DEHU (Dirección Electrónica Habilitada Única)

DEHU (Dirección Electrónica Habilitada Única)

122.223 incidentes de ciberseguridad gestionó INCIBE-CERT en 2025, un 26 % más que el año anterior, y 25.133 de ellos fueron de phishing. Conviene leer el sujeto con cuidado, porque cambia lo que se puede afirmar: son los incidentes que ese equipo atendió, no un censo de los ciberataques que sufre España — nadie lleva ese recuento. El phishing es técnica preferida para suplantar servicios críticos como la Agencia Tributaria y la Dirección Electrónica Habilitada Única (DEHU). El 3 de febrero de 2026 el INCIBE publicó el aviso INCIBE-2026-077, de importancia «4 – Alta», sobre una campaña que suplantaba notificaciones de la AEAT para robar las credenciales de acceso a la DEHú; la Guardia Civil alertó en los mismos días. Ninguna de las dos alertas cuantifica los afectados, así que aquí tampoco se cuantifican. Lo que sí está descrito es el mecanismo, y basta para entender por qué duele: quien entrega esas credenciales entrega el acceso al buzón donde le llegan las liquidaciones, los requerimientos y las multas de todas las administraciones a la vez.

Definición Técnica

DEHU (Dirección Electrónica Habilitada Única) es el buzón electrónico oficial del Estado español regulado por la Ley 39/2015 del Procedimiento Administrativo Común, donde cualquier persona física o jurídica recibe notificaciones electrónicas de todas las administraciones públicas (AEAT, Seguridad Social, Ayuntamientos, SEPE, etc.).

Características principales:

• Buzón único centralizado (una dirección para todas las administraciones)
• Obligatorio desde la entrada en vigor de la ley, en octubre de 2016, para los sujetos del art. 14.2 LPACAP
• Voluntario para el resto de personas físicas, que pueden elegir la vía postal
• Acceso mediante Cl@ve, certificado digital o DNI electrónico
• Alojado en dominio oficial: dehu.redsara.es
• Notificaciones válidas legalmente (equivalentes a notificación postal)

Funcionalidades clave:

• Recepción automática notificaciones administrativas
• Transcurridos diez días naturales sin acceder, la notificación se entiende rechazada y el procedimiento sigue su curso (art. 43.2 LPACAP)
• Histórico notificaciones accesible
• Avisos email/SMS cuando llega nueva notificación (opcional)
• Integración con Carpeta Ciudadana

Por qué es objetivo prioritario phishing:

• Alcance: toda persona jurídica y todo autónomo o particular que haya optado por la vía electrónica
• Consecuencia real de no leerla: no hay multa por ignorar el buzón, pero la notificación se da por rechazada y los plazos corren igual — el expediente avanza sin el interesado, que es lo que de verdad duele
• Contenido sensible: Liquidaciones tributarias, multas, requerimientos judiciales
• Factor miedo: Mensajes urgentes (“último aviso”, “plazo expira”)
• Credenciales valiosas: Acceso Cl@ve = acceso múltiples servicios públicos

Marco legal DEHU: Ley 39/2015 y notificaciones electrónicas obligatorias

Regulación Notificaciones Electrónicas

Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), estableció la administración electrónica como método ordinario de tramitación de procedimientos:

Artículo 43.1 — dónde se practica la notificación:

"Las notificaciones por medios electrónicos se practicarán mediante
comparecencia en la sede electrónica de la Administración u Organismo
actuante, a través de la dirección electrónica habilitada única o
mediante ambos sistemas, según disponga cada Administración u Organismo."

Artículo 43.2 — cuándo se entiende practicada, que es el apartado que importa:

"Las notificaciones por medios electrónicos se entenderán practicadas
en el momento en que se produzca el acceso a su contenido. Cuando la
notificación por medios electrónicos sea de carácter obligatorio, o haya
sido expresamente elegida por el interesado, se entenderá rechazada cuando
hayan transcurrido diez días naturales desde la puesta a disposición de la
notificación sin que se acceda a su contenido."

