Nivel: ⭐ Principiante
Te llega un correo con el asunto «AEAT – Aviso de Notificación». El logotipo de Hacienda está donde tiene que estar. El texto imita el lenguaje administrativo. El enlace te lleva a «renovar tu certificado». Es octubre, acabas de hacer la declaración del IVA, y los certificados caducan. Todo encaja.
Pero ese enlace no renueva tu certificado. Descarga un archivo que instala GuLoader y, a través de él, Agent Tesla: un programa que roba tus contraseñas, tus claves de Hacienda, tus certificados digitales y todo lo que teclees a partir de ese momento.
INCIBE ha emitido una alerta. La campaña está activa. Y el cebo es perfecto: no te avisan de un problema que no esperas — te avisan de algo que sí esperas.
Lo que ha pasado
Los ciberdelincuentes están enviando correos masivos que suplantan a la Agencia Tributaria y a la Fábrica Nacional de Moneda y Timbre (FNMT). Los asuntos detectados por INCIBE son:
- «AEAT – Aviso de Notificación»
- «Caducidad de tu Certificado FNMT»
El correo te pide que pinches en un enlace para renovar tu certificado digital. El enlace descarga un documento malicioso que, al abrirlo, despliega GuLoader — un descargador que trae Agent Tesla, un ladrón de información (o «stealer») que captura credenciales, pulsaciones de teclado, archivos del equipo y datos de navegadores.
Por qué esto te importa ahora
Octubre no es un mes cualquiera para un autónomo. Es temporada de:
- Declaraciones de IVA (tercer trimestre)
- Renovación de certificados (FNMT, Sede Electrónica)
- Gestión de pagos fraccionados
El autónomo espera correos de Hacienda en octubre. Los delincuentes lo saben. Por eso esta campaña es más peligrosa que una alerta genérica de «phishing»: el correo llega en el momento exacto en que el destinatario espera recibir comunicaciones de la AEAT.
Y el daño potencial no es un susto: el certificado digital es la llave maestra de tu negocio. Con él se accede a Hacienda, a la Seguridad Social, a la facturación electrónica obligatoria desde 2028… y si te roban las credenciales, te suplantan de verdad.
El árbol de decisión de INCIBE (3 escenarios)
La alerta de INCIBE incluye un protocolo claro. Dependiendo de lo que hayas hecho, el siguiente paso cambia:
Escenario 1: Lo has recibido pero no has pinchado ni descargado nada
→ Márcalo como spam, bórralo y olvídate. No has hecho nada malo. Pero bloquee al remitente también para que no te vuelva a llegar.
Escenario 2: Has descargado el archivo pero no lo has ejecutado
→ Bórralo de la carpeta de Descargas Y de la Papelera de Reciclaje. El archivo en sí no es peligroso hasta que se ejecuta. Vacía ambas papeleras para estar seguro.
Escenario 3: Has descargado y ejecutado el archivo
→ Desconecta el equipo del WiFi AHORA. El malware necesita conexión para enviar los datos robados. Sin internet, el stealer no puede exfiltrar nada. A continuación:
- Cambia todas tus contraseñas desde otro equipo (nunca desde el infectado). Prioriza: correo electrónico, Hacienda, Seguridad Social, banca online.
- Activa verificación en dos pasos (2FA2FA (two-factor authentication, autenticación en dos factores) — el segundo candado para entrar en tus cuentas: además de la contraseña, te pide un código que solo tienes tú (por SMS, una app como Bitwarden o una llave física). Si alguien roba tu contraseña, sin ese segundo código no entra. Para un autónomo es la diferencia entre "me han vaciado la cuenta" y "lo intentaron y no pudieron".) en todos los servicios que lo permitan.
- Ejecuta un escaneo completo con antivirus (Windows Defender vale, pero mejor Malwarebytes o similar).
- Si la duda persiste, formatea el equipo. No es exagerado: un stealer como Agent Tesla puede dejar puertas traseras que el antivirus no detecte.
- Haz capturas de pantalla del correo recibido, de los archivos descargados y de los movimientos sospechosos que veas.
- Presenta una denuncia ante la Policía Nacional o la Guardia Civil. Lleva las capturas como prueba.
El protocolo anti-estafa para temporada de impuestos
No va a ser la última campaña de phishing que intente suplantar a la AEAT. Cada trimestre, cada campaña de la renta, cada cambio normativo — los delincuentes lo marcan en el calendario. Aquí van tres reglas que no fallan:
- Nunca pinches un enlace de Hacienda desde un correo. La AEAT no envía enlaces para que hagas trámites. Si tienes que hacer algo, ve tú manualmente a la Sede Electrónica (sede.agenciatributaria.gob.es) desde el navegador.
- Desconfía de la urgencia. «Su certificado caduca en 48 horas», «notificación pendiente», «aviso de embargo» — el lenguaje urgente es la firma del phishing. Hacienda manda notificaciones con plazos, pero no te exige que pinches en un enlace para resolverlas.
- Mira el dominio antes de hacer clic. Si el enlace no termina en .gob.es, no es Hacienda. Punto.
La conexión con los ataques con IA
Esta campaña no usa IA. Pero las que vienen, sí. Hace unos meses Renfe perdió 150 millones de registros de viajeros en un ciberataque con IA. Y si una empresa con un presupuesto de seguridad de millones no lo evitó, el autónomo necesita algo más que «tener cuidado»: necesita un protocolo.
La buena noticia es que el protocolo no es caro. Es hábito. Y el hábito se entrena en 15 minutos.
Fuente: Alerta de INCIBE — «Nueva estafa suplantando a la Agencia Tributaria y a la FNMT», publicada el 15 de octubre de 2026.