Campañas de la Renta

A finales de septiembre, el Incibe detectó una campaña de smishing en la que, mediante SMS, se solicitaban imágenes del DNI y de una nómina reciente, suplantando la identidad de la Agencia Tributaria para solucionar una incidencia en la declaración de la renta. 

En ese caso, el mensaje, con errores ortográficos, alertaba de una sanción de más de 1.000 euros e incluía un enlace que redirigía a una web maliciosa, de apariencia similar a la de la Agencia Tributaria, para proporcionar los datos solicitados. 

[Así funciona el engaño de la falsa Agencia Tributaria que devuelve dinero de la declaración de la Renta]

Desde Incibe aconsejan bloquear y eliminar este tipo de mensajes. Si por el contrario el ciudadano ya ha accedido e, incluso, ha adjuntado su documentación, Incibe recomienda realizar capturas de pantalla y guardar todas las evidencias del posible fraude.

También insiste en reportar el fraude a Incibe y denunciar ante las Fuerzas y Cuerpos de Seguridad del Estado, además de avisar al organismo al que se le está suplantando la identidad.

Fuentes de la Agencia Tributaria señalan a EL ESPAÑOL-Invertia que este tipo de ataques son más frecuentas en campañas concretas, como la de la renta, "por la cantidad de gente que en esa época utiliza estos servicios".

Del mismo modo, se detecta un aumento en los meses posteriores, cuando los contribuyentes están esperando la devolución.

[Un juez condena a un banco a devolver 5.800 euros a una víctima de 'phishing' y pide que se refuercen los controles]

El número de los ataques es, de nuevo, difícil de cuantificar "porque muchas veces un caso se replica con pequeños cambios de URL", agregan.

En su web, la Agencia Tributaria cuenta con información al respecto y un formulario para informar de estos posibles fraudes.

SEPE

El Servicio Público de Empleo Estatal (SEPE) tampoco escapa de estas ciberamenazadas. Este organismo también reporta cierta frecuencia en el envío de comunicaciones en la que se suplanta su identidad con el objetivo de engañar o robar información al destinatario. 

En el SEPE, recalcan que nunca pedirán datos personales o bancarios por SMS, correo electrónico o Whatsapp, y recomiendan a borrarlos en caso de recibirlos, así como no acceder a los enlaces ni descargar ficheros adjuntos. 

Si el receptor ha experimentado alguno de esos fraudes, recomiendan llamar al 017, el número de asesoramiento del Incibe. 

Además, en el Ministerio de Trabajo y Economía Social están reforzando "la formación en seguridad informática en general y el phising en particular, con recordatorios periódicos y acciones" en su intranet.

[Cuidado con este mensaje del SEPE: es una campaña de phishing para robar tus datos vía SMS y WhatsApp]

Entre sus actividades para prevenir estos fraudes también están los simulacros para evaluar cómo responden sus gestores ante estas situaciones y detectar eventuales debilidades, como explican desde Trabajo a este periódico.

El refuerzo no sólo se ha dado en la formación de su personal, sino también desde el punto de vista técnico, con un sistema de correo configurado con "mecanismos de autenticación que contrarrestan la suplantación de identidad del correo y el phising".

En Trabajo, también mandan un mensaje de tranquilidad hacia la ciudadanía. "Nuestro equipo de seguridad está pendiente de posibles casos relacionados con prestaciones por desempleo, formación para el empleo y otras gestiones relacionadas con nuestro ámbito, que también nos llegan mediante la atención presencial en las oficinas y por las redes sociales", comentan estas fuentes.

Ante posibles casos, siempre informan a través de las redes sociales, donde también recuerdan las pautas esenciales en las comunicaciones del SEPE. 

Seguridad Social

Otro organismo público en contacto con el ciudadano es la Seguridad Social, de la que dependen prestaciones como la pensión o el Ingreso Mínimo Vital (IMV)

En esta cartera, aseguran que tanto el phising como otros casos de fraudes "no son cosas habituales", aunque en el caso de detectarlos, "la Tesorería tiene una sección que trabaja conjuntamente con la Policía". 

En la Seguridad Social carecen de datos concretos sobre este tipo de ataques y, como el resto de organismos, recurren a las redes sociales para informar a la ciudadanía. 

No obstante, también se ha visto expuesta a este tipo de suplantaciones de identidad, en la que los atacantes buscan hacerse con los datos personales o bancarios de los beneficiarios. 

['Phising', 'vishing', 'smishing'... ¿Conoces los timos digitales que van a por tu dinero?]

Pese a la similitud de las páginas web fraudulentas con las de los organismos suplantados, los expertos dan algunas pistas que pueden ayudar a diferenciarlas, como el lenguaje utilizado, la presencia de faltas de ortografía, observar la atención del remitente o verificar los enlaces. 

En caso de duda, el usuario debe consultar siempre a la propia empresa o administración que supuestamente se ha puesto en contacto, así como verificar con la Policía Nacional o con la Oficina de Seguridad del Internauta (OSI), dependiente del Instituto Nacional de Ciberseguridad (Incibe). El teléfono de atención es el 017 y está disponible de 9:00 a 21:00 todos los días de la semana.