Cómo verificar una notificación del SAT o del IMSS

Cómo verificar una notificación del SAT o del IMSS

"SAT: tiene un adeudo fiscal pendiente. Evite el embargo de sus cuentas regularizando su situación aquí." O al revés: "SAT: tiene un saldo a favor de $3,421.80. Confirme sus datos bancarios para recibir su devolución." Y su variante del IMSS: "Tiene un reembolso pendiente. Confirme su cuenta aquí." Las instituciones públicas son un disfraz excelente para el fraude: todo el mundo las conoce, nadie quiere problemas con ellas y sus trámites reales son lo bastante complicados como para que un mensaje falso parezca creíble.

Estas campañas llegan en oleadas y repiten el mismo esqueleto que el SMS falso de multa o fotomulta y el SMS falso de paquetería: entidad conocida + dinero pendiente (a favor o en contra) + urgencia + enlace. Si aprende a verificar una, verifica todas.

La regla clave: el SAT y el IMSS no hacen trámites por enlaces en SMS

Quédese con dos ideas:

1. El SAT y el IMSS no le piden datos bancarios, contraseñas ni pagos a través de un enlace en un SMS o correo inesperado. Sus trámites en línea se hacen en sus portales oficiales, a los que entra USTED con sus propios medios de identificación: en el caso del SAT, su Contraseña o su e.firma, que son justo lo que buscan los fraudes que lo imitan.
2. Una devolución real no necesita que "confirme sus datos" desde un enlace. Si el SAT tiene que devolverle un saldo a favor, el trámite se resuelve dentro de sus sistemas oficiales, no pidiéndole una tarjeta por SMS.

Todo mensaje que lo empuje a abrir un enlace para cobrar, pagar o "regularizar" algo con una institución es sospechoso por defecto. No porque las instituciones nunca manden comunicaciones, sino porque el enlace como vía de trámite no es su forma de trabajar.

Cómo es el mensaje falso

• La devolución. Un anzuelo muy eficaz en temporada de declaraciones: "tiene un saldo a favor pendiente", con un importe concreto y creíble. Lo lleva a una página falsa que imita al portal del SAT, donde usted captura sus datos personales y bancarios.
• El adeudo o el embargo. "Último aviso antes del embargo", "adeudo pendiente con el SAT". Juega con el miedo en lugar de con la ilusión, pero el destino es el mismo: sus datos y su tarjeta.
• El Buzón Tributario o el trámite. Variantes que le piden "revisar su Buzón Tributario", "actualizar sus datos" o "confirmar su cita" desde un enlace. Menos urgentes en apariencia, igual de falsas.
• Los apoyos y pensiones. Mensajes que prometen depositarle la pensión para adultos mayores o una beca de la Secretaría de Bienestar si "actualiza sus datos" en un enlace. Los programas sociales son un pretexto frecuente de fraude.
• Dominios parecidos. Enlaces con "sat", "imss" o "buzon" más guiones y palabras de más, en dominios que no son los oficiales. Los sitios reales del SAT y del IMSS terminan en .gob.mx: sat.gob.mx e imss.gob.mx.
• Un remitente que no prueba nada. Como en todos los SMS: el remitente se falsifica y no demuestra ni desmiente nada.

Cómo comprobar si hay algo real

El método es el de siempre: cerrar el mensaje y entrar usted al canal oficial. Con instituciones públicas es todavía más claro, porque sus canales oficiales son únicos y conocidos:

1. No abra el enlace. Ciérrelo.
2. Entre usted al portal oficial. Escriba la dirección en el navegador (sat.gob.mx, imss.gob.mx) o use sus apps oficiales. No llegue por el enlace del mensaje ni por un buscador con prisa.
3. Identifíquese y consulte. En el SAT, entre con su Contraseña o su e.firma y revise su Buzón Tributario, que es por donde el SAT le notifica formalmente. Si existe un adeudo, una devolución o un requerimiento real, lo encontrará en su buzón o dentro del portal oficial; si no aparece nada, el mensaje era falso. Con el IMSS, haga lo mismo desde su portal o su app oficial. Si trabaja para el Estado, su seguridad social no la lleva el IMSS sino el ISSSTE: aplique la misma regla con sus canales oficiales.
4. Si no se siente cómodo con los portales, llame a los teléfonos oficiales de orientación (que usted mismo busque en la página oficial, no en el mensaje) o pida una cita para acudir en persona.

Si existe algo real, lo resuelve dentro del portal oficial. Jamás a través del enlace de un mensaje. Es exactamente el mismo hábito que recomendamos para verificar una llamada o un SMS de su banco, que encontrará en nuestras guías por situación.

Qué hacer si ya abrió el enlace o dio datos

• Solo abrió y cerró: casi seguro que no pasó nada. Bloquee, borre y siga con su día.
• Capturó los datos de su tarjeta: llame a su banco de inmediato, bloquee la tarjeta y pida una nueva. Vigile los cargos de las semanas siguientes.
• Capturó su Contraseña del SAT: cámbiela cuanto antes desde el portal oficial y revise si hay trámites o movimientos que no reconozca. Si entregó los datos de su e.firma, comuníquese con el SAT por sus canales oficiales lo antes posible para que le indiquen cómo protegerla.
• Denuncie ante la Fiscalía de su estado (Ministerio Público) con capturas del mensaje y del enlace. La Policía Cibernética de su estado también orienta en estos casos; en la Ciudad de México, la de la Secretaría de Seguridad Ciudadana (SSC).
• Reporte el número remitente en el directorio de números spam.

Preguntas rápidas

¿Un aviso del SAT por SMS o correo puede ser real? Puede recibir avisos legítimos, pero un aviso real no le pide datos ni pagos en el propio mensaje: lo que cuenta es lo que vea al entrar USTED al portal del SAT y revisar su Buzón Tributario. Ante la duda, trátelo como no verificado y revise usted su buzón.

¿Y el IMSS? Lo mismo: aunque el mensaje use su logotipo, cualquier trámite real se hace entrando usted al portal oficial del IMSS, no abriendo enlaces que le llegan sin haberlos pedido.

¿En temporada de declaraciones son más peligrosos? Sí, porque el contexto ayuda al estafador: mucha gente está pendiente de su declaración y un "saldo a favor pendiente" encaja. En esas fechas, desconfíe el doble de cualquier mensaje fiscal con enlace.

¿El correo electrónico con el logotipo oficial es más confiable que el SMS? No. El logotipo se copia en un minuto y el remitente del correo también se falsifica. Aplique la misma regla: nada de enlaces entrantes; entre usted al portal.

Si le llegó uno de estos mensajes, repórtelo en el directorio de números de NoCall: estas campañas cambian de disfraz según la temporada, y su reporte ayuda a que la próxima persona reconozca el patrón a tiempo.