La campaña de la Renta 2025 ya está en marcha y, como cada año, no solo marca el momento en el que millones de contribuyentes en España deben rendir cuentas con la Agencia Tributaria, sino también el inicio de una de las épocas más activas para los ciberdelincuentes. Con un plazo abierto hasta el próximo 30 de junio, el proceso de declaración se convierte en un escenario especialmente sensible en el que los fraudes digitales se multiplican y se refinan.
En este contexto, expertos en ciberseguridad alertan de un aumento significativo de intentos de estafa coincidiendo con el arranque oficial de la campaña, iniciado el pasado 8 de abril. Entre ellos, destaca la compañía Prosegur Cybersecurity, que ha detectado no solo un incremento en el volumen de ataques, sino también una mayor sofisticación en las técnicas empleadas por los ciberdelincuentes.
Un objetivo masivo: 25 millones de contribuyentes
La magnitud de la campaña fiscal convierte este periodo en uno de los más atractivos del año para los estafadores. Según los especialistas de Prosegur Cybersecurity, cerca de 25 millones de personas están llamadas a presentar su declaración de la renta, lo que genera un entorno perfecto para la suplantación de identidad y el envío masivo de comunicaciones fraudulentas.
El principal objetivo de estos ataques es obtener datos personales, credenciales de acceso a plataformas oficiales e información bancaria que permita a los delincuentes acceder a cuentas o realizar operaciones fraudulentas. La mayoría de las campañas detectadas se basan en la suplantación de la Agencia Tributaria, utilizando correos electrónicos y mensajes SMS que aparentan ser comunicaciones legítimas.
Estos mensajes suelen incluir asuntos sensibles para el contribuyente, como supuestas devoluciones pendientes, incidencias en la declaración o solicitudes urgentes de documentación. El objetivo es generar una sensación de urgencia o preocupación que lleve al usuario a actuar sin comprobar la autenticidad del mensaje.
En muchos casos, el contenido dirige a enlaces que conducen a páginas web fraudulentas que imitan con gran precisión la sede electrónica oficial. Estas páginas solicitan datos personales, como el DNI, el certificado digital o las credenciales del sistema Cl@ve, que posteriormente son capturados por los atacantes.
Phishing, smishing y páginas clonadas: las técnicas más extendidas
Los métodos más comunes durante esta campaña son el phishing (fraudes a través de correo electrónico) y el smishing (fraudes mediante SMS). En el caso del primero, los mensajes suelen reproducir logotipos, tipografías y estructuras similares a las de organismos públicos, lo que aumenta su credibilidad. Por su parte, el smishing aprovecha la inmediatez del teléfono móvil para provocar una reacción rápida, sin tiempo para reflexionar.
A esto se suman las páginas web clonadas, diseñadas para replicar con detalle la apariencia de los portales oficiales. Una vez dentro, el usuario cree estar accediendo a la sede electrónica, cuando en realidad está introduciendo sus datos directamente en manos de los ciberdelincuentes.
Otra de las amenazas detectadas durante esta campaña es la distribución de malware a través de archivos adjuntos que simulan ser documentos relacionados con la declaración de la renta. Estos archivos pueden incluir desde supuestos justificantes fiscales hasta notificaciones oficiales. Sin embargo, al abrirlos, el usuario puede instalar sin saberlo troyanos bancarios o programas maliciosos diseñados para tomar el control del dispositivo, robar contraseñas o monitorizar la actividad del usuario.
Además, el uso de la inteligencia artificial (IA) por parte de los ciberdelincuentes permite automatizar campañas de fraude a gran escala, personalizar mensajes y adaptarlos a distintos perfiles de contribuyentes. Esto significa que los ataques no solo son más numerosos, sino también más creíbles. Los mensajes pueden estar redactados de forma más natural, con menos errores y con un tono adaptado al perfil del receptor, lo que dificulta su detección.
Cómo protegerse
Ante este escenario, los expertos recomiendan extremar las precauciones durante todo el periodo de la campaña fiscal. La primera medida fundamental es acceder siempre a los servicios de la Agencia Tributaria introduciendo manualmente la dirección oficial en el navegador, evitando hacerlo a través de enlaces recibidos por correo electrónico o SMS.
También se aconseja no proporcionar nunca credenciales personales, códigos de verificación o datos bancarios a través de enlaces no verificados. La Agencia Tributaria nunca solicita este tipo de información por vías no oficiales. Además, es importante mantener los dispositivos actualizados, contar con sistemas de seguridad activos y evitar conectarse a redes WiFi públicas o inseguras al realizar trámites fiscales.
Por último, los especialistas recomiendan no abrir archivos adjuntos procedentes de remitentes desconocidos o sospechosos, incluso si aparentan ser documentos oficiales relacionados con la declaración.