Dos matices que suelen contarse mal. El primero: el efecto de los diez días es que la notificación se entiende rechazada, no «efectuada» — y el rechazo hace que se dé por cumplido el trámite y el procedimiento continúe (art. 41.5 LPACAP). El segundo: ese efecto solo opera si la notificación electrónica es obligatoria para el interesado o si este la eligió expresamente. Para quien no está obligado ni ha optado por ella, dejar sin abrir un depósito en la DEHú no consume el plazo.

Obligatoriedad (artículo 14.2) — la lista es cerrada:

• Las personas jurídicas
• Las entidades sin personalidad jurídica
• Quienes ejerzan una actividad profesional para la que se requiera colegiación obligatoria —notarios y registradores incluidos expresamente—, y solo para los trámites de esa actividad
• Quienes representen a un interesado que sí esté obligado
• Los empleados públicos, para los trámites propios de esa condición

El autónomo persona física no aparece en esa lista: no está obligado por el mero hecho de serlo. Lo que sí permite el art. 14.3 LPACAP es que cada Administración extienda la obligación por vía reglamentaria a colectivos concretos de personas físicas, y de ahí vienen las obligaciones sectoriales que muchos autónomos sí tienen.

Voluntariedad:

• Particulares personas físicas pueden elegir notificación postal o electrónica
• Una vez elegida notificación electrónica, es vinculante salvo revocación expresa

Acceso y Autenticación

Sistemas identificación válidos DEHU:

1. Cl@ve PIN: Código temporal móvil
2. Cl@ve Permanente: Usuario+contraseña+código SMS
3. Certificado digital: Persona física o jurídica
4. DNI electrónico: Con lector tarjetas

Dominio oficial único: https://dehu.redsara.es

Sistemas NO válidos (indicadores phishing):

• dehu-notificaciones.com
• agenciatributaria-dehu.es
• notificaciones-dehu.info
• Cualquier dominio que NO sea dehu.redsara.es

Campaña phishing AEAT + DEHU febrero 2026: anatomía del fraude

Lo que consta en el aviso oficial

La campaña existió y está documentada: aviso INCIBE-2026-077, publicado el 3 de febrero de 2026 con importancia «4 – Alta». Conviene ceñirse a lo que ese aviso dice, porque es lo único que puede sostenerse:

• Entidades suplantadas: la Agencia Tributaria y, a través de ella, la DEHú
• Objetivo: que la víctima facilite sus credenciales de acceso a la DEHú
• Asunto de los correos: «Aviso puesta a disposición de nueva notificación electrónica REF-XXXXXXXX» — INCIBE publica la referencia enmascarada y advierte de que no descarta otros asuntos
• Dos páginas fraudulentas detectadas: una imita a la DEHú y otra a la sede de la AEAT
• Remate: tras capturar los datos, la web redirige a la página legítima de la Agencia Tributaria, de modo que la víctima no percibe nada anómalo

Lo que el aviso no cuantifica —y por tanto aquí tampoco— es el número de afectados, la duración de la campaña ni la infraestructura empleada.

Anatomía del Email Fraudulento

Remitente aparente:

De: Agencia Tributaria <notificaciones@agenciatributaria.gob.es>

Remitente real (visible en headers):

De: notificaciones@aeat-notificacion[.]com
Servidor origen: mail.phishing-server[.]ru (IP: 185.xxx.xxx.xxx)
SPF: FAIL (dominio no autorizado)
DKIM: NONE (sin firma digital)
DMARC: FAIL (fallo autenticación)

Asunto email (el que publica INCIBE, con la referencia enmascarada):

Aviso puesta a disposición de nueva notificación electrónica REF-XXXXXXXX

Cuerpo mensaje:

Estimado contribuyente,

Le informamos que tiene disponible una nueva notificación electrónica
en su Dirección Electrónica Habilitada Única (DEHú).

Referencia: REF-XXXXXXXX
Fecha emisión: 05/02/2026
Tipo: Liquidación provisional
Plazo acceso: 10 días naturales

Para consultar el contenido de la notificación acceda mediante el
siguiente enlace:

[Acceder a DEHú] → https://dehu-notificaciones[.]com/acceso

Si no accede en el plazo indicado, la notificación se considerará
efectuada y podrían derivarse consecuencias administrativas.

