Este pasado domingo día 1 de diciembre, HackManac, firma dedicada al análisis de ciberseguridad que afirma disponer de la mayor base de datos de información sobre ciberataques exitosos verificados, publicaba en Twitter que el grupo de hackers Trinity se había hecho con 560 GB de datos de la Agencia Tributaria española, y que exigían un rescate de 38 millones de dólares (unos 36 millones de euros) antes del 31 de diciembre para no hacerlos públicos.

No obstante, y al menos de cara al público, desde la AEAT se indica que no tienen constancia de ningún hackeo a la agencia y, por lo tanto, a que terceras partes hayan accedido a datos personales de los ciudadanos en tanto que contribuyentes.

Independientemente de lo que sabemos en estos momentos, debemos prepararnos para el peor de los casos, es decir, que la filtración sea cierta y, por lo tanto, qué datos pueden tener de nosotros en dicho caso, y cómo pueden aprovecharlos en nuestra contra. Y posiblemente no haga falta esperar al 1 de enero para saber si es cierto que tienen en su poder los datos que afirman tener…

Preparados para falsos mensajes haciéndose pasar por la AEAT

La información que la Agencia Tributaria tiene sobre personas físicas y jurídicas es bastante amplia, e incluye tanto direcciones de correo electrónico, como números de teléfono móvil. Por lo tanto, es de esperar que si hay ciberdelincuentes ahí afuera que tengan acceso a estos datos -en el caso que, efectivamente, hayan sido filtrados-, podemos esperar una o varias campañas de phishing, ya sea vía correo o mensaje SMS.

Sea como fuere, lo que intentarán los ciberdelincuentes es explotar alguno de los datos que tienen, enviando mensajes que los incluyan, con URLs que busquen atraer a las víctimas a una página clon de la AEAT, utilizando para ello desde procedimientos abiertos, a devoluciones pendientes, u otros trámites que puedan estar abierto, reconduciendo a los contribuyentes hacia sus trampas con información suficientemente veraz.

Cómo la Agencia Tributaria notifica a los ciudadanos los mensajes a través de notificaciones electrónicas, una buena medida será ir a su página web introduciendo la dirección de forma manual en el navegador (https://sede.agenciatributaria.gob.es/), accediendo a nuestra área personal (arriba a la derecha) con el debido certificado digital, y consultando las notificaciones que nos han sido enviadas.

En caso de duda, podemos llamar por teléfono a la misma agencia, o pasar por alguna de sus numerosas delegaciones. Estos consejos aplican tanto a personas físicas (ciudadanos), como personas jurídicas (empresas).

Un momento delicado para el uso de estos datos por parte de ciberdelincuentes, podemos vivirlo en la próxima campaña de la declaración de la renta, ya que en caso de ser cierta la filtración, entre los datos podrían constar los números de cuentas corrientes para realizar devoluciones o cobrar los cargos, una información que haría más verosímil cualquier mensaje de phishing.

Además de esto, se recomienda seguir la actualidad del suceso a través de fuentes de información fiables, como la misma AEAT.