Phishing AEAT y DEHU febrero 2026: oleada masiva suplantando Hacienda

25.133 casos de phishing gestionó INCIBE solo en 2025, la tipología líder del fraude online, que creció un 19 % hasta los 45.445 casos. Y febrero de 2026 no ha tardado en superar esas cifras: una oleada masiva de correos fraudulentos esta suplantando a la Agencia Tributaria (AEAT) y a la Dirección Electrónica Habilitada Única (DEHU) para robar credenciales de acceso de miles de contribuyentes españoles.

La campaña es particularmente sofisticada. Los correos imitan con precisión el tono institucional, incluyen referencias numericas que parecen legítimas y redirigen a portales falsos casi indistinguibles de los reales. Pero lo más peligroso es el contexto: esta oleada coincide con el inicio de la campaña de la renta y con las noticias sobre un posible ciberataque a Hacienda que habría expuesto datos de 47 millones de ciudadanos. Los atacantes aprovechan el miedo y la confusión para que bajes la guardia.

Como perito informático forense, analizo en este artículo la anatomía técnica de esta campaña de phishing, como detectarla, que hacer si has caido y como un perito puede certificar el email fraudulento como prueba judicial válida.

Si has recibido uno de estos correos o has caido en la trampa, un análisis forense digital permite certificar el email fraudulento como prueba judicial válida, rastrear su origen técnico y documentar el ataque con garantías para denuncia penal. Solicita una valoración gratuita y te orientamos en menos de 24 horas.

Qué esta pasando: la campaña de phishing AEAT/DEHU

La alerta oficial

En los primeros días de febrero de 2026, INCIBE público una alerta formal advirtiendo de una oleada masiva de correos electrónicos que suplantan a la Agencia Tributaria y a la plataforma DEHU. La Guardia Civil se sumo a la alerta poco después, y la OCU emitio su propio aviso dirigido a consumidores.

La campaña no se limita a unos pocos correos aislados. Múltiples medios han documentado la escala del ataque: Infobae, Bit Life Media, Escudo Digital, Newtral y medios regionales como La Gaceta de Salamanca y Leon Noticias han informado sobre la campaña.

Perfil del ataque

Cómo funciona el ataque paso a paso

Esta campaña de phishing sigue un patrón clásico de credential harvesting (cosecha de credenciales), pero con una ejecución notablemente cuidada. Así se desarrolla:

Por que esta campaña es especialmente peligrosa

Timing perfecto: la campaña de la renta

Esta oleada de phishing no es casual en cuanto a su calendario. Febrero marca el inicio de los preparativos para la campaña de la renta en España. Los contribuyentes están pendientes de comunicaciones de Hacienda: borradores, datos fiscales, notificaciones pendientes. Un email de la AEAT sobre una “notificación electrónica” encaja perfectamente con lo que muchos ciudadanos esperan recibir.

Los atacantes explotan la ingeniería social en su forma más efectiva: no necesitan inventar un pretexto, simplemente se insertan en un flujo de comunicación que ya existe.

La confusión del ciberataque a Hacienda

La campaña coincide temporalmente con las noticias sobre el presunto ciberataque a la Agencia Tributaria que, según la alerta de Hackmanac, habría comprometido datos de 47,3 millones de ciudadanos. Aunque Hacienda desmintio oficialmente la brecha, la noticia genero alarma pública.

Los atacantes pueden explotar esta situación de varias formas:

• “Verifica tu cuenta tras la brecha de seguridad”: Emails que instan a “comprobar si tus datos fueron comprometidos” mediante un enlace fraudulento
• Mayor credibilidad del phishing: Si el ciudadano cree que Hacienda fue hackeada, un email sobre una “notificación urgente” le resulta más creíble
• Fatiga de alertas: La avalancha de noticias sobre ciberseguridad de Hacienda hace que algunos bajen la guardia por saturación informativa

La legitimidad de DEHU como vector

DEHU es la Dirección Electrónica Habilitada Única, la plataforma oficial del Estado para recibir notificaciones electrónicas de cualquier administración pública. Muchos ciudadanos y empresas reciben notificaciones reales a traves de DEHU, lo que convierte a esta plataforma en un vector de suplantación particularmente creíble.

A diferencia de phishing que suplanta bancos o empresas privadas (donde el usuario puede no ser cliente), prácticamente todos los contribuyentes españoles son potenciales receptores de notificaciones de la AEAT via DEHU. El universo de víctimas potenciales es de decenas de millones.