Agencia Estatal de Administración Tributaria

Página destino (phishing site):

URL: https://dehu-notificaciones[.]com/acceso
Hosting: Servidor extranjero (Rusia/China)
Certificado SSL: Válido (⚠️ certificado no garantiza legitimidad)

Contenido página:
  - Logo oficial AEAT + DEHU (copiados)
  - Formulario credenciales:
      * DNI/NIE
      * Contraseña Cl@ve Permanente
      * Código SMS (captura segundo factor autenticación)
  - Diseño idéntico sitio oficial

Indicadores Técnicos de Fraude

1. Dominio falso:

• Oficial: dehu.redsara.es
• Fraudulento: dehu-notificaciones.com

2. Headers email:

Received: from mail.phishing-server.ru (185.xxx.xxx.xxx)
Return-Path: <bounce@aeat-notificacion.com>
Authentication-Results:
  spf=fail (sender IP is 185.xxx.xxx.xxx)
  dkim=none (message not signed)
  dmarc=fail action=none

⚠️ Fallos SPF+DKIM+DMARC = email NO legítimo

3. Enlaces sospechosos (qué mirar en el WHOIS):

• Antigüedad del dominio: un registro de días o semanas frente a una sede oficial que lleva años
• Registrador de bajo coste con registro anónimo y pago en cripto
• WHOIS con datos del titular ocultos tras un servicio de privacidad

4. Técnicas persuasión:

• Urgencia: “10 días naturales”
• Miedo: “consecuencias administrativas”
• Autoridad: Logos oficiales + lenguaje administrativo
• Ingeniería social: Fecha emisión realista, referencia numérica convincente

Análisis forense email phishing: verificación SPF, DKIM y DMARC

Metodología Análisis Headers

Herramientas utilizadas:

• Google Workspace (Gmail): “Mostrar original” → análisis completo headers
• Microsoft Outlook: Propiedades → Headers mensaje
• Thunderbird: Ctrl+U → Código fuente
• Herramientas online: MXToolbox Header Analyzer, Google Admin Toolbox

Verificación SPF (Sender Policy Framework)

Qué es SPF: Registro DNS que autoriza qué servidores pueden enviar emails desde un dominio.

Análisis SPF campaña DEHU:

## SPF oficial AEAT
$ dig txt agenciatributaria.gob.es
agenciatributaria.gob.es. 3600 IN TXT "v=spf1 ip4:94.142.xxx.xxx/24 -all"

## Email fraudulento origen: 185.xxx.xxx.xxx (IP Rusia)
## Resultado: FAIL (IP no autorizada en registro SPF)

Interpretación header SPF:

Authentication-Results: mx.google.com;
  spf=fail (google.com: domain of notificaciones@aeat-notificacion.com
  does not designate 185.xxx.xxx.xxx as permitted sender)
  smtp.mailfrom=notificaciones@aeat-notificacion.com

🚨 INDICADOR PHISHING: SPF=FAIL

Verificación DKIM (DomainKeys Identified Mail)

Qué es DKIM: Firma criptográfica que vincula el mensaje con el dominio que firma y protege las partes firmadas. Ojo con el matiz: no identifica necesariamente al remitente visible —el From puede ser otro— y no cubre lo que quede fuera de la firma.

Análisis DKIM campaña DEHU:

Authentication-Results: mx.google.com;
  dkim=none (message not signed)

🚨 INDICADOR PHISHING: DKIM=NONE (mensaje sin firmar)

Email legítimo AEAT (comparación):

Authentication-Results: mx.google.com;
  dkim=pass header.i=@agenciatributaria.gob.es header.s=selector1
  header.b=kJ8Hs2Lm

⚠️ «El correo real siempre tiene DKIM=PASS» **no es cierto**: un correo legítimo reenviado puede fallarlo, y el que manda es el resultado de DMARC con identificador alineado.

Verificación DMARC (Domain-based Message Authentication)

Qué es DMARC: Política que indica qué hacer con emails que fallan SPF/DKIM.

