Las estafas por la declaración de la renta vuelven en primavera como el turrón por Navidad. Desde que la Agencia Tributaria española abre el plazo para que los ciudadanos ajustemos el pago de impuestos por IRPF, las campañas de malware (spam, phishing, ransomware…) o directamente las estafas, experimentan una subida enorme. Es sabido que los ciberdelincuentes aprovechan cualquier evento para desplegar sus campañas maliciosas, por lo que te recomendamos extremes la precaución.

Especialmente preocupantes son las campañas de phishing dirigidas a contribuyentes e instituciones financieras. Según un estudio de Proofpoint, desde comienzos de 2026 se han documentado más de 100 campañas temáticas activas de phishing sobre impuestos, lo que supone un importante incremento, tanto en volumen como en variedad, en comparación con años anteriores.

Las campañas de phishing identificadas se están enfocando sobre todo en dos líneas principales: la suplantación de las autoridades fiscales, con cebos relacionados con documentos caducados, reembolsos pendientes o verificaciones de cuentas; y las dirigidas directamente a instituciones financieras, clientes de bancos y proveedores de servicios financieros. El problema es que estas campañas no están centradas en un único mercado, sino que se ejecutan de forma paralela en varias regiones al mismo tiempo, ajustando los cebos y los kits de phishing a las entidades y los periodos de declaración locales.

Las estafas por la declaración de la renta se repiten en patrones muy claros desde hace años. Los más habituales son los correos electrónicos y SMS que suplantan a la Agencia Tributaria (phishing y smishing), avisando de supuestas devoluciones pendientes o incidencias urgentes en la declaración. Suelen contener «enlaces a webs falsas muy bien diseñadas o malware». Además, la inteligencia artificial permite crear mensajes «mucho más creíbles, sin errores y altamente personalizados, incluso adaptados al contexto fiscal de cada país», explican desde Barracuda Networks.

Cómo prevenir las estafas por la declaración de la renta

La mayoría de los ataques llegarán vía phishing. La suplantación de identidad del organismo o empresa por el que se hacen pasar está cada vez más lograda, con imitaciones realmente bien conseguidas y en los últimos tiempos se está apoyando en las capacidades de la IA. El contenido de estos mensajes ha aumentado considerablemente en relevancia y autenticidad, lo que los hace más efectivos y difíciles de detectar.

Sin embargo, la gran mayoría son detectables prestando la necesaria atención y una serie de consejos generales que son extensivos para mejorar la seguridad personal en época de declaración de la renta o en cualquiera:

• Nunca compartas tus contraseñas con nadie a través de ningún medio de Internet. Ningún organismo oficial o empresa va a solicitar datos confidenciales por correo electrónico o SMS.
• Cuidado especial con las compañías financieras. Nunca; nunca, nunca entregues tus datos bancarios a nadie. Ni Hacienda, ni bancos, ni operadoras. Ni a tu -supuesta- madre…
• No abras ningún enlace que hayas recibido de la supuesta agencia o banco.
• No abras correos de usuarios/empresas desconocidos o que no hayas solicitado, elimínalos directamente.
• Cuidado especial de los mensajes recibidos por redes sociales. También por correo electrónico y mensajería, vías preferentes de difusión de estafas por la declaración de la renta.
• No descargues ningún archivo adjunto de este tipo de mensajes, incluso de conocidos. Es probable que incluya un troyano, generalmente bancario.
• Si recibes un mensaje de tu banco o cualquier organismo, busca asistencia a través de su página web, oficina física y en general, siempre páginas oficiales.
• Entra siempre a las páginas web por las URLs oficiales, especialmente en banca electrónica. Estarán protegidas con HTTPS y tendrán el certificado de seguridad correspondiente.
• Desconfía de cualquier correo que te redireccione a otras páginas web.
• Cuidado especial con las URLs acortadas, suele ser un mecanismo que utilizan los estafadores para enmascarar los links maliciosos.
• Comprueba el remitente del comunicado. En el caso de Hacienda, @agenciatributaria.es y @correo.aeat.es.

Finalmente, aumenta tu nivel general de seguridad informática, con atención a los apartados principales de cualquier manual de ciberseguridad: uso de contraseñas fuertes; software actualizado; prudencia en la navegación por determinados sitios web; cuidado con los archivos descargados; uso de autenticaciones de doble factor 2FA y mucho, mucho sentido común.