El Incibe alerta de un fraude por correo electrónicos para robar datos con un ingreso falso
La Oficina de Seguridad del Internauta (OSI), dependiente del Incibe, ha detectado un mensaje fraudulento que simula una notificación oficial de la Administración General del Estado, en la que afirma que “se ha generado a su favor un ingreso por importe de 552,97 euros”. Este correo electrónico está diseñado para robar los datos bancarios del usuario que pinche en su enlace para comprobar si es cierto que se ha recibido, simulando ser una página real.
El Instituto Nacional de Ciberseguridad, con sede en León, sitúa la importancia de esta alerta en alta (nivel 4) y pide a cualquier usuario que haya recibido el mail con el enlace que no lo abra, elimine el correo, bloquee al remitente y comuniquen este caso al buzón de incidentes.
Por otra parte, los usuarios que sí hayan introducido sus datos deben contactar inmediatamente con su banco para informar de la posible filtración de credenciales, recopilar evidencias del fraude mediante capturas de pantalla, presentar denuncia ante Policía Nacional o Guardia Civil y buscar su propio nombre en Internet ('egosurfing') para detectar usos indebidos de sus datos.
Correo muy parecido, pero no idéntico
El falso correo utiliza el logotipo y la imagen corporativa de 'Mi Carpeta Ciudadana' y replica el lenguaje administrativo habitual, hasta el punto de mencionar la Ley 39/2015, referencias de expediente como CC/2026/04837219 y organismos oficiales.
Sin embargo, existen pistas claras de fraude: el dominio 'carpetaciudadana@info.com.es' utiliza un formato incompatible con los usados por la Administración, que siempre emplea extensiones .gob.es.
Por otra parte, el correo invita al usuario a responder a través del enlace, algo que nunca hacen los canales oficiales de notificaciones electrónicas, ya que son unidireccionales.
Si el usuario pulsara en el enlace 'Acceder ahora', se abre una web que imita la interfaz real de Mi Carpeta Ciudadana y que solicita iniciar un supuesto proceso de verificación, en el que aparecerá un formulario con nombre, apellidos, DNI o NIE, fecha de nacimiento, teléfono y correo.
De ahí saltará a una solicitud del IBAN (una falsa pasarela bancaria que pide la contraseña de acceso a la banca online) y otras pantallas que simulan procesos técnicos como verificación y conexión segura, entre otros.
En este punto, los delincuentes ya dispondrán de suficiente información para ejecutar fraudes financieros, solicitar créditos en nombre de la víctima o realizar nuevas suplantaciones.
Recordatorios
Incibe recuerda que cualquier trámite en servicios públicos exige identificación mediante DNI electrónico, certificado digital o Cl@ve, y que la ausencia de estas verificaciones en una web es un indicio claro de fraude.
La aplicación oficial de Mi Carpeta Ciudadana ha incorporado un mensaje destacado avisando a los usuarios de la existencia de esta campaña, con el objetivo de frenar su impacto y reforzar la prevención.
Ante cualquier duda, los ciudadanos pueden contactar con el servicio gratuito y confidencial de ciberseguridad ciudadana, el 017, disponible los 365 días del año.