Análisis DMARC campaña DEHU:

Authentication-Results: mx.google.com;
  dmarc=fail (p=REJECT sp=REJECT dis=none) header.from=agenciatributaria.gob.es

Política DMARC AEAT: p=REJECT
Acción recomendada: RECHAZAR email (debería haber ido a spam)

🚨 INDICADOR PHISHING: DMARC=FAIL

Análisis Hop Path (Ruta Servidores)

Headers campaña phishing:

Received: from mail.phishing-server.ru (185.xxx.xxx.xxx)
  by mx.google.com with ESMTPS id abc123
  for <victima@gmail.com>
  Wed, 5 Feb 2026 09:15:32 -0800 (PST)

Received: from smtp-relay.offshore-host.com (45.xxx.xxx.xxx)
  by mail.phishing-server.ru
  Wed, 5 Feb 2026 18:15:27 +0100

🚨 INDICADORES SOSPECHOSOS:
  - Servidor origen: Rusia (.ru)
  - IP origen: 185.xxx.xxx.xxx (no rango oficial AEAT)
  - Relay: Hosting offshore (45.xxx.xxx.xxx)

Comparación email legítimo AEAT:

Received: from smtp-aeat.agenciatributaria.gob.es (94.142.xxx.xxx)
  by mx.google.com with ESMTPS id xyz789
  Mon, 3 Feb 2026 10:22:15 -0800 (PST)

✅ INDICADORES LEGÍTIMOS:
  - Servidor: smtp-aeat.agenciatributaria.gob.es
  - IP origen: 94.142.xxx.xxx (rango oficial AEAT en España)
  - Sin relays intermedios sospechosos

Identificar notificaciones DEHU fraudulentas: 8 señales clave

1. El remitente visible no decide nada

Ésta es la señal que más engaña, y conviene empezar por ella precisamente por eso. El campo «De:» se falsifica sin dificultad: en el ejemplo de arriba muestra notificaciones@agenciatributaria.gob.es, que es el dominio oficial auténtico. Quien se quede en el nombre del remitente da por bueno el correo.

Qué sí decide: el resultado de SPF, DKIM y DMARC que la propia bandeja calcula sobre las cabeceras, y que se explica en detalle más abajo. Un From oficial con dmarc=fail es exactamente el perfil del correo suplantado.

Cómo verlo:

Gmail:      Menú del mensaje → "Mostrar original" → bloque Authentication-Results
Outlook:    Archivo → Propiedades → Encabezados de Internet
Thunderbird: Ctrl+U → código fuente del mensaje

Cuándo el remitente sí delata: cuando ni siquiera se molestan en falsificarlo y el dominio es aproximado —@aeat-notificacion.es, @agenciatributaria.info, @notificaciones-electronicas.net—. Es la variante torpe, no la peligrosa.

2. Enlaces y Dominios en Mensaje

URL legítima DEHU: https://dehu.redsara.es URL legítima AEAT: https://sede.agenciatributaria.gob.es

Técnica phishing: Dominios similares con typosquatting

• dehu-redsara.es (guion añadido)
• dehú.com (TLD diferente)
• redsara-dehu.info

Verificación hover: Pasar ratón sobre enlace (SIN hacer click) → URL real aparece abajo navegador

3. Solicitud Credenciales Directas

NUNCA hacen legítimamente:

• DEHU/AEAT NUNCA piden introducir contraseña Cl@ve en email
• NUNCA solicitan datos bancarios completos
• NUNCA piden códigos SMS segundo factor

Email legítimo DEHU:

• Avisa que hay notificación disponible
• Proporciona referencia/número expediente
• Lo prudente es teclear tú mismo dehu.redsara.es en vez de seguir el enlace del correo. Pero cuidado con el criterio contrario: que un aviso oficial lleve enlace no lo convierte en falso —el manual de DEHú contempla que los avisos incluyan enlace—, así que descartar por eso puede hacerte perder una notificación real

4. Urgencia y Amenazas

Lenguaje phishing típico:

• “Último aviso: 24 horas para evitar sanción”
• “Cuenta bloqueada - acción inmediata requerida”
• “Expediente sancionador iniciado - regularice antes de…”

Comunicación oficial DEHU:

• Plazos reales: 10 días naturales (no “24 horas”)
• Lenguaje administrativo formal (no alarmista)
• Siempre incluye datos expediente/referencia

5. Errores Ortográficos y Redacción

Indicadores phishing:

• Tildes incorrectas: “Notificación” (sin tilde)
• Espacios anómalos: “Agencia Tributaria” (doble espacio)
• Mayúsculas erróneas: “URGENTE LEER ANTES 48 HORAS”

Emails oficiales:

• Formato administrativo estándar
• (La «redacción impecable» y la ausencia de faltas no son indicio de legitimidad: el propio aviso de INCIBE sobre esta campaña describe los correos fraudulentos como bien escritos y maquetados. Las faltas delatan a un phishing malo, no acreditan al bueno.)

