archivos adjuntos

Nunca descargues facturas o documentos adjuntos en correos que supuestamente vienen de Hacienda. Suelen contener malware diseñado para rastrear tus pulsaciones de teclado y robar tus contraseñas bancarias.

7. El pago por Bizum no existe en Hacienda

Se han reportado intentos de estafa donde se solicita un pago vía Bizum para «regularizar una deuda pendiente». La Agencia Tributaria no utiliza este método de pago para el cobro de impuestos.

8. Revisa el certificado de seguridad (el candado)

Si decides entrar por el navegador, asegúrate de que la URL comienza por https:// y muestra el icono del candado. Aun así, no te fíes solo de esto; los ciberdelincuentes ahora también usan certificados de seguridad en sus páginas falsas.

9. Activa el Doble Factor de Autenticación (2FA)

Asegúrate de que tus cuentas bancarias y correos electrónicos tengan activada la verificación en dos pasos. Si por error introduces tus claves en una web falsa, este segundo factor puede ser la última barrera que impida el robo.

10. Si has caído, actúa rápido

Si sospechas que has introducido tus datos en una web fraudulenta:

• Contacta inmediatamente con tu entidad bancaria para bloquear tarjetas y cuentas.
• Cambia las contraseñas de acceso a la banca online.
• Denuncia el fraude ante la Policía Nacional o la Guardia Civil.

Nota de seguridad: La Agencia Tributaria insiste en que las comunicaciones oficiales sobre devoluciones se realizan mediante transferencia a la cuenta IBAN que el contribuyente indica en su declaración, sin necesidad de validar tarjetas de crédito en enlaces externos.

Check Point Research, la división de Inteligencia de Amenazas de Check Point® Software Technologies Ltd. (NASDAQ: CHKP), pionero y líder global en soluciones de ciberseguridad, ha detectado un notable incremento de la actividad maliciosa vinculada a la temporada de impuestos, uno de los periodos más atractivos del año para los ciberdelincuentes. A medida que particulares y organizaciones intercambian información financiera y datos personales sensibles a través de canales digitales, los ciberdelincuentes aprovechan este contexto para lanzar campañas de phishing, crear páginas web fraudulentas y distribuir malware.

Según los analistas de CPR, estas campañas no responden a acciones improvisadas, sino a operaciones cuidadosamente organizadas. Los ciberdelincuentes preparan su infraestructura con varios meses de antelación, lo que evidencia un planteamiento estratégico y bien coordinado.

Entre septiembre de 2025 y febrero de 2026, se registraron cientos de nuevos dominios cada mes que incluían palabras clave relacionadas con impuestos o nombres de autoridades fiscales. Esta actividad mostró un crecimiento progresivo hacia finales de 2025 y se intensificó especialmente a partir de noviembre, lo que evidencia una preparación deliberada para la campaña fiscal.

Un dato especialmente preocupante es que uno de cada 15 dominios recién registrados relacionados con impuestos ya ha sido clasificado como malicioso o sospechoso, lo que refleja el uso masivo de estas temáticas con fines fraudulentos.

En marzo de 2026, tanto el volumen como el riesgo aumentaron aún más. El número de nuevos dominios registrados creció respecto a meses anteriores, mientras que la proporción de dominios maliciosos y sospechosos alcanzó su nivel más alto en lo que va de año: uno de cada 10 dominios registrados ese mes fue considerado de riesgo.

Campañas de suplantación del IRS

En línea con esta tendencia, Check Point Research identificó múltiples dominios de phishing que suplantaban al Servicio de Impuestos Internos de Estados Unidos (IRS) en enero de 2026, como 2025irswebsiteislive[.]live y irstax-refund[.]xyz. Estos dominios forman parte de una campaña coordinada, ya que comparten contenido y funcionalidades prácticamente idénticas. Las páginas web atraen a las víctimas con falsas ofertas de devolución de impuestos, prometiendo pagos inusualmente elevados, como transferencias semanales de 1.400 dólares o pagos únicos de hasta 38.700 dólares.

Posteriormente, se solicita a los usuarios que introduzcan información personal sensible —nombre completo, número de la Seguridad Social, teléfono o correo electrónico— y que completen un proceso de verificación de identidad, lo que apunta a una operación de recopilación masiva de datos.

Los ataques relacionados con la campaña fiscal no se limitan a páginas web fraudulentas. En febrero de 2026, CPR detectó una campaña de correo electrónico malicioso que suplantaba a la Agencia Tributaria (AEAT). Uno de estos correos fue enviado desde la dirección falsificada [email protected] a una empresa industrial española, utilizando el asunto “AEAT – Notificación 2026”.

El mensaje incluía un archivo adjunto ejecutable malicioso (hash: bda5cc053c4d9eb09f6dd1c45892fb4c), clasificado como Trojan.Downloader / Trojan.Minix (NSIS). Este tipo de malware actúa como un “loader”, diseñado para descargar y ejecutar cargas maliciosas adicionales. Una vez ejecutado, el software malicioso permite la instalación de amenazas secundarias, como ladrones de credenciales o keyloggers, lo que puede derivar en un compromiso completo del sistema y en la exposición de datos sensibles.

La temporada de impuestos genera condiciones ideales para el cibercrimen: alto volumen de datos sensibles, comunicaciones oficiales esperadas y presión por actuar rápidamente. Check Point Research asegura que los ciberdelincuentes continúan perfeccionando sus tácticas y ampliando su alcance, con el objetivo de aprovechar la urgencia y la confianza que caracterizan este periodo del año.

Ante la proximidad de los plazos fiscales, tanto organizaciones como particulares deben extremar las precauciones. La monitorización de nuevos dominios, la detección temprana de intentos de phishing y la prevención de la ejecución de archivos maliciosos son medidas clave para reducir el riesgo. La seguridad proactiva y la concienciación de los usuarios siguen siendo la mejor defensa frente a las amenazas de ciberseguridad relacionadas con la campaña fiscal.

Sigue Check Point Research vía:

Blog: https://research.checkpoint.com/

. Leer artículo completo en Frikipandi Cuidado con la declaración de la Renta 10 consejos fundamentales: Check Point Research detecta un aumento significativo de ciberataques durante la campaña fiscal 2026.