«Te calificamos para un reembolso de 411.00€. Rellene el formulario en nuestro sitio web». Ese SMS circuló en abril de 2026 con el nombre de la Agencia Tributaria delante, y la propia AEAT lo recoge en su archivo de mensajes fraudulentos. No es un caso aislado: el organismo mantiene una página con ejemplos de suplantaciones detectadas cada año desde 2020.
Esta guía es para cualquiera que reciba un correo o SMS de «Hacienda» con una devolución, una multa o una notificación. Hacienda no pide por correo, SMS ni Bizum información confidencial, números de cuenta ni números de tarjeta. La única comprobación fiable es entrar tú en la sede electrónica, sin pulsar ningún enlace del mensaje, y mirar si hay notificaciones a tu nombre.
Qué dice la Agencia Tributaria sobre cómo contacta contigo
La regla de la AEAT es corta y conviene memorizarla. En su página de casos de suplantación, la Agencia insiste en que nunca solicita por correo electrónico, SMS o Bizum información confidencial, económica o personal, números de cuenta ni números de tarjeta, y que tampoco adjunta anexos con facturas u otros datos.
Eso no significa que Hacienda nunca te escriba. Existe un servicio real de avisos informativos por SMS o correo electrónico al que te suscribes tú, con Cl@ve, certificado o DNI electrónico, en la sede o en la app oficial. La AEAT describe el texto exacto que recibirás: «La Agencia Tributaria ha emitido una notificación dirigida al NIF XXX», con solo algunos dígitos del NIF visibles. Si el aviso es por correo, el remitente es AgenciaTributaria@correo.aeat.es.
Fíjate en lo que no aparece en ese aviso oficial: ni importes, ni plazos urgentes, ni formularios. Solo te dice que hay algo esperándote. Mi lectura es que eso ya es un filtro práctico: cualquier mensaje «de Hacienda» que te pida rellenar algo, confirmar una cuenta o pagar está fuera del patrón que la propia Agencia describe. Y no tomaría el remitente como prueba de nada por sí solo; la comprobación buena es la que haces tú desde la sede.
Los tres disfraces más habituales: devolución, notificación y regularización
La devolución que te está esperando
Es el gancho más repetido en los ejemplos de 2026. Los SMS de marzo y abril prometían un «reembolso de impuestos» de 311,29 euros con un enlace a un formulario; el de marzo pedía el nombre completo y un teléfono de contacto. El SMS del 22 de abril anunciaba que la declaración había sido «tramitada» y que se estimaba la devolución, con un enlace a un dominio terminado en .cyou que imitaba la sede. Dos días antes, otro SMS pedía «verificación de datos personales y bancaria» de la declaración de la renta.
El patrón coincide con la campaña de la renta: el mensaje llega cuando mucha gente está esperando de verdad una devolución, y eso baja la guardia.
La notificación electrónica que no es
El 11 de marzo de 2026 circuló un correo que copiaba el formato de los avisos de la Dirección Electrónica Habilitada Única (DEHú), con «organismo emisor», código DIR3 y referencias a la Ley 39/2015. El enlace llevaba a una página que pedía el correo y su contraseña. Es una suplantación especialmente cuidada porque imita un sistema real: si quieres entender cómo funcionan las de verdad, la guía sobre las notificaciones electrónicas de la Administración y lo que pasa a los 10 días lo explica con detalle.
La regularización con criptomonedas
El caso más elaborado del año es del 20 de mayo de 2026. El correo hablaba de una auditoría fiscal al amparo de la directiva DAC8 y del intercambio de información con el Reino Unido, desglosaba una supuesta cuota con porcentajes y exigía pagar «el saldo diferencial» a un monedero de criptomonedas en 24 horas, bajo amenaza de bloquear las cuentas. La respuesta de la AEAT en su aviso es tajante: no utiliza wallets de blockchain ni pide pagos en criptomonedas.
Este último ejemplo es el que más me preocupa, porque mezcla jerga real (DAC8, convenios de doble imposición, un artículo de la Ley General Tributaria) con una petición absurda. Está pensado para quien sabe lo justo de fiscalidad como para que le suene verosímil.
¿Cómo compruebo en la sede si de verdad tengo algo pendiente?
Entra por tu cuenta en la sede electrónica de la Agencia Tributaria y abre el resumen de notificaciones no leídas. La AEAT ofrece un apartado llamado «Resumen de notificaciones y comunicaciones no leídas (Comparecencia en Sede)» que muestra de forma destacada lo que aún no has abierto. Para acceder necesitas Cl@ve Móvil, certificado electrónico, DNIe o eIDAS si eres ciudadano de otro país de la UE.
Ese resumen enseña tres cosas:
- Notificaciones pendientes, tanto si eres titular como destinatario o autorizado.
- Notificaciones notificadas pero no leídas, que incluye las publicadas en el Tablón Edictal Único y las electrónicas que expiraron a los diez días de ponerse a tu disposición sin que entraras.
- Comunicaciones no leídas, con las electrónicas no abiertas y las enviadas por correo postal en las últimas tres semanas.
Si ahí no hay nada que coincida con lo que dice el mensaje, ya tienes la respuesta. La app oficial de la AEAT tiene también un apartado de «Notificaciones», que es donde se gestiona la suscripción a los avisos. Lo importante es el gesto: escribir tú la dirección o abrir la app que ya tenías instalada, nunca llegar desde el enlace del SMS.
Es la misma lógica que funciona con otros organismos suplantados con frecuencia, como en el caso de las multas de la DGT que llegan por SMS o correo: el canal oficial se consulta por iniciativa propia, no por invitación del mensaje.
Si has recibido uno de estos mensajes, la AEAT tiene un formulario para informar de problemas de seguridad, incluidos phishing y smishing, enlazado al pie de su página de casos. Si llegaste a introducir datos bancarios, llama a tu banco antes que a nadie. Y si estás usando un chatbot para entender una carta de Hacienda, ten presente qué datos no darle nunca a la IA cuando haces la renta: tus datos personales y bancarios son justo lo que buscan estos timos.
Creo que la Agencia hace bien publicando cada campaña con su texto casi íntegro, aunque la página está enterrada en el apartado de ayuda técnica y casi nadie llega a ella. Mientras tanto, el criterio más útil cabe en una línea: Hacienda te avisa de que hay algo, pero nunca te pide que lo resuelvas desde el mensaje. Todo lo que vaya más allá de esa frase es motivo suficiente para cerrar el SMS y abrir la sede.