6. Certificado SSL y HTTPS

⚠️ IMPORTANTE: HTTPS NO garantiza legitimidad

Phishing con SSL:

https://dehu-notificaciones.com
  ✅ Certificado válido (Let's Encrypt)
  🚨 Pero dominio FRAUDULENTO

Verificación correcta:

1. ✅ HTTPS (candado verde)
2. ✅ Dominio oficial exacto (dehu.redsara.es)
3. ✅ Certificado emitido para dominio correcto

7. Adjuntos Sospechosos

DEHU NUNCA envía:

• Archivos .exe, .zip, .rar adjuntos
• Documentos con macros habilitadas (.docm, .xlsm)
• PDFs con enlaces externos embebidos

Notificación oficial DEHU:

• Documentos disponibles en plataforma (sin adjuntos email)
• Si adjunto: PDF simple sin scripts (visualizable navegador)

8. Verificación Multifactor

Procedimiento seguro:

1. NO hacer click enlaces email
2. Abrir navegador manualmente
3. Escribir URL oficial: dehu.redsara.es
4. Login Cl@ve directo
5. Comprobar si notificación existe realmente

Si notificación NO aparece en plataforma oficial → era phishing

Rol del perito informático forense en análisis phishing DEHU

El correo fraudulento se agota en minutos: el dominio cae, la web se retira y el proveedor rota la infraestructura. Lo que queda como prueba es lo que se haya preservado antes, y con la trazabilidad intacta. Ése es el trabajo del perito informático forense aquí, y es la diferencia entre una captura de pantalla —impugnable— y un informe que aguante la contradicción en sala.

Servicios Peritación Phishing

1. Análisis Técnico Email Fraudulento:

Análisis completo headers:
  - Trazabilidad servidores (hop path)
  - Verificación SPF/DKIM/DMARC
  - Identificación IP origen
  - Geolocalización servidores
  - Timestamp análisis temporal

Extracción metadata:
  - Message-ID único
  - X-Originating-IP, si aparece: es una cabecera **no estándar** que el servidor receptor no escribe, así que indica la IP que declaró el sistema emisor y no acredita por sí sola el origen
  - Received headers completos
  - Return-Path análisis

Herramientas forenses:
  - Thunderbird + Add-ons forenses
  - MXToolbox Header Analyzer
  - Google Admin Toolbox Messageheader
  - VirusTotal email analysis

2. Análisis Página Phishing (Web Fraudulenta):

Infraestructura hosting:
  - WHOIS dominio (registrador, fecha creación)
  - DNS records (A, MX, TXT)
  - IP hosting + ASN (Autonomous System Number)
  - Geolocalización servidor
  - Certificado SSL análisis

Código fuente web:
  - HTML/JavaScript ofuscado
  - Scripts captura credenciales
  - Formularios POST destino
  - Cookies tracking implementadas

Screencapture forense:
  - Captura pantalla página phishing
  - Comparativa diseño original vs. fake
  - Timestamp evidencia
  - Hash integridad (SHA-256)

3. Recuperación Credenciales Comprometidas:

Si víctima introdujo credenciales:
  - Timeline acceso fraudulento
  - Cambio contraseñas Cl@ve urgente
  - Revisión accesos recientes DEHU/AEAT
  - Comprobación declaraciones tributarias presentadas
  - Verificación movimientos bancarios (si datos facilitados)

4. Trazabilidad Atacantes:

Investigación OSINT:
  - Infraestructura phishing relacionada (campañas previas)
  - Dominios registrados misma entidad (WHOIS clustering)
  - IPs origen correlacionadas (botnet analysis)
  - Attribution (país/grupo APT si identificable)

Cooperación LEA:
  - Reporte coordinado con Guardia Civil (Departamento Contra el Cibercrimen)
  - Colaboración INCIBE-CERT
  - Notificación Europol (si infraestructura europea)
  - Solicitud takedown hosting provider

