Una campaña de phishing que continúa circulando en España se hace pasar por Mi Carpeta Ciudadana y comunica a los usuarios que tienen derecho a cobrar 283,70 euros, o 541,30 euros en el caso de empresas. La Agencia de Ciberseguridad de Cataluña ha confirmado que se trata de un fraude diseñado para obtener datos personales, credenciales y, especialmente, información bancaria.
El correo parece oficial. Lleva el nombre de Mi Carpeta Ciudadana, utiliza la imagen de la Administración General del Estado y comunica al destinatario una noticia difícil de ignorar: supuestamente tiene dinero esperándole.
En el caso detectado esta misma mañana, el mensaje asegura que se han concedido 283,70 euros para uso particular o 541,30 euros en el caso de empresas y añade incluso un número de referencia y una fecha para reforzar la sensación de legitimidad.
Pero nada de eso es real.
La Agencia de Ciberseguridad de Cataluña alertó el pasado 27 de agosto de una campaña que utiliza exactamente esas cantidades y que suplanta a Mi Carpeta Ciudadana con el objetivo de engañar a los usuarios. Los investigadores advierten de que el enlace incluido en estos mensajes no corresponde al dominio oficial del servicio y puede conducir a páginas diseñadas para imitar su apariencia.
283,70 EUROS: EL CEBO PERFECTO
La cantidad no parece escogida al azar.
No son miles de euros capaces de despertar inmediatamente las sospechas, sino 283,70 euros, una cifra concreta que puede hacer pensar al destinatario en una devolución, compensación, ayuda o regularización administrativa pendiente.
A las empresas se les promete todavía más: 541,30 euros.
El mensaje asegura que, después de una supuesta «comprobación administrativa», el ciudadano tiene derecho a recibir el dinero y que este ya se encuentra disponible en su área de Mi Carpeta Ciudadana.
El siguiente paso es el verdaderamente peligroso.
Un botón invita a «Acceder al portal» y se indican cuatro sencillos pasos: entrar, verificar la identidad, completar los datos bancarios y esperar entre uno y tres días para recibir el supuesto ingreso.
Ahí está la trampa.
NO ES UNA ESTAFA AISLADA
La campaña está confirmada oficialmente.
La Agencia de Ciberseguridad de Cataluña ha advertido de que los correos fraudulentos informan precisamente de un supuesto importe disponible de 283,70 euros para ciudadanos y 541,30 para empresas.
El objetivo final es conseguir que la víctima facilite datos personales, credenciales de acceso o información bancaria, que posteriormente pueden utilizarse para intentar acceder a cuentas, sustraer dinero o cometer otros fraudes.
Además, no es la primera vez que Mi Carpeta Ciudadana se convierte en señuelo.
En marzo ya se había detectado otra campaña con una mecánica prácticamente idéntica: entonces se prometía un falso ingreso de 552,97 euros y se conducía a los usuarios a páginas que imitaban los servicios administrativos para solicitar primero datos personales y después información bancaria.
Los importes cambian.
El mecanismo, no.
¿QUÉ HACER SI RECIBES EL CORREO?
La principal regla es sencilla: no utilizar nunca el enlace incluido en el mensaje.
Si una comunicación de la Administración promete un pago, una devolución, una ayuda o cualquier otra gestión inesperada, la comprobación debe hacerse entrando directamente en Mi Carpeta Ciudadana mediante su dirección oficial, y no a través del botón recibido por correo electrónico.
También conviene revisar siempre la dirección completa del remitente.
Si el dominio no corresponde a un organismo oficial, hay que desconfiar inmediatamente.
Y si después de pulsar un enlace se solicitan datos bancarios para recibir inesperadamente dinero de la Administración, las posibilidades de estar ante un fraude aumentan considerablemente.
¿Y SI YA HAS PULSADO?
Pulsar un enlace no significa necesariamente que el fraude haya tenido éxito.
El mayor riesgo aparece cuando la víctima introduce datos personales, contraseñas, credenciales o información bancaria en las páginas fraudulentas.
Si se han facilitado esos datos, las autoridades de ciberseguridad recomiendan contactar inmediatamente con la entidad bancaria y modificar las credenciales de los servicios afectados.
Si únicamente se ha accedido al enlace pero no se ha proporcionado ninguna información ni descargado archivos, el nivel de riesgo es considerablemente menor, aunque resulta recomendable revisar el dispositivo y permanecer atento a cualquier actividad anómala.
UNA ESTAFA CADA VEZ MÁS CREÍBLE
Los fraudes electrónicos hace tiempo que dejaron atrás muchos de los correos llenos de faltas de ortografía, traducciones imposibles y promesas de fortunas procedentes de lugares remotos.
Ahora utilizan logotipos oficiales, diseños administrativos, números de expediente, cantidades exactas, fechas y procedimientos aparentemente coherentes.
Y precisamente por eso funcionan.
La víctima no recibe una promesa de hacerse millonaria.
Recibe algo mucho más creíble:
283,70 euros que supuestamente ya son suyos y solo están esperando que pulse un botón.
Ese botón puede ser la diferencia entre cerrar un correo sospechoso y entregar directamente información sensible a un ciberdelincuente.
La recomendación vuelve a ser tan sencilla como importante:
cuando la Administración te diga inesperadamente que tiene dinero para ti, no sigas el enlace del correo. Entra tú mismo en la sede oficial y compruébalo.
