Alerta por un supuesto ciberataque a Hacienda: se habla de una base de datos masiva
Mientras se exige claridad sobre el origen de la supuesta base de datos, siguen vigentes los avisos por suplantación de la AEAT.
En las últimas horas se ha extendido en redes una alerta que atribuye a un actor (bajo un alias) la obtención y posible venta de una supuesta base de datos vinculada a la Administración tributaria. La afirmación más grave es el volumen (se habla de decenas de millones de registros) y el tipo de información (identificadores personales y datos sensibles). Sin embargo, por ahora no hay una confirmación oficial pública que permita dar por cierta una intrusión en sistemas de Hacienda o de la Agencia Tributaria. Lo que sí está documentado en fuentes institucionales es que siguen activas campañas de suplantación (phishing/smishing) que usan la imagen de la AEAT para intentar robar datos.
- La alerta que circula atribuye la filtración a un actor con alias y habla de una base de datos de enorme tamaño.
- A falta de verificación oficial pública, no se puede dar por hecho que exista una brecha en sistemas de Hacienda/AEAT.
- El escenario más inmediato y explotable es la suplantación: hay avisos oficiales recientes sobre correos y SMS que imitan a la AEAT.
La alerta apunta a “HaciendaSec” y a una supuesta venta de datos sensibles
La narrativa que se está difundiendo sostiene que un actor, identificado únicamente por un alias, tendría en su poder una base de datos “actualizada” con información de ciudadanos. En ese tipo de mensajes suele mencionarse información como DNI/NIF, nombre y apellidos, datos de contacto e incluso referencias bancarias o fiscales. A día de hoy, esos detalles no constan verificados mediante documentación oficial publicada, por lo que deben tratarse como una afirmación no confirmada.
Sin un comunicado público, lo decisivo es lo que aún no se puede acreditar
Cuando se habla de una filtración de este tamaño, la pregunta clave no es solo “si ha ocurrido”, sino qué evidencia pública la sostiene: alcance real, origen del dato, fecha de extracción, sistema afectado y si ha habido acceso no autorizado o una exposición por terceros. De momento, en los canales oficiales de seguridad consultados no aparece una nota pública que permita cerrar esas incógnitas con hechos verificables.
Aquí es donde la transparencia importa: sin una aclaración institucional concreta, el debate se llena de ruido, titulares y suposiciones, y la ciudadanía se queda sin una referencia fiable.
La vía más probable de daño inmediato: suplantación de la AEAT y robo de datos
Mientras se debate el “hackeo”, la Agencia Tributaria mantiene publicado que se han detectado campañas de phishing y smishing que suplantan su identidad y piden datos personales, incluyendo IBAN o datos de tarjeta en formularios falsos. En su documentación oficial, la AEAT insiste en que no solicita por correo electrónico o SMS información confidencial o bancaria y que estas campañas buscan precisamente capturar esos datos mediante webs clonadas.
En paralelo, INCIBE ha descrito campañas de suplantación a la AEAT con correos y SMS que llevan a páginas fraudulentas para obtener datos personales y bancarios, con especial impacto potencial por el tipo de información que maneja cualquier contribuyente.
Fechas y hechos que sí constan en fuentes institucionales
- 02/02/2026: se viraliza la alerta en redes sobre una supuesta base de datos vinculada a Hacienda (afirmación no verificada en boletines oficiales).
- 14/01/2026: la AEAT mantiene actualizado su aviso sobre intentos de suplantación mediante correos/SMS falsos.
- 02/01/2026: la sede electrónica de la AEAT recoge nuevas campañas de phishing/smishing con formularios fraudulentos.
Qué debería aclarar una confirmación oficial para cortar el ruido
Si la Administración publica información sobre el incidente, los puntos que realmente separarían el hecho de la especulación son: si hubo intrusión, qué sistemas o proveedores estarían implicados, qué datos se habrían visto afectados y qué medidas se han activado (contención, auditoría, refuerzo de controles). Sin esa foto, cualquier cifra o “lista de datos” que circule fuera de canales oficiales seguirá siendo, en el mejor de los casos, no verificable.
La suplantación sigue activa (y esto es lo que recomiendan AEAT e INCIBE)
- La Agencia Tributaria recuerda que nunca solicita por correo o SMS datos confidenciales ni bancarios, y que ante dudas conviene entrar directamente en la Sede sin usar enlaces del mensaje.
- INCIBE aconseja no pinchar enlaces recibidos por correo/SMS si no se verifica el destino, y activar la verificación en dos pasos (2FA) siempre que el servicio lo permita.
- Las campañas suelen tirar de ganchos como devoluciones, deudas urgentes o pagos inmediatos para llevarte a webs clonadas.