Análisis técnico forense: anatomía de un email de phishing

Desde la perspectiva de un perito informático, un email de phishing contiene una cantidad enorme de evidencia técnica que permite rastrear su origen, confirmar su naturaleza fraudulenta y certificarlo como prueba judicial. Este es el tipo de análisis que realizo en informes periciales.

Cabeceras del email (headers)

Las cabeceras de un email son metadatos que registran cada paso del mensaje desde su origen hasta la bandeja de entrada. Son la evidencia técnica más valiosa. En un email legítimo de la AEAT, las cabeceras mostrarian:

From: notificaciones@agenciatributaria.gob.es
Return-Path: <notificaciones@agenciatributaria.gob.es>
Received: from smtp.agenciatributaria.gob.es (xxx.xxx.xxx.xxx)
Authentication-Results:
  spf=pass (sender IP is xxx.xxx.xxx.xxx)
  dkim=pass header.d=agenciatributaria.gob.es
  dmarc=pass (policy=reject)

En el email de phishing, las cabeceras revelan la verdad:

From: notificaciones@agenciatributaria.gob.es       ← Campo falsificado
Return-Path: <xyz@servidor-fraudulento.com>          ← Origen real
Received: from mail.servidor-sospechoso.ru (185.xxx.xxx.xxx)
Authentication-Results:
  spf=fail (sender IP not authorized)                ← FALLO
  dkim=none                                          ← SIN FIRMA
  dmarc=fail (policy=reject, action=none)            ← FALLO

SPF, DKIM y DMARC: la triple autenticación

Estos tres protocolos funcionan como un sistema de verificación de identidad del remitente:

Nota técnica: El dominio agenciatributaria.gob.es tiene política DMARC configurada como reject, lo que significa que los servidores de correo deberían rechazar automáticamente emails que fallen la verificación. Sin embargo, no todos los proveedores de email implementan DMARC de forma estricta, y algunos emails fraudulentos consiguen llegar a la bandeja de entrada igualmente.

Análisis de URL y dominio

El enlace del email de phishing es otro elemento crítico para el análisis forense:

URL legítima de DEHU:

https://dehu.redsara.es/

Ejemplos de URLs fraudulentas típicas:

https://dehu-notificaciones.es/acceso
https://notificación-aeat.com/dehu/login
https://agenciatributaria-sede.net/notificación
https://dehu.redsara.es.acceso-seguro.com/login   ← Subdominio engañoso

El análisis de la URL revela:

• Dominio real: acceso-seguro.com (no redsara.es)
• Registro del dominio: WHOIS muestra registro reciente (días/horas antes de la campaña)
• Certificado SSL: Certificado gratuito de Let’s Encrypt (no un certificado de organización gubernamental)
• Hosting: Servidor en país diferente a España (frecuentemente Europa del Este o Asia)

Elementos visuales clonados

Los atacantes replican con precisión los elementos visuales del portal oficial:

• Logotipo de la AEAT y del Gobierno de España
• Colores corporativos y tipografia
• Estructura del formulario de login
• Texto legal en pie de página
• Iconos de seguridad (candado, escudo)

Sin embargo, un análisis técnico revela diferencias: código fuente diferente, recursos cargados desde dominios externos, ausencia de funcionalidades reales del portal (solo el formulario de login funciona).

Cómo detectar el phishing AEAT/DEHU: 10 red flags

Antes de hacer clic en cualquier enlace de un email que parezca provenir de Hacienda, verifica estos 10 puntos:

Verificación del remitente

1. Dominio del remitente: Los emails oficiales de la AEAT provienen exclusivamente de dominios @agenciatributaria.gob.es o @correo.aeat.es. Cualquier otro dominio es fraudulento. Revisa el campo “De:” completo, no solo el nombre visible.

2. Dirección de respuesta (Reply-To): Si la dirección de respuesta no coincide con el remitente visible, es un indicador claro de phishing.

Verificación del contenido

3. Errores gramaticales o de formato: Aunque esta campaña esta bien redactada, busca inconsistencias sutiles: tildes incorrectas, expresiones poco naturales o mezcla de estilos formales e informales.

4. Urgencia artificial: Frases como “tiene 24 horas para acceder”, “última oportunidad” o “su notificación será eliminada” son tácticas de presión que las administraciones públicas no utilizan.

5. Datos personales ausentes: Un email real de la AEAT normalmente incluye tu nombre completo y referencia a datos específicos. Un phishing masivo usa fórmulas genéricas como “Estimado contribuyente”.

Verificación técnica

6. URL del enlace: Antes de hacer clic, pasa el raton sobre el enlace (sin clicar) para ver la URL real. Debe apuntar a agenciatributaria.gob.es o dehu.redsara.es. Cualquier otra dirección es sospechosa.

7. Certificado SSL del sitio: Si llegas a hacer clic, verifica que el certificado sea emitido a la entidad gubernamental correspondiente, no un certificado genérico de Let’s Encrypt.

8. Número de referencia: Si la referencia del email no aparece cuando accedes directamente (escribiendo la URL en el navegador) al portal oficial de DEHU, es falsa.

Verificación contextual

9. Canal de comunicación: La AEAT envía notificaciones a traves de la Sede Electrónica y DEHU. Si no tienes activada la notificación electrónica, no deberias recibir este tipo de avisos por email.

10. Coincidencia temporal sospechosa: Si recibes el email justo después de noticias sobre brechas de seguridad en Hacienda, extrema la precaución. Los atacantes explotan deliberadamente estos momentos de incertidumbre.

Qué hacer si has caido en el phishing

Si has introducido tus credenciales en una página fraudulenta, actua inmediatamente. Cada minuto cuenta.

Qué hacer si has recibido el email pero NO has caido

Si has recibido el email de phishing pero no has hecho clic ni introducido datos:

1. No hagas clic en ningun enlace del email, incluidos enlaces de “darse de baja” o “cancelar suscripción” (también pueden ser maliciosos)
2. No descargues archivos adjuntos si los hubiera
3. Reenvía el email a INCIBE: incidencias@incibe-cert.es
4. Bloquea al remitente en tu gestor de correo
5. Elimina el email de tu bandeja de entrada y de la papelera
6. Avisa a tu entorno: Familiares, companeros de trabajo y conocidos que puedan haber recibido el mismo email, especialmente personas mayores o menos familiarizadas con estafas digitales

El papel del perito informático forense: certificar phishing como prueba judicial

Cuando un caso de phishing deriva en denuncia penal, reclamación de daños o procedimiento judicial, la evidencia digital debe ser certificada por un perito informático para que tenga validez probatoria. Un email impreso o una captura de pantalla, por si solos, son fácilmente impugnables por la parte contraria.

Qué certifica un perito en un caso de phishing

El informe pericial sobre un email de phishing documenta y certifica:

1. Autenticidad del email

• Extracción forense del email original con todas sus cabeceras
• Hash criptográfico (SHA-256) del email completo para garantizar integridad
• Fecha y hora de recepción verificados mediante cabeceras del servidor

2. Análisis de cabeceras

• Verificación de SPF, DKIM y DMARC: confirmación técnica de que el email no proviene del dominio que aparenta
• Trazado completo del recorrido del email (servidores intermedios)
• Identificación de la IP de origen real del remitente

3. Análisis del enlace y la página fraudulenta

• Captura certificada de la página de phishing (si aun esta activa)
• Comparativa técnica con la página oficial
• Registro WHOIS del dominio fraudulento (fecha de creación, registrante)
• Certificado SSL del sitio fraudulento (emisor, validez)

4. Contexto técnico

• Explicación pericial del funcionamiento del ataque para el juez o tribunal
• Vinculación con alertas oficiales (INCIBE, Guardia Civil, OCU)
• Valoración del nivel de sofisticación y la dificultad de detección por un usuario medio

Metodología forense: cadena de custodia del email

La extracción forense del email sigue un protocolo riguroso:

Por qué es importante el informe pericial

En el ámbito judicial español, la prueba digital debe cumplir con requisitos de autenticidad, integridad y licitud. Un email de phishing presentado sin certificación pericial puede ser:

• Impugnado por falta de garantías de autenticidad (Art. 382 LEC)
• Cuestionado alegando posible manipulación
• Desestimado si no se demuestra técnicamente que es fraudulento

El informe pericial blinda la evidencia frente a estas impugnaciones y proporciona al juez una explicación técnica clara del ataque.

Contexto: oleada general de phishing en febrero 2026

La campaña contra la AEAT no es un caso aislado. Febrero de 2026 esta registrando un incremento notable de ataques de phishing en España. Según Noticias de Navarra, los ciberataques aumentaron un 26% en 2025 respecto al año anterior, una tendencia que se mantiene en los primeros meses de 2026.

Otras campañas activas en la misma semana

Phishing Netflix: En la misma semana, INCIBE alerto de una campaña masiva de phishing suplantando a Netflix, con emails sobre supuestos problemas de pago que solicitan actualizar datos de tarjeta de crédito.

Phishing bancario: Las entidades bancarias españolas siguen siendo el objetivo más frecuente, con campañas recurrentes que suplantan a CaixaBank, Santander, BBVA y Bankinter.

Smishing (SMS): Paralelamente, se detectan campañas de SMS fraudulentos suplantando a Correos, DGT y la Seguridad Social.

Esta simultaneidad no es coincidencia. Los grupos de cibercriminales lanzan múltiples campañas coordinadas para maximizar el volumen de víctimas. Mientras la atención mediatica se centra en el phishing de Hacienda, otras campañas menos conocidas pasan desapercibidas.

El papel de DEHU como vector emergente

Según reporta Infobae, la suplantación de DEHU es relativamente nueva como vector de phishing masivo en España. Hasta ahora, los atacantes se centraban en suplantar directamente a la AEAT. La inclusión de DEHU indica una evolución en las tácticas de ingeniería social: los cibercriminales estudian los flujos administrativos reales y los replican con mayor precisión.

Esto también sugiere un nivel de sofisticación asociado a spear phishing, donde los atacantes segmentan sus víctimas y personalizan los mensajes en función del perfil del destinatario.

Marco legal: consecuencias penales del phishing en España

El phishing no es solo una amenaza técnica; es un delito tipificado en el Código Penal español a traves de varios artículos.

Artículo 248 CP: estafa

El phishing encaja en el tipo penal de estafa del Art. 248 CP:

“Cometen estafa los que, con animo de lucro, utilizaren engaño bastante para producir error en otro, induciéndole a realizar un acto de disposición en perjuicio propio o ajeno.”

El phishing cumple todos los elementos del tipo:

• Engaño bastante: Suplantación de identidad de Hacienda
• Error en la víctima: Creencia de que el email es legítimo
• Acto de disposición: Entrega de credenciales de acceso
• Perjuicio: Acceso no autorizado a datos fiscales, potenciales pérdidas económicas

Las penas por estafa informática (Art. 249 CP) oscilan entre 6 meses y 3 años de prisión, pudiendo agravarse a 1 a 6 años por la vía del art. 250.1.5.º si el perjuicio supera los 50.000 euros o afecta a un gran número de personas (Art. 250 CP).

Artículo 197 CP: descubrimiento y revelación de secretos

La obtención de credenciales de acceso mediante phishing también puede constituir un delito de descubrimiento y revelación de secretos:

“El que, para descubrir los secretos o vulnerar la intimidad de otro, sin su consentimiento, se apodere de sus papeles, cartas, mensajes de correo electrónico o cualesquiera otros documentos o efectos personales…”

Las penas previstas son de 1 a 4 años de prisión y multa de 12 a 24 meses.

Artículo 264 CP: daños informáticos

Si los atacantes acceden a los sistemas de la víctima y causan daños (borrado de datos, modificación de información fiscal), se aplica el Art. 264 CP sobre daños informáticos, con penas de 6 meses a 3 años de prisión.

Agravante: suplantación de organismo público

La suplantación específica de la AEAT (un organismo público) puede constituir un agravante adicional, ya que el engaño se sirve de la confianza institucional del ciudadano en la Administración pública.

Recomendaciones de protección a largo plazo

Más alla de esta campaña concreta, estas prácticas reducen significativamente el riesgo de caer en phishing:

Para ciudadanos

• Activa la verificación en dos pasos en todos los servicios que lo permitan (AEAT, bancos, correo electrónico)
• Nunca accedas a servicios sensibles desde enlaces en emails: escribe siempre la URL directamente en el navegador
• Configura alertas bancarias para cualquier movimiento, por pequeño que sea
• Mantén actualizado tu sistema operativo, navegador y antivirus
• Usa un gestor de contraseñas: si la URL no coincide con la almacenada, el gestor no autocompletara las credenciales (indicador de phishing)

Para empresas y autónomos

• Configura correctamente SPF, DKIM y DMARC en tu propio dominio para evitar que suplanten tu identidad
• Forma a tus empleados en detección de phishing con simulaciones periódicas
• Implementa filtros de correo avanzados que verifiquen autenticación de remitentes
• Establece un protocolo claro de actuación ante emails sospechosos: a quien reportar, que hacer, que no hacer
• Consulta con un perito informático si detectas que tu empresa esta siendo suplantada en campañas de phishing

Para abogados que gestionan casos de phishing

• Solicita el email original completo (con cabeceras) a tu cliente lo antes posible
• No reenvies el email entre cuentas, ya que puede alterar cabeceras: solicita exportación en formato EML
• Contacta con un perito informático forense para certificar la evidencia antes de presentarla en sede judicial
• Documenta la cronología detalladamente: cuando se recibio el email, cuando se hizo clic, que datos se proporcionaron, que perjuicio se ha producido

Fuentes y referencias

Este artículo se basa en las siguientes fuentes verificadas:

1. INCIBE. “Notificaciones falsas que suplantan a la Agencia Tributaria (AEAT) y la Dirección Electrónica Habilitada Única (DEHU).” Febrero 2026.
2. MuySeguridad. “Guardia Civil alerta sobre phishing suplantando AEAT.” 5 febrero 2026.
3. Infobae. “Alerta de la Guardia Civil por una estafa en la que se hacen pasar por Hacienda.” 4 febrero 2026.
4. Infobae. “Detectan una oleada de notificaciones falsas de la Agencia Tributaria y la plataforma DEHU.” 3 febrero 2026.
5. OCU. “Notificaciones falsas AEAT DEHU.” Febrero 2026.
6. OCU. “Nota de prensa: phishing AEAT febrero 2026.” 9 febrero 2026.
7. Bit Life Media. “Una oleada de correos falsos suplanta a Hacienda para robar credenciales.” Febrero 2026.
8. Escudo Digital. “Nueva oleada de correos falsos suplantan Hacienda y DEHU para robar credenciales.” Febrero 2026.
9. Newtral. “Agencia Tributaria: estafa aviso phishing.” 5 febrero 2026.
10. La Gaceta de Salamanca. “Guardia Civil alerta de campaña de phishing que suplanta a la Agencia Tributaria.” 4 febrero 2026.
11. Noticias de Navarra. “Los ciberataques aumentaron un 26% en 2025.” 9 febrero 2026.
12. Leon Noticias. “INCIBE avisa de nueva estafa con notificaciones suplantando Hacienda.” 4 febrero 2026.
13. El Digital de Cuenca. “Alertan de una campaña para robarte tus datos bancarios.” 9 febrero 2026.
14. Ciberseguridad PYME. “Notificaciones falsas que suplantan a la AEAT y DEHU.” Febrero 2026.
15. Diario de Avisos. “Estafa Netflix: correo falso de pago, INCIBE alerta.” Febrero 2026.

Conclusión

La oleada de phishing suplantando a la AEAT y DEHU en febrero de 2026 representa una de las campañas más sofisticadas dirigidas contra contribuyentes españoles en los últimos años. La combinación de timing perfecto (campaña de la renta), contexto mediático favorable para los atacantes (noticias del presunto hackeo a Hacienda) y la legitimidad inherente de DEHU como plataforma de notificaciones oficiales la convierten en una amenaza particularmente efectiva.

La defensa más eficaz sigue siendo la más sencilla: nunca acceder a servicios de la Administración pública a traves de enlaces en emails. Pero cuando el daño ya esta hecho, la actuación inmediata (cambio de contraseñas, denuncia, monitorización) y la certificación pericial de la evidencia son fundamentales para proteger los derechos de la víctima.

Si has sido víctima de esta campaña de phishing o necesitas certificar un email fraudulento como prueba judicial, ofrezco análisis forense especializado con metodología rigurosa y experiencia en procedimientos judiciales españoles.

Servicios relacionados:

• Análisis forense digital — Investigación profesional de emails fraudulentos con metodología ISO 27037
• Informes periciales — Certificación de evidencia digital con validez judicial para denuncias
• Consulta gratuita — Primera valoración sin compromiso en menos de 24 horas

Enlaces relacionados:

• Phishing: que es y como protegerte
• Ingeniería social: técnicas y prevención
• Spear phishing: ataques dirigidos
• Análisis de fraudes digitales: servicios
• Hacienda investiga ciberataque IDOR a 47M de ciudadanos

Disclaimer: Este artículo tiene carácter informativo y educativo. La información sobre la campaña de phishing se basa en alertas oficiales publicadas por INCIBE, Guardia Civil y OCU. Los ejemplos técnicos de cabeceras y URLs son ilustrativos y no corresponden a emails o dominios reales utilizados en esta campaña concreta. Para asesoramiento jurídico específico, consulta con un abogado especializado.

Última actualización: 9 Febrero 2026