Por Marketing Creación (Gabriela y Raúl) · Revisado el 18 de octubre de 2026
«Tiene un reembolso pendiente de la Agencia Tributaria», «Su notificación no ha podido ser entregada», «Regularice su situación con la Seguridad Social en 24 horas». Si eres autónomo, recibes mensajes así con frecuencia, y los delincuentes lo saben: tu relación constante con Hacienda hace que un aviso falso parezca creíble. Aprender a detectarlos te puede ahorrar mucho dinero y disgustos.
En resumen
- La Agencia Tributaria y la Seguridad Social no piden datos bancarios ni tarjetas por SMS o correo con enlaces.
- Las notificaciones oficiales se consultan en la sede electrónica o en la Dirección Electrónica Habilitada única (DEHú), entrando tú directamente.
- Desconfía de la urgencia, los enlaces acortados y las direcciones que no terminan en .gob.es.
- Si has caído, llama a tu banco, cambia contraseñas y pide ayuda en el 017 de INCIBE.
Las estafas más habituales
| Tipo | Cómo llega | Qué busca |
|---|---|---|
| Falso reembolso de Hacienda | SMS o correo con enlace | Datos de tu tarjeta para «devolverte» dinero |
| Falsa notificación o sanción | Correo con archivo adjunto o enlace | Instalar malware o robar tus credenciales |
| Falsa deuda con la Seguridad Social | SMS o llamada | Que pagues una supuesta deuda urgente |
| Falsa multa de tráfico | SMS que suplanta a la DGT | Pago con tarjeta en una web falsa |
| Falso aviso del banco (smishing y vishing) | SMS seguido de una llamada desde un número que parece el del banco | Que confirmes una operación o des códigos de seguridad |
| Fraude del CEO o del proveedor | Correo que parece de un cliente o proveedor real | Que cambies el número de cuenta de pago de una factura |
Señales de alerta para detectarlas
- Urgencia y amenazas: «en 24 horas», «último aviso», «embargo inminente».
- Enlaces sospechosos: acortadores, dominios raros o parecidos al oficial con alguna letra cambiada. Los dominios de la administración terminan en .gob.es.
- Petición de datos de tarjeta para recibir un reembolso. Las devoluciones de Hacienda se hacen por transferencia a la cuenta que indicas en tu declaración.
- Errores de redacción o un tono extraño, aunque cada vez son menos evidentes porque los estafadores también usan IA.
- Remitentes que no cuadran: una dirección de correo genérica o un número de móvil normal.
- Archivos adjuntos inesperados, sobre todo comprimidos o con macros.
Cómo te comunica la administración de verdad
- Las notificaciones electrónicas obligatorias para autónomos y sociedades se depositan en la sede electrónica y en la DEHú. Puedes recibir un aviso por correo, pero ese aviso no lleva enlaces para pagar ni pide datos.
- Para comprobar si tienes algo pendiente, no pinches en el enlace: abre tú el navegador y escribe la dirección de la sede electrónica de la Agencia Tributaria o de la Seguridad Social.
- La Agencia Tributaria publica en su web avisos de seguridad sobre las campañas de suplantación detectadas.
Qué hacer si has pinchado o has dado datos
- Si has dado datos de tarjeta o del banco: llama inmediatamente a tu entidad para bloquear la tarjeta y revisar movimientos.
- Si has escrito una contraseña: cámbiala en ese servicio y en cualquier otro donde la repitas. Activa la verificación en dos pasos.
- Si has descargado un archivo: desconecta el equipo de internet y analízalo con un antivirus actualizado.
- Pide ayuda gratuita y confidencial en el 017, la Línea de Ayuda en Ciberseguridad de INCIBE.
- Denuncia ante la Policía Nacional o la Guardia Civil, aportando capturas, números y enlaces. Lo necesitarás para reclamar al banco.
- Si te han cambiado la cuenta de pago de un proveedor, avisa a tu banco para intentar recuperar la transferencia cuanto antes.
Cómo proteger tu negocio
- Activa la verificación en dos pasos en el correo, el banco y las redes sociales.
- Usa un gestor de contraseñas y una contraseña distinta para cada servicio.
- Mantén actualizados el sistema operativo, el navegador y el antivirus.
- Establece una regla con proveedores: nunca cambies un número de cuenta solo porque lo pida un correo; confírmalo por teléfono con un número que ya tengas.
- Haz copias de seguridad periódicas de tus facturas y documentos.
- Configura alertas de movimientos en tu banca online.
Preguntas frecuentes
¿Hacienda manda SMS?
La Agencia Tributaria puede enviar SMS informativos, por ejemplo durante la campaña de la renta, pero no incluyen enlaces para pagar ni piden datos bancarios.
¿El banco me puede devolver el dinero?
Depende del caso. Si no autorizaste la operación, tienes derecho a reclamar. Denuncia rápido y presenta la reclamación por escrito a tu entidad.
¿Dónde puedo comprobar si un mensaje es una estafa conocida?
En los avisos de seguridad de la Agencia Tributaria y de INCIBE, que publican las campañas detectadas.
Sigue leyendo
- Ciberseguridad para autónomos: guía básica en 10 pasos (guía principal)
- Textos legales de una web: aviso legal, privacidad y cookies explicados para autónomos
- Qué hacer si te hackean el correo, las redes o la web del negocio: plan de 24 horas
Fuentes oficiales
- INCIBE: Línea de Ayuda en Ciberseguridad 017
- Agencia Tributaria: avisos de seguridad
- Dirección Electrónica Habilitada única (DEHú)
Aviso: contenido informativo para prevenir fraudes. Ante cualquier duda sobre un mensaje, contacta con el organismo o tu banco por sus canales oficiales.
