Cada vez que se acerca un cambio importante en la forma de facturar o declarar, pasa lo mismo: los estafadores aprovechan la confusión. Y con VeriFactu está ocurriendo de nuevo.
Por qué justo ahora
La nueva normativa obliga a adaptar los programas de facturación para que generen registros seguros y normalizados. Las empresas sujetas al Impuesto sobre Sociedades deberán tener sus sistemas preparados antes del 1 de enero de 2027, mientras que para el resto de empresas y autónomos que utilicen sistemas informáticos de facturación el plazo llega hasta el 1 de julio de 2027.
Pero la adaptación ya está en marcha.
Hay empresas que ya han cambiado de programa, otras que están preguntando a sus asesorías y proveedores y muchas que todavía no tienen claro qué deben hacer. Ese desconcierto crea el escenario perfecto para los ciberdelincuentes.
Las campañas que suplantan a la Agencia Tributaria no son nuevas. Durante 2026 se han detectado correos electrónicos y SMS que imitan comunicaciones oficiales para conseguir que la víctima entre en una página falsa y entregue sus credenciales, datos personales o información bancaria.
Con VeriFactu ocupando cada vez más espacio en las preocupaciones de empresas y autónomos, cualquier mensaje que hable de una supuesta obligación pendiente, una activación urgente o una incidencia con Hacienda puede resultar mucho más creíble.
El dato que desmonta muchas estafas
Hay algo que conviene tener claro: Hacienda no cobra una tasa por activar VeriFactu.
VeriFactu no es un impuesto ni existe un pago que deba realizarse a la Agencia Tributaria para comenzar a utilizarlo. De hecho, la propia AEAT dispone de una aplicación gratuita de facturación en modalidad VERI*FACTU para quienes puedan utilizarla.
Otra cosa diferente es contratar un programa de facturación privado. En ese caso puede existir una cuota o licencia, pero el dinero se paga al proveedor del software, no a Hacienda.
Por eso, si recibes un mensaje que utiliza VeriFactu como excusa para reclamar un pago urgente a la Agencia Tributaria, hay motivos de sobra para desconfiar.
Cómo reconocer el fraude
Los mensajes falsos son cada vez más convincentes. Pueden utilizar el nombre de la Agencia Tributaria, copiar su imagen e incluso aparecer en el mismo hilo de SMS donde anteriormente habías recibido comunicaciones legítimas.
Pero siguen dejando pistas.
Una dirección web extraña, un mensaje que genera urgencia, una supuesta sanción que debes resolver inmediatamente o una petición de datos personales, credenciales o información bancaria deberían hacerte parar antes de hacer clic.
INCIBE ha detectado este mismo año campañas de SMS que suplantaban a la Agencia Tributaria y dirigían a las víctimas hacia páginas falsas diseñadas para obtener datos personales y bancarios.
Ante la duda, la solución es sencilla: no utilices el enlace recibido.
Abre el navegador, entra directamente en la Sede Electrónica de la Agencia Tributaria y comprueba desde allí si realmente tienes alguna comunicación pendiente.
Lo que está en juego
El objetivo tampoco tiene por qué ser únicamente conseguir un pago.
Una contraseña introducida en una página falsa puede dar acceso a servicios de la empresa. Un archivo descargado desde un correo fraudulento puede introducir software malicioso en un equipo. Y unos datos personales aparentemente inofensivos pueden utilizarse posteriormente para preparar ataques mucho más convincentes.
En una empresa, además, no hace falta que todo el mundo caiga.
Basta un solo clic.
Por eso, durante los próximos meses conviene prestar especial atención a cualquier correo o SMS que utilice Hacienda, VeriFactu, una supuesta sanción o una obligación urgente como excusa para conseguir que actuemos sin pensar.
Si lleváis la facturación de otras empresas, esto os afecta el doble: lo vemos a diario con las gestorías y asesorías con las que trabajamos.
