La campaña de la Renta 2024 se encuentra activa desde hace semanas. Hacienda llama, como cada año, a millones de contribuyentes para presentar su declaración. Desde hace años, este trámite se puede realizar cómodamente en los canales online habilitados por la Administración. Además de Renta Web, cabe la posibilidad de hacer la operación o simulación por la app de la AET.

Pero al tratarse de canales, siempre hay que ir con pies de plomo al respecto de la ciberseguridad. Ya lo vimos en el arranque de temporada de vacaciones y Semana Santa. Ahora el momento caliente es la campaña de la Renta 2024, la cual no está exenta de fraudes o estafas para los contribuyentes. Ajenas a Hacienda, webs fraudulentas y otros métodos de los hackers pueden crearnos un agujero en nuestras finanzas personales.

Josep Albors, director de Investigación y Concienciación de ESET España, advierte que los estafadores ven en momentos como la Renta 2024 una situación muy clara para afinar sus estrategias y llevar a cabo estafas a la población de forma indiscriminada. «Es un momento crucial para estar alerta y proteger nuestra información financiera de los intentos de fraude que buscan aprovecharse de la temporada de declaración de impuestos“, sostiene el experto.

Renta 2024: los métodos más habituales para las estafas

Por este motivo, ESET, la compañía líder en ciberseguridad, recuerda la importancia de aprender a reconocer cuáles son las trampas que nos preparan los delincuentes para evitar caer en ellas:

Webs que no son lo que parecen

Los ciberdelincuentes continúan utilizando webs maliciosas extremadamente similares a las oficiales de la Agencia Tributaria para engañar a los usuarios, haciéndoles creer que están accediendo a sitios legítimos. Este engaño se ha perfeccionado gracias a kits de phishing especializados y accesibles, que permiten incluso a novatos en el ámbito del cibercrimen lanzar campañas maliciosas con facilidad, incrementando tanto el número de estafadores como el de víctimas.

Además, una táctica común de engaño incluye el envío de correos electrónicos que imitan comunicaciones oficiales de la Agencia Tributaria, utilizando direcciones de remitente falsificadas que parecen legítimas, aprovechando técnicas de suplantación de identidad sencillas pero efectivas.

Como en el ejemplo de la imagen anterior, los delincuentes suelen enviar correos electrónicos creíbles y bien redactados que imitan notificaciones administrativas, pero a menudo incluyen enlaces que no corresponden a la web oficial, un detalle que puede ser detectado pasando el cursor sobre el enlace.

A pesar de esto, es importante mantenerse alerta ya que también se registran dominios similares a los oficiales para engañar a las víctimas y convencerlas para que pulsen sobre el enlace proporcionado. Además, el uso de mensajes SMS avisando de reembolsos o problemas con la declaración de la Renta, visto en ejemplo a continuación, se ha convertido en otra táctica común para captar la atención de los usuarios y potencialmente engañarlos.

“La finalidad es la misma que la observada en los correos fraudulentos, y no es otra que conseguir que el usuario haga clic en un enlace para llevarlo a una página falsa que imita a la de la Agencia Tributaria, con el objetivo de recopilar información personal y, en particular, datos de tarjetas de crédito. Con esta información, los delincuentes pueden diseñar campañas más dirigidas o, más comúnmente, buscar un beneficio económico directo mediante el uso fraudulento de las tarjetas de crédito, ya sea realizando cargos o vendiendo los datos a otros criminales”, advierte Albors.

Atención de las descargas: posibles archivos maliciosos

Otro de los métodos usados por los delincuentes apuntados por ESET y que se aprovechan del periodo de la declaración de la Renta está relacionado con la descarga y ejecución de código malicioso en el sistema de la víctima. Para conseguirlo envían emails a particulares y empresas con varios asuntos, aunque siempre suplantando a la Agencia Tributaria y otras agencias estatales. Los correos maliciosos a menudo contienen archivos adjuntos o enlaces que, al ser descargados, instalan malware en el dispositivo. Estos archivos pueden estar comprimidos en diferentes formatos para esquivar las medidas de seguridad que el sistema operativo aplica a descargas de Internet.

“A día de hoy, las soluciones de seguridad suelen detectar sin problema este tipo de archivos, muchas veces relacionados con el robo de información (especialmente credenciales almacenadas en aplicaciones de uso cotidiano) mediante infostealers. No obstante, conviene estar alerta para evitar poner nuestro sistema y la información que contiene en peligro”, recuerda el director de investigación y concienciación de ESET España.

5 consejos para evitar caer en las trampas en la campaña de la Renta 2024

A pesar de que se haya visto una evolución de este tipo de campañas a lo largo de los años, según ESET es perfectamente posible detectarlas si se siguen estos cinco consejos:

1. Desconfiar de cualquier comunicación no solicitada por mucho que parezca provenir de una fuente confiable. Ante la duda, lo ideal es contactar con la administración desde la cual se nos remite este mensaje por los canales oficiales para comprobar su legitimidad.
2. Evitar pulsar sobre los enlaces proporcionados en correos y SMS, así como tampoco descargar ficheros adjuntos hasta asegurarnos de que el mensaje proviene de alguien legítimo y su contenido ha sido clasificado como inofensivo previa confirmación por el supuesto emisor del mensaje.
3. Establecer medidas de autenticación multifactor que eviten el acceso no autorizado a cuentas personales o corporativas en el caso de que nos roben las credenciales.
4. Revisar periódicamente los movimientos realizados en nuestras tarjetas de crédito y cuentas bancarias para detectar posibles fraudes, comunicárselo a nuestra entidad bancaria y denunciarlos para que no vayan a más y tratar de recuperar el dinero sustraído.
5. Utilizar una solución de seguridad tanto para detectar webs de phishing como adjuntos maliciosos, e incluso bloquear en los servidores de correo corporativos estos mensajes fraudulentos, evitando así que lleguen a los buzones de entrada de los usuarios.