Un martes de julio, con la declaración presentada hace semanas, le llega un SMS que anuncia una devolución pendiente a su nombre y un enlace para cobrarla antes de que caduque. Quien lo envía comete un delito de estafa del artículo 248 del Código Penal, porque la Agencia Tributaria, que es el organismo suplantado, ingresa las devoluciones por transferencia en la cuenta que consta en la propia declaración y no pide confirmar nada a través de un enlace. El mensaje forma parte de una campaña que se repite cada año con dos picos, el de la campaña de la renta entre abril y junio y el de las devoluciones entre julio y diciembre, y el daño que produce adopta dos formas distintas, el cargo en la tarjeta o en la cuenta y el uso posterior de los datos que usted entregó.
Cómo se reconoce el mensaje
El patrón es estable aunque cambie la redacción. Un SMS o un correo que dice venir de la Agencia Tributaria, de Hacienda o de un ministerio comunica que tiene una devolución pendiente, que su declaración ha sido tramitada o que hay un reembolso retenido, y remite a un enlace para cobrarlo. El enlace lleva a una página que imita la sede electrónica y pide, según la versión, sus datos identificativos, el número completo de la tarjeta con la fecha de caducidad y el código de seguridad, o las claves de acceso a la banca en línea. En algunas variantes se pide además el código que el banco envía por SMS para validar operaciones, y ese dato es el que convierte el robo de datos en dinero.
Hay señales que no fallan. El dominio del enlace no es el de la sede electrónica oficial, que termina en agenciatributaria.gob.es, aunque el texto visible del enlace lo disimule con guiones o con dominios parecidos. El mensaje no le identifica con su nombre ni con su NIF, o lo hace con datos que se obtienen de cualquier filtración. Fija un plazo de horas o de días para cobrar. Pide datos de tarjeta, que la Agencia Tributaria no maneja para devolver dinero a nadie. Y a menudo llega en fechas en las que usted, si ha presentado la declaración, está efectivamente esperando una devolución, y eso explica por qué funciona.
Por qué parece real
La suplantación se apoya en cosas que el estafador no tiene que inventar. La devolución existe o puede existir, porque la mayoría de las declaraciones con resultado a devolver se cobran en esos meses. El remitente del SMS se puede falsear, de modo que el mensaje aparece con un nombre que parece oficial o incluso en el mismo hilo que otros mensajes legítimos. La página falsa copia el diseño, los logotipos y el lenguaje administrativo de la sede electrónica, y en la pantalla del móvil la dirección apenas se ve. Nada de eso exige conocimientos técnicos especiales, los kits para montar estas páginas se compran hechos, y por eso las campañas vuelven con cada temporada fiscal.
Lo que la Agencia Tributaria no hace nunca
Sirve de regla porque no tiene excepciones. La Agencia Tributaria no envía SMS ni correos con enlaces para cobrar una devolución, no pide datos de tarjeta ni claves bancarias por ningún canal, y no cobra tasas ni gastos de gestión para liberar un reembolso. Las devoluciones se ingresan por transferencia en la cuenta que usted indicó en la declaración. Cuando la Agencia necesita comunicarle algo, lo hace mediante notificación formal en su sede electrónica, por la Dirección Electrónica Habilitada o por correo postal, con acceso mediante certificado, Cl@ve o los sistemas de identificación oficiales. Una sanción, un requerimiento o una devolución retenida no se notifican por SMS con enlace de pago. La propia sede electrónica publica avisos de seguridad y una relación de los SMS y correos fraudulentos detectados, y el estado de su devolución se consulta allí, entrando usted por sus propios medios y no a través de ningún enlace recibido.
Qué delito es y qué se puede recuperar
El envío del mensaje y la página falsa constituyen un delito de estafa del artículo 248 del Código Penal, castigado con prisión de seis meses a tres años cuando lo defraudado supera los 400 euros y con multa cuando no llega a esa cifra, que es el umbral que separa el delito del delito leve. Da igual que el dinero se haya obtenido mediante un cargo con los datos de su tarjeta o mediante un pago que usted mismo ordenó creyendo que abonaba una tasa, en los dos casos hay engaño bastante, acto de disposición y perjuicio. Que quien engaña se haga pasar por una Administración pública no atenúa nada, es precisamente el mecanismo del engaño. El número de víctimas y la organización que hay detrás de estas campañas permiten penas superiores en los supuestos agravados, pero la práctica es que los autores están fuera de España y que la causa penal, por sí sola, rara vez devuelve el dinero.
