ARCA alerta por una nueva campaña de correos falsos que buscan vaciar cuentas bancarias y capturar claves fiscales

Una campaña de correos electrónicos fraudulentos comenzó a circular en los últimos días con un objetivo puntual: robar claves fiscales y datos bancarios de contribuyentes argentinos. La Agencia de Recaudación y Control Aduanero (ARCA) salió a advertir sobre el riesgo luego de identificar mensajes que imitan con notable precisión el diseño institucional del organismo e incorporan, en varios casos, el nombre y el CUIT reales del destinatario, un recurso que incrementa la credibilidad del engaño y multiplica las posibilidades de que la víctima caiga en la trampa.

Cómo operan los correos y qué señales los delatan

Uno de los formatos identificados llega con el asunto «Inconsistencias detectadas en su CUIT, regularización requerida». El cuerpo del mensaje alega supuestas diferencias entre comprobantes emitidos e ingresos declarados, fija un plazo perentorio de diez días hábiles para resolver el problema y amenaza con restringir la clave fiscal o con revisar la categoría en el Monotributo si el contribuyente no responde. La construcción del texto está deliberadamente pensada para generar presión y minimizar la verificación, dos de los recursos clásicos del phishing.

La primera señal de alerta aparece en la dirección del remitente: las casillas detectadas no pertenecen al dominio oficial @arca.gob.ar y presentan alteraciones de letras o caracteres adicionales para pasar desapercibidas ante una lectura rápida. Aun cuando el encabezado del correo parezca institucional, esa línea delata el origen fraudulento y permite descartar el mensaje antes de cualquier otro paso.

El punto crítico: el enlace que lleva a un sitio falso

El verdadero riesgo se concentra en el pedido de hacer clic en un enlace incluido en el cuerpo del correo. Ese acceso conduce a una página que replica la estética del organismo pero que, en realidad, está operada por los atacantes, quienes solicitan contraseñas, claves fiscales o información sensible de tarjetas y cuentas bancarias. Una vez obtenidos esos datos, los responsables del fraude pueden utilizarlos para ingresar a cuentas, concretar transferencias no autorizadas o realizar compras en nombre de la víctima, con un daño patrimonial que en muchos casos resulta difícil de revertir.

Qué dice ARCA y qué canales sí utiliza el organismo

Ante la proliferación de estos mensajes, ARCA emitió una serie de precisiones que buscan cortar de raíz la estrategia del fraude. El organismo fue categórico al señalar que nunca solicita pagos ni datos personales a través del correo electrónico. En los casos en que efectivamente existe una comunicación oficial, el contenido debe consultarse directamente dentro del Domicilio Fiscal Electrónico, al que se accede desde la página oficial del organismo o desde la aplicación móvil correspondiente. El organismo tampoco utiliza WhatsApp, llamadas telefónicas ni redes sociales para pedir contraseñas ni para resolver supuestas irregularidades, lo que refuerza la conveniencia de desconfiar de cualquier canal no oficial que invoque su nombre.

Qué hacer si se ingresó una clave o se facilitaron datos bancarios

• Cambiar la clave fiscal de inmediato desde la página oficial de ARCA o desde la aplicación, sin pasar por enlaces recibidos por mail.
• Revisar los accesos registrados en el sistema y dar de baja aquellos dispositivos o sesiones que resulten desconocidos.
• Contactar al banco o a la billetera virtual correspondiente para solicitar un bloqueo preventivo de tarjetas y cuentas, y desconocer cualquier movimiento no autorizado.
• Denunciar el episodio en la comisaría más cercana o ante la unidad fiscal especializada en ciberdelitos, conservando los correos recibidos como evidencia.
• Reportar el correo fraudulento como phishing dentro del propio servicio de mail para contribuir a que los proveedores bloqueen al remitente.