Campaña de SMS fraudulentos que suplantan a la Agencia Tributaria

Se detectan SMS que suplantan (smishing) a la Agencia Tributaria. El objetivo es que el receptor acceda a un enlace que le redirige a una página fraudulenta de aspecto similar a la legítima para sustraer los datos de su tarjeta bancaria. Hay otra variante de SMS con un mensaje que indica que el usuario tiene derecho a una devolución.

Se ha detectado una campaña de envíos de SMS que, como los anteriores, suplantan a la Agencia Tributaria. En este caso utilizan como gancho que el usuario tiene derecho a una devolución de 471€. Igualmente se incluye un enlace acortado para que el receptor acceda a la supuesta devolución. El enlace redirige a la misma página falsa que en la campaña anterior, en la que se le solicitan datos bancarios para abonar dicha cantidad.

Se han detectado SMS que suplantan a la Agencia Tributaria en los que, con la excusa de recibir un reembolso de 71€, se insta al receptor del SMS a hacer clic en un enlace que redirige a una página falsa, en la que se le solicitan datos bancarios para abonar dicha cantidad.

La página fraudulenta tiene un diseño muy parecido al de la legítima, por lo que no hace sospechar al receptor de encontrarse ante una web fraudulenta. La forma de comprobarlo es revisando la URL de la web, que no se trata del dominio legítimo, sino de uno que trata de simularlo.

Si el usuario introduce sus datos bancarios, estos pasarán a manos de los ciberdelincuentes.

Solución

Si ya has accedido al enlace y has dado tus datos para recibir el reembolso, siguiendo sus indicaciones, procede de la siguiente forma:

1. Contacta lo antes posible con tu entidad bancaria para informarles de lo sucedido y cancelar posibles transacciones que se hayan podido efectuar.
2. Si has facilitado también datos personales, como el número de teléfono o el correo, permanece atento y revisa para comprobar que no seas objeto de otro tipo de fraude por esos medios o que no te suplanten.
3. Por último, siempre puedes denunciar esta situación ante las Fuerzas y Cuerpos de Seguridad del Estado (FCSE).

Evita ser víctima de smishing siguiendo nuestras recomendaciones:

• No abras mensajes de usuarios desconocidos o que no hayas solicitado, elimínalos directamente. No contestes en ningún caso a estos SMS.
• Ten precaución al seguir enlaces, aunque sean de contactos conocidos. Debemos comprobar el enlace siempre, situándonos sobre el para ver si es el de la entidad legítima o usando herramientas para expandirlo si está acortado.
• Si el SMS tiene ficheros adjuntos, será mejor no descargarlos sin comprobar que conocemos al remitente y confirmar que nos lo ha enviado. Si los hemos descargado, debemos utilizar herramientas como VirusTotal antes de ejecutarlos.
• Revisa la página web y sigue estas buenas prácticas y los consejos para navegar seguro (parte I y parte II). Comprueba la URL para ver si se trata de la entidad que esperas y si tienen certificado web. Si no es así, no facilites ningún tipo de información personal: nombre de usuario, contraseña, datos bancarios, etc.
• En caso de duda, consulta directamente con la entidad implicada a través de sus canales oficiales.