Desde comienzos de 2026 se han documentado más de 100 campañas activas de phishing sobre impuestos
El último informe ‘Monthly Threat Report’ publicado en abril por la compañía Hornetsecurity confirma que el inicio de la temporada de la declaración de impuestos y la renta ha disparado las campañas de phishing dirigidas a contribuyentes e instituciones financieras. De hecho, los datos de un estudio elaborado por Proofpoint, demuestran que desde comienzos de 2026 se han documentado más de 100 campañas temáticas activas de phishing sobre impuestos, lo que supone un importante incremento, tanto en volumen como en variedad, en comparación con años anteriores.
“Cada año, cuando llega el momento de la declaración de impuestos y la Campaña de la Renta, los delincuentes se aprovechan del aumento en la presión financiera, la urgencia por los plazos y el volumen de comunicaciones sensibles que circulan entre particulares, empresas y organismos públicos. Por ello, ahora más que nunca, es fundamental que las empresas apuesten por una protección del correo electrónico de nueva generación”, afirma Carlos Vieira, Country Manager Hornetsecurity en Iberia, Italia y Latam.
Las campañas de phishing identificadas se están enfocando sobre todo en la suplantación de las autoridades fiscales, con cebos relacionados con documentos caducados, reembolsos pendientes o verificaciones de cuentas; y las dirigidas directamente a instituciones financieras, clientes de bancos y proveedores de servicios financieros. Todas estas campañas no están centradas en un único mercado, sino que se ejecutan de forma paralela en varias regiones al mismo tiempo, ajustando los cebos y los kits de phishing a las entidades y los periodos de declaración locales.
El informe ha permitido concluir también que algunos delincuentes están menos interesados en acceder a cuentas que en recopilar credenciales y tokens a gran escala para venderlos o utilizarlos más adelante. En este sentido, el uso de herramientas RMM (de gestión y monitorización remota), es un cambio notable frente al enfoque centrado solo en el robo de credenciales que históricamente ha dominado este tipo de campañas. Se trata de un software legítimo, difícil de detectar, que una vez instalado proporciona a los atacantes un acceso remoto persistente y bajo demanda que puede reutilizarse mucho después de que termine la campaña original.