Por eso la recuperación se juega en otro terreno, y aquí hay una distinción que decide todo lo demás. Si con los datos que le sacaron alguien ha hecho cargos en su tarjeta o transferencias desde su cuenta sin que usted los ordenara, se trata de operaciones no autorizadas, y la normativa de servicios de pago impone al banco la obligación de devolverlas. Si fue usted quien tecleó la tarjeta en la web falsa y autorizó un pago, aunque fuera una cantidad pequeña presentada como tasa de gestión, el pago es formalmente autorizado y el banco no lo devuelve por esa vía, sin perjuicio de que pueda solicitarse la retrocesión del cargo a través del sistema de la tarjeta por tratarse de un comercio fraudulento, y de la acción penal y civil contra el estafador. En el primer caso el banco suele oponer que fue usted quien facilitó los datos, y que ese argumento prospere o no depende de cómo se plantee la reclamación, con qué documentación y en qué momento. Ese trabajo lo hacemos nosotros en el despacho, dentro del área de delitos informáticos, y en este artículo sobre ciberestafas explico con más detalle qué está obligado a devolver el banco.
Qué hacer ahora mismo
Las primeras horas valen más que las semanas siguientes. Si ha introducido datos de tarjeta, llame a su banco al teléfono que figura en el reverso de la tarjeta o en la aplicación, nunca a un número que aparezca en el mensaje, y bloquéela. Si ha introducido claves de banca en línea, cámbielas desde un dispositivo distinto y revise los movimientos, incluidos los pendientes de contabilizar. Si ha facilitado el código de validación que le llegó por SMS, dé por hecho que hay una operación en curso y actúe con esa urgencia.
No borre el mensaje. Guarde una captura completa en la que se vean el remitente, la fecha, la hora y el enlace, y copie la dirección del enlace en un lugar aparte, porque la página falsa suele desaparecer en pocos días y sin ella es más difícil demostrar el engaño. Guarde también los avisos de cargos, las notificaciones de la aplicación del banco y cualquier comunicación posterior de los estafadores, que a veces vuelven a llamar haciéndose pasar por el propio banco para «anular» la operación. Esa segunda llamada es parte de la misma estafa y busca el código que les falta.
Denuncie cuanto antes. Puede hacerlo en cualquier comisaría de la Policía Nacional, en un puesto de la Guardia Civil o en el juzgado de guardia, en la localidad donde usted vive, aunque el dinero haya salido hacia una cuenta en otro país. La denuncia no es un requisito legal para que el banco devuelva una operación no autorizada, pero en la práctica el banco la pide, y es la pieza que permite rastrear el destino del dinero y bloquear la cuenta receptora si se llega a tiempo. El delito no se pierde por esperar unos días, la prueba y la posibilidad de retener el dinero sí se pierden.
Si ya pagó o dio sus datos
Lo que puede conseguir depende de lo que haya ocurrido, y conviene separar los escenarios porque se confunden con facilidad.
| Lo que ocurrió | Riesgo principal | Qué se puede plantear |
|---|---|---|
| Solo abrió el enlace, sin escribir nada | Bajo, salvo que se descargara algo en el teléfono | Revisar el dispositivo y vigilar las cuentas, sin más gestiones |
| Escribió datos personales, sin tarjeta ni claves | Uso posterior de su identidad, contratos y préstamos a su nombre | Denuncia preventiva y control de los ficheros de solvencia |
| Le hicieron cargos o transferencias que usted no ordenó | Pérdida directa del saldo o del límite de la tarjeta | Devolución por el banco como operación no autorizada |
| Usted pagó una supuesta tasa con la tarjeta en la web falsa | Cargo autorizado bajo engaño, el banco no lo devuelve por sí solo | Retrocesión del cargo por comercio fraudulento y acción contra el estafador |
| Instaló una aplicación o le duplicaron la SIM | Control remoto del teléfono y de los códigos de validación | Bloqueo inmediato con la operadora y el banco, y reclamación posterior por las operaciones |
El escenario de los datos personales sin dinero de por medio es el que más se descuida. Con nombre, NIF, fecha de nacimiento, domicilio y una foto del documento, que algunas páginas falsas piden con la excusa de verificar la identidad, se contratan líneas telefónicas, se solicitan microcréditos y se abren cuentas. Cuando eso ocurre, la regla es sencilla de enunciar, usted no ha contratado nada y no debe nada, y es la entidad que concedió el crédito la que tiene que demostrar que fue usted quien lo pidió. Sacar a alguien de un fichero de morosos en el que le han metido por una deuda ajena y detener las reclamaciones de las financieras lleva tiempo, y de eso nos ocupamos nosotros para que usted no tenga que discutir con cada una.
La duplicación de la tarjeta SIM y las aplicaciones de control remoto cambian la naturaleza del problema. Si su teléfono se queda sin cobertura de forma repentina, alguien puede haber obtenido un duplicado de su SIM en la operadora y estar recibiendo los códigos de validación de su banco. Si instaló una aplicación desde el enlace, esa aplicación puede leer los SMS y manejar la banca en línea. En los dos casos las operaciones que se hagan son no autorizadas, aunque hayan pasado los controles del banco, y en los dos casos hay que cortar primero el acceso y reclamar después.
Su declaración de la renta real no se ve afectada por la estafa. La devolución que le corresponda seguirá su curso y se ingresará en la cuenta que consta en la declaración, salvo que alguien haya accedido a su expediente con sus credenciales y haya modificado la cuenta de abono, cosa que puede comprobar entrando en la sede electrónica por sus propios medios. Comunicarlo a la Agencia Tributaria no es obligatorio y no le devuelve el dinero, pero si introdujo las claves de acceso a la sede conviene renovarlas y revisar el expediente. En cuanto a la operadora y a la propia Agencia, ninguna de las dos responde del daño por el hecho de que el SMS haya llegado, la Agencia es la suplantada y la operadora ha transportado un mensaje cuyo remitente se puede falsear.
Cuando la causa penal se archiva porque no se identifica al autor, que es lo habitual, la reclamación frente al banco no se cierra con ella. Son vías independientes, y en esta entrada sobre el phishing explico por qué el archivo de la denuncia no le quita la razón frente a su entidad.
Lo que se juega si lo gestiona solo
El riesgo concreto de reclamar por su cuenta está en el primer escrito. Un formulario del banco rellenado con prisa en el que usted describe que «introdujo los datos en la página» se convierte en el argumento con el que la entidad rechaza la devolución, y una vez aceptado ese primer no, revertirlo cuesta más que haberlo planteado bien desde el principio. En un caso así reunimos la prueba del engaño y de las operaciones, planteamos la reclamación frente al banco o frente a las financieras que han dado crédito a su nombre, y si no devuelven llevamos el asunto a los tribunales en paralelo con la denuncia penal. Puede llamarnos al +34 677 841 007 o escribirnos desde la página de contacto. Tenga preparado, para esa primera llamada, la captura del mensaje con remitente, fecha y hora, la dirección del enlace, el extracto con los cargos y la hora de cada uno, la lista de datos que introdujo en la página, la respuesta del banco si ya la tiene y la copia de la denuncia si ya la presentó.
Preguntas frecuentes
Solo pinché el enlace pero no escribí nada, ¿tengo que hacer algo?
Abrir la página no entrega al estafador sus datos bancarios, así que el riesgo económico es bajo. Compruebe que no se ha instalado ninguna aplicación nueva en el teléfono ni se ha descargado ningún archivo, y si ha ocurrido, elimínelo o restaure el dispositivo antes de volver a usar la banca en línea. Vigile los movimientos de sus cuentas durante las semanas siguientes. No hace falta denunciar ni contratar a nadie por un simple clic.
¿Es obligatorio denunciar en la Policía para que el banco me devuelva el dinero?
La normativa de servicios de pago no exige la denuncia como condición para devolver una operación no autorizada, pero los bancos la piden de forma sistemática y sin ella la reclamación arranca peor. Además, la denuncia es la única forma de que se intente rastrear y bloquear el dinero. Puede denunciar en cualquier comisaría de la Policía Nacional, puesto de la Guardia Civil o juzgado de guardia de la localidad donde vive, llevando las capturas del mensaje, la dirección del enlace y el extracto con los cargos.
¿Tengo que avisar a Hacienda de que me han estafado con un SMS falso?
No es obligatorio y no afecta a su declaración, que sigue su curso y se cobra en la cuenta que usted indicó. Sí conviene entrar por sus propios medios en la sede electrónica de la Agencia Tributaria para comprobar que nadie ha cambiado la cuenta de abono, y renovar sus claves si las introdujo en la página falsa. La Agencia Tributaria es el organismo suplantado y no responde del dinero perdido.
¿Me compensa reclamar con abogado o lo dejo estar?
Depende del importe y de lo que haya pasado. Si el cargo es de unas decenas de euros y el banco ya se lo ha devuelto, no le compensa contratar a nadie y basta con denunciar. Si hay cargos o transferencias de importe relevante, si el banco le ha contestado que la culpa es suya, si han abierto créditos a su nombre o si le han duplicado la SIM, sí compensa, porque la diferencia entre recuperar el dinero o no recuperarlo está en cómo se plantea la reclamación y en no aceptar la primera negativa. Reclamar por su cuenta suele acabar en una carta del banco que atribuye la operación a su descuido, y revertir eso después es más difícil que plantearlo bien desde el principio.