Cómo verificar una notificación de Hacienda o la Seguridad Social

"Agencia Tributaria: tiene una devolución pendiente de 342,18 €. Confirme sus datos bancarios aquí." O al revés: "Tiene una deuda pendiente con la Seguridad Social. Evite el embargo regularizándola aquí." Los organismos públicos son un disfraz excelente para el fraude: todo el mundo los conoce, nadie quiere tener problemas con ellos, y sus trámites reales son lo bastante crípticos como para que un mensaje falso parezca plausible.

Estas campañas funcionan en oleadas y repiten el mismo esqueleto que el SMS falso de multa de la DGT y el SMS falso de paquetería: entidad conocida + dinero pendiente (a favor o en contra) + urgencia + enlace. Si aprendes a verificar una, verificas todas.

La regla clave: los organismos no gestionan por enlaces en SMS

Quédate con dos ideas:

1. Hacienda y la Seguridad Social no te piden datos bancarios, claves ni pagos a través de un enlace en un SMS o correo inesperado. Sus gestiones electrónicas pasan por sus sedes electrónicas oficiales, a las que accedes TÚ con tus medios de identificación (Cl@ve, certificado digital, DNIe).
2. Una devolución real no necesita que "confirmes tus datos" desde un enlace. Si Hacienda te va a devolver dinero, lo ingresa en la cuenta que ya consta en tu declaración. No te pide una tarjeta nueva por SMS.

Todo mensaje que te empuje a pulsar un enlace para cobrar, pagar o "regularizar" algo con un organismo es sospechoso por defecto. No porque los organismos no manden nunca comunicaciones, sino porque el enlace como vía de gestión no es su forma de trabajar.

Cómo es el mensaje falso

• La devolución. El gancho más eficaz en campaña de renta (abril-junio): "tiene una devolución pendiente", con un importe concreto y creíble. Te lleva a una web falsa que imita la sede electrónica donde metes tus datos personales y bancarios.
• La deuda o el embargo. "Último aviso antes de embargo", "deuda pendiente con la Seguridad Social". Juega con el miedo en vez de con la ilusión, pero el destino es el mismo: tus datos y tu tarjeta.
• La cita o el trámite. Variantes que piden "confirmar tu cita" o "actualizar tus datos" con enlace. Menos urgentes en apariencia, igual de falsas.
• Dominios parecidos. Enlaces con "aeat", "agenciatributaria", "seg-social" o "sede" más guiones y palabras extra, en dominios que no son los oficiales. Las sedes reales terminan en .gob.es.
• Remitente que no prueba nada. Igual que en todos los SMS: el remitente se falsifica y no demuestra ni desmiente nada.

Cómo comprobar si hay algo real

El método es el de siempre: cerrar el mensaje y entrar tú al canal oficial. Con organismos públicos es aún más claro porque los canales oficiales son únicos y conocidos:

1. No pulses el enlace. Ciérralo.
2. Entra tú a la sede oficial. Escribe la dirección en el navegador (sede.agenciatributaria.gob.es, sede.seg-social.gob.es) o usa sus apps oficiales. No llegues por el enlace del mensaje ni por un buscador con prisa.
3. Identifícate con Cl@ve o certificado y consulta. Si hay una devolución, una deuda, un expediente o una notificación, aparecerá ahí. Si no aparece nada, el mensaje era falso.
4. Si no te manejas con la sede electrónica, llama a los teléfonos oficiales de información (buscados por ti en la web oficial, no en el mensaje) o pide cita presencial.

Si existe algo real, lo gestionas dentro de la sede oficial. Jamás a través del enlace de un mensaje. Es exactamente el mismo hábito que recomendamos para verificar una llamada o SMS de tu banco.

Qué hacer si ya pulsaste o diste datos

• Solo pulsaste y cerraste: casi seguro que no ha pasado nada. Bloquea, borra y sigue.
• Metiste datos de la tarjeta: llama a tu banco ya, bloquea la tarjeta y pide una nueva. Vigila los cargos de las semanas siguientes.
• Metiste Cl@ve, usuario o contraseña de la sede: cambia la contraseña cuanto antes desde la sede oficial y revisa si hay trámites o domiciliaciones que no reconozcas. Si diste el PIN de Cl@ve permanente, renuévalo.
• Denuncia con capturas del mensaje y del enlace. El 017 de INCIBE orienta gratis.
• Reporta el número remitente en el directorio de números spam.

Preguntas rápidas

¿Hacienda avisa por SMS de verdad alguna vez? Hacienda puede enviar avisos informativos (por ejemplo, que tienes una notificación disponible en la sede), pero el aviso real te remite a que entres TÚ a la sede electrónica, no te mete un enlace de gestión ni te pide datos en el propio mensaje. Ante la duda, trátalo como no verificado y comprueba en la sede.

¿Y la Seguridad Social? Lo mismo: comunicaciones informativas sí, gestión por enlace en un mensaje inesperado no. El sistema de notificaciones electrónicas (DEHú) funciona entrando tú al portal, no pulsando enlaces que te llegan.

¿En campaña de renta son más peligrosos? Sí, porque el contexto ayuda al estafador: todo el mundo está pendiente de su declaración y una "devolución pendiente" encaja. En abril, mayo y junio, desconfía el doble de cualquier mensaje tributario con enlace.

¿El correo electrónico con el logo oficial es más fiable que el SMS? No. El logo se copia en un minuto y el remitente del correo también se falsifica. Aplica la misma regla: nada de enlaces entrantes, entra tú a la sede.

Si te ha llegado uno de estos mensajes, repórtalo en el directorio de números de NoCall: estas campañas rotan el disfraz según la temporada, y tu reporte ayuda a que la próxima persona reconozca el patrón a tiempo.