Documentación Pericial Judicial

Informe pericial phishing DEHU (estructura típica):

1. OBJETO DEL PERITAJE
   - Análisis email fraudulento suplantando AEAT+DEHU
   - Verificación legitimidad notificación electrónica
   - Identificación infraestructura phishing

2. METODOLOGÍA
   - Herramientas utilizadas (Thunderbird, MXToolbox, etc.)
   - Procedimiento análisis headers
   - Chain of custody evidencia digital

3. ANÁLISIS TÉCNICO
   3.1 Headers email completos
   3.2 Verificación SPF/DKIM/DMARC (resultado: FAIL)
   3.3 Trazabilidad servidores (Rusia, IP 185.xxx.xxx.xxx)
   3.4 Análisis página phishing (dominio fraudulento)

4. CONCLUSIONES
   - Email es fraude (phishing confirmado)
   - Infraestructura extranjera (Rusia/offshore)
   - Credenciales potencialmente comprometidas
   - Daño económico estimado (si procede)

5. ANEXOS
   - A. Headers completos email
   - B. Capturas pantalla página phishing
   - C. WHOIS dominio fraudulento
   - D. Timeline accesos fraudulentos

Admisibilidad judicial:

• Informe firmado digitalmente por perito
• Metodología replicable (otro perito debe poder reproducir análisis)
• Cadena custodia evidencia (hashes SHA-256)
• Ratificación juicio (si tribunal lo requiere)

Marco legal y consecuencias penales phishing DEHU

Tipificación Penal

Artículo 248 CP — Estafa (tenor vigente):

"Cometen estafa los que, con ánimo de lucro, utilizaren engaño bastante
para producir error en otro, induciéndolo a realizar un acto de disposición
en perjuicio propio o ajeno.

Los reos de estafa serán castigados con la pena de prisión de seis meses
a tres años."

Aplicado al fraude sobre la DEHú, el engaño es la suplantación de la AEAT y el error es creer que existe una notificación. El acto de disposición no es entregar las credenciales —eso todavía no empobrece a nadie—, sino la operación patrimonial que el defraudador consigue después con ellas. Esa distinción es la que decide qué tipo se aplica: cuando el engaño recae sobre una persona, es estafa común; cuando no hay nadie a quien engañar y lo que se manipula es una máquina, el tipo es el 249.1.a.

Artículo 249.1.a CP — Estafa informática (el texto real, tras la LO 14/2022):

"También se consideran reos de estafa y serán castigados con la pena de
prisión de seis meses a tres años:

a) Los que, con ánimo de lucro, obstaculizando o interfiriendo indebidamente
   en el funcionamiento de un sistema de información o introduciendo,
   alterando, borrando, transmitiendo o suprimiendo indebidamente datos
   informáticos o valiéndose de cualquier otra manipulación informática o
   artificio semejante, consigan una transferencia no consentida de
   cualquier activo patrimonial en perjuicio de otro."

El elemento que no puede faltar es la transferencia no consentida de un activo patrimonial: sin ella no hay estafa informática consumada, por muy sofisticado que sea el artificio. Hasta la LO 14/2022 —en vigor desde el 12 de enero de 2023— este mismo supuesto vivía en el art. 248.2 CP, y así lo citan las resoluciones anteriores.

Agravación por la cuantía — artículo 250.1.5.º CP, no el 248 ni el 249:

"El delito de estafa será castigado con las penas de prisión de uno a seis
años y multa de seis a doce meses, cuando: (…)

5.º El valor de la defraudación supere los 50.000 euros, o afecte a un
    elevado número de personas."

Una campaña masiva como la de la DEHú puede alcanzar este subtipo por cualquiera de las dos vías, y la segunda —el elevado número de perjudicados— es la que suele operar cuando el importe individual es modesto.

Artículo 197 CP - Descubrimiento y Revelación de Secretos:

"El que, para descubrir los secretos o vulnerar la intimidad
de otro, sin su consentimiento, se apodere de sus papeles,
cartas, mensajes de correo electrónico o cualesquiera otros
documentos o efectos personales..."

Penas:
  - Prisión 1 a 4 años
  - Multa 12 a 24 meses

Aplicación phishing DEHU:
  - Apoderamiento credenciales Cl@ve
  - Acceso sin consentimiento