Cuidado con los correos falsos de la Renta 2026: Hacienda alerta de nuevas estafas en plena campaña

La campaña de la Renta acaba de arrancar y la Agencia Tributaria vuelve a advertir de nuevos intentos de suplantación de identidad a través de correos electrónicos y mensajes que simulan proceder del organismo tributario. El objetivo es que el contribuyente pulse en enlaces externos, facilite datos personales o bancarios y acabe entregando información sensible en páginas falsas que imitan la sede electrónica oficial.

En los ejemplos difundidos por Hacienda este 2026 aparecen mensajes que anuncian supuestos reembolsos de impuestos, incidencias en expedientes o formularios pendientes que deben realizarse con urgencia.

Uno de los SMS detectados en marzo por la propia Agencia Tributaria incluía incluso una cantidad concreta —311,29 euros— y un enlace acortado que dirigía a una web fraudulenta diseñada para parecer oficial. Allí se pedía el nombre completo del contribuyente y un número de contacto.

Otros correos detectados recientemente utilizan expresiones como “cumple con los requisitos para una restitución” o “solicitud del formulario seguro”, copiando un tono administrativo para parecer auténticos.

Qué nunca pide Hacienda por correo o SMS

La Agencia Tributaria insiste en que nunca solicita por correo electrónico o mensaje de texto información confidencial, económica o personal, ni números de cuenta, tarjetas bancarias o claves de acceso. Tampoco envía enlaces para cobrar devoluciones ni adjunta formularios en los que haya que introducir datos financieros.

Por eso, ante cualquier aviso relacionado con la declaración, la recomendación oficial es no clicar directamente sobre enlaces recibidos por correo o SMS y acceder siempre escribiendo manualmente la dirección oficial en el navegador o comprobando si existe alguna notificación real dentro de la sede electrónica.

Otra señal útil es revisar el remitente: si la dirección no termina exactamente en “agenciatributaria.gob.es”, conviene desconfiar, aunque el mensaje incluya logotipos oficiales o un lenguaje aparentemente administrativo.

La combinación entre plazos fiscales, devoluciones esperadas y temor a cometer errores convierte estas semanas de campaña en un escenario particularmente atractivo para los ciberdelincuentes. También la Policía Nacional ha alertado estos días de mensajes falsos que prometen devoluciones inmediatas o avisan de supuestas sanciones para provocar una reacción rápida del usuario.

Detrás de algunos mensajes hay campañas internacionales organizadas

Según la empresa de ciberseguridad Proofpoint, en lo que va de 2026 se han detectado más de un centenar de campañas con señuelos fiscales destinadas a robar credenciales, instalar software malicioso o facilitar accesos remotos a dispositivos. En algunos casos, el objetivo no es solo obtener datos bancarios, sino también instalar programas que permitan controlar remotamente el ordenador de la víctima sin que esta lo perciba.

Entre esas campañas aparece, por ejemplo, TA2730, un grupo especializado en phishing de credenciales que utiliza dominios registrados por los propios atacantes y correos que aparentan proceder de entidades financieras, organismos públicos o servicios administrativos. España figura entre los países incluidos en este tipo de ataques, según el análisis de la compañía.

Los expertos explican que estos mensajes son cada vez más convincentes porque imitan mejor el lenguaje administrativo y presionan al usuario para que responda rápido. En ocasiones, incluso incorporan teléfonos reales de entidades conocidas o referencias aparentemente correctas para reforzar su credibilidad y dificultar que el usuario detecte el engaño.

Qué hacer si llega uno de estos mensajes

Si el usuario recibe una comunicación sospechosa, lo recomendable es no abrir enlaces, no descargar archivos adjuntos y no responder al remitente. Tampoco conviene llamar a los teléfonos que aparezcan en el propio mensaje ni facilitar información personal por ninguna vía hasta verificar el aviso por canales oficiales. Si ya se han facilitado datos bancarios, conviene contactar cuanto antes con la entidad financiera y presentar denuncia.

La Agencia Tributaria mantiene durante toda la campaña un apartado actualizado en su página web oficial con ejemplos reales de correos y SMS fraudulentos detectados, precisamente para ayudar a identificar este tipo de engaños antes de que el contribuyente actúe.