Falsos saldos a favor del SAT: protocolo anti-phishing para despachos y áreas de nómina

Un mensaje de WhatsApp avisa que hay un saldo a favor pendiente de devolución y pide confirmar los datos para liberarlo. El SAT alertó este 13 de agosto sobre esa campaña de fraude: la liga del mensaje conduce a páginas falsas construidas para robar el RFC, la contraseña del SAT y datos bancarios de quien la sigue, de acuerdo con el reporte de Milenio.

Para un despacho contable o un área de nómina la alerta no es una nota de consumidor más. Quien administra obligaciones fiscales de decenas de RFC vive dentro del portal del SAT y del Buzón Tributario todos los días, y un mensaje que habla de devoluciones, requerimientos o activaciones pendientes cae en el contexto exacto donde parece verosímil. El blanco natural de esta campaña no es el contribuyente ocasional: es el equipo que teclea credenciales fiscales como parte de su rutina.

La campaña de agosto es la más reciente de una ola que lleva todo el año

El fraude de los falsos saldos a favor no llegó solo. En mayo, Infobae documentó páginas clonadas del SAT que imitan el portal oficial para capturar datos fiscales y financieros. En abril circuló una campaña de smishing —el phishing por SMS— que también prometía devoluciones a nombre del SAT, descrita en prensa como una operación masiva de suplantación. Y de forma paralela circulan correos falsos que piden "activar" el Buzón Tributario mediante una liga directa.

El propio SAT mantiene en su página oficial un catálogo de correos falsos identificados, que crece conforme aparecen variantes. El patrón de fondo es el mismo en todos los casos: un mensaje no solicitado, un pretexto fiscal creíble y una liga que lleva a un sitio que no es del SAT pero se le parece lo suficiente.

El Buzón Tributario no envía ligas de acción directa: esa es la regla que desarma el fraude

La defensa más eficaz cabe en una sola regla, y la recuerda el propio SAT: el Buzón Tributario no envía correos con ligas de acción directa. Cuando existe una notificación real, el aviso solo informa que hay un mensaje nuevo, y ese mensaje se consulta entrando directamente a sat.gob.mx.

De esa regla se deriva el protocolo completo. Toda notificación que llegue por correo, SMS o WhatsApp se verifica escribiendo la dirección del portal directamente en el navegador —nunca siguiendo la liga del mensaje—. Si el requerimiento existe, estará en el Buzón Tributario al iniciar sesión por la vía oficial. Si no aparece ahí, el mensaje era el fraude, sin importar qué tan bien imitara los logotipos, el lenguaje o el formato de un oficio.

Vale la pena que esa regla deje de ser conocimiento individual y se vuelva doctrina escrita del equipo: un acuerdo explícito de que nadie —ni el socio del despacho, ni la persona que lleva la nómina— atiende asuntos del SAT desde una liga recibida por mensaje. Cuando el procedimiento es uno solo y todos lo conocen, el atacante pierde su herramienta principal, que es la duda de un momento.

La e.firma y la contraseña del SAT no se teclean en sitios llegados por mensaje

La segunda línea del protocolo protege lo que el atacante realmente busca. La e.firma y la contraseña del SAT son las llaves de la identidad fiscal: con ellas se firma, se declara y se accede a información sensible. Por eso jamás se comparten —ni entre integrantes del equipo por mensajería— y jamás se teclean en un sitio al que se llegó desde un correo, un SMS o un WhatsApp.

En un despacho el riesgo se multiplica: comprometer las credenciales de una sola persona puede exponer a todos los RFC que esa persona opera. La disciplina, en consecuencia, no admite excepciones por jerarquía ni por prisa. El sitio oficial se alcanza por la dirección tecleada directamente, y las credenciales fiscales solo existen ahí.

Las señales del fraude se reconocen antes del clic

Las campañas documentadas este año comparten rasgos que cualquier integrante del equipo puede aprender a detectar en segundos:

Ninguna de estas señales exige conocimiento técnico. Exigen, en cambio, la pausa de leer el remitente completo y preguntarse por qué una autoridad fiscal pediría resolver algo urgente desde una liga de mensajería. Esa pausa es el control de seguridad más barato que existe.

Si alguien del equipo ya dio clic, la velocidad de respuesta importa más que el regaño

Ningún protocolo reduce el riesgo a cero, y la peor variante del incidente es la que no se reporta por miedo a la reprimenda. Si alguien siguió la liga y alcanzó a capturar datos, lo que sigue es actuar de inmediato: cambiar la contraseña del SAT y la de cualquier otro servicio donde se reutilizara, revisar el equipo desde el que se abrió el sitio antes de seguir operando con él, y reportar el caso tanto al SAT como a la CONDUSEF, en particular si se entregaron datos bancarios.

Un equipo que sabe que reportar rápido es lo esperado —y no un motivo de castigo— convierte un clic desafortunado en un incidente contenido en minutos. Un equipo que lo oculta le regala al atacante el tiempo que necesita.

El phishing fiscal se contiene con protocolo, no con memoria

La campaña de los falsos saldos a favor seguirá mutando: cambiará el pretexto, el canal y el diseño de las páginas clonadas. Lo que no cambia es la asimetría que la desarma: el Buzón Tributario avisa, pero nunca pide la acción desde la liga. Un despacho o un área de nómina que escribe esa regla, la repasa con cada integrante y define de antemano qué hacer ante el clic equivocado, no depende de que todos estén alertas todos los días. Depende de un procedimiento, que es exactamente donde debe vivir la seguridad.