SMS de la Agencia Tributaria o la DGT: así es la estafa

Si te ha llegado un SMS que dice "Agencia Tributaria" o "DGT" avisando de una devolución pendiente o una multa por pagar, con un enlace para "confirmar tus datos" o "abonar el importe": es una estafa. Ni la AEAT ni la DGT mandan mensajes de texto con enlaces de pago o formularios para meter datos bancarios. Te explico cómo reconocerlo, qué hacer si ya has pulsado y cómo denunciarlo.

Qué es esta estafa y a quién afecta

Es una campaña de smishing (phishing por SMS) que suplanta a dos organismos con mucha confianza social: la Agencia Estatal de Administración Tributaria (AEAT) y la Dirección General de Tráfico (DGT). El mensaje suele decir algo como "Tienes una devolución de 215,40 € pendiente, confírmala aquí" o "Multa de tráfico sin pagar, evita el recargo entrando en...". El enlace lleva a una web clonada, casi idéntica a la oficial, que pide DNI, número de tarjeta, CVV y código SMS de confirmación.

Afecta sobre todo en campaña de la renta (abril-junio) para el caso de la AEAT, y todo el año para la DGT, con picos coincidiendo con periodos de vacaciones y vuelta de viajes (más multas de tráfico y radares). Los mayores son un objetivo habitual porque suelen tener menos costumbre de comprobar remitentes y enlaces, pero también caen autónomos y particulares que sí esperan una devolución real ese mes.

Cómo detectar el SMS falso

Hay señales que se repiten en casi todas las variantes de esta campaña:

• El remitente es un número de móvil normal o un nombre corto que imita "AEAT" o "DGT", pero no coincide con el remitente oficial que aparece en mensajes previos de la administración (si los has recibido antes).
• El enlace es corto o raro: dominios tipo agenciatributaria-gob.info, dgt-notificaciones.com o similares, nunca .gob.es.
• Te piden confirmar datos bancarios o introducir el número completo de la tarjeta y el CVV, algo que ningún organismo público solicita por SMS.
• Hay urgencia: "el plazo termina hoy", "evita el embargo", "recargo del 20% si no pagas ya".
• Errores de redacción o acentos raros, aunque cada vez las campañas están mejor escritas y esto ya no es garantía de nada.

La regla que no falla: la AEAT y la DGT no notifican devoluciones ni sanciones por SMS con enlace de pago o de "confirmación de datos". Las notificaciones oficiales llegan por carta certificada, por la Dirección Electrónica Habilitada (DEH) en el caso de la AEAT, por la Dirección Electrónica Vial (DEV) en el caso de la DGT, o están disponibles en su Sede Electrónica accediendo tú directamente con Cl@ve o certificado digital.

Paso a paso si te ha llegado el SMS (y no has pulsado)

1. No abras el enlace ni respondas al mensaje.
2. No llames al número que aparezca en el SMS, aunque parezca de atención al ciudadano.
3. Comprueba tu situación real entrando tú mismo, escribiendo la dirección en el navegador: sede.agenciatributaria.gob.es o sede.dgt.gob.es, y accede con Cl@ve, DNIe o certificado digital.
4. Borra el SMS y bloquea el número.
5. Si quieres, reenvía el SMS al 7726 (servicio gratuito de operadoras españolas para reportar SMS fraudulentos) y avisa también a INCIBE.

Qué pasa si ya has pulsado el enlace

Aquí depende de qué llegaste a hacer. Distingue estos escenarios:

Si diste datos de tarjeta o banca

Llama al teléfono de emergencia de tu banco (está en el reverso de la tarjeta o en la app) y pide el bloqueo inmediato. Después, según la normativa de servicios de pago vigente en España (transposición de la directiva PSD2), tienes derecho a reclamar la devolución de cargos no autorizados si no diste tu consentimiento expreso a la operación; el banco debe devolver el importe salvo que demuestre negligencia grave por tu parte. El plazo para reclamar al banco es de 13 meses desde el cargo, pero cuanto antes actúes, mejor: en menos de 24-48 horas hay más margen para frenar la operación antes de que se consuma. Si necesitas el modelo de reclamación, ya tenemos una guía específica sobre cómo reclamar al banco un cargo no autorizado.

Ejemplo real

Marta, de Zaragoza, recibió un SMS de "AEAT" el 3 de mayo avisando de una devolución de 187 €. Pulsó el enlace, metió su DNI y los datos de su tarjeta porque esperaba de verdad la devolución de la renta ese mes. A los veinte minutos, su banco le notificó dos cargos de 340 € y 295 € en un comercio online. Llamó al banco esa misma tarde, bloqueó la tarjeta y presentó la reclamación por cargos no autorizados. El banco le devolvió los 635 € en once días. Después, Marta presentó denuncia en la Policía Nacional y reportó el SMS al 7726.

Cómo denunciarlo

• Reenvía el SMS al 7726 (gratuito, lo gestionan las operadoras españolas contra el fraude por SMS).
• Denuncia en Policía Nacional o Guardia Civil, presencialmente o, si no ha habido pérdida económica, a través de la Sede Electrónica de la Policía.
• Notifica el caso a INCIBE (Instituto Nacional de Ciberseguridad), que también ofrece la Línea de Ayuda en Ciberseguridad 017.
• Si hubo cargo bancario, presenta además la reclamación formal al banco, y si no responde en plazo, puedes escalar al Banco de España.

Errores habituales

• Confiar porque el mensaje llega justo cuando esperabas una devolución real: la coincidencia de fechas (campaña de la renta, por ejemplo) es precisamente lo que buscan los estafadores.
• Llamar al número de teléfono que aparece en el propio SMS para "verificar": ese número también es falso.
• Pensar que como el diseño de la web es idéntico al oficial, es fiable: clonar una web es trivial hoy y no garantiza nada.
• No revisar el dominio completo del enlace, fijándose solo en que "empieza por agenciatributaria" cuando el dominio real es otro distinto por detrás.
• Esperar unos días para actuar tras haber dado datos de tarjeta: cada hora cuenta para frenar cargos posteriores.

Cuándo conviene ayuda profesional

Si has perdido una cantidad relevante, si el banco rechaza la devolución alegando negligencia por tu parte, o si detectas que han abierto algo a tu nombre (una cuenta, un préstamo) con los datos que diste, conviene acudir a un abogado especializado en consumo o a una asociación de consumidores (OCU, FACUA) para reclamar formalmente. También es el momento de plantear una reclamación ante el Banco de España si tu entidad no resuelve en el plazo de dos meses que marca la normativa de reclamaciones.

Nuestra recomendación es clara: trata cualquier SMS con enlace que mencione la AEAT o la DGT como sospechoso por defecto, sin excepción. Ningún organismo público en España pide datos bancarios ni gestiona pagos o devoluciones a través de un enlace en un mensaje de texto. Si tienes dudas sobre si te deben algo o si debes algo, la única vía fiable es entrar tú mismo en la sede electrónica oficial con Cl@ve o certificado digital, nunca a través de un enlace que te han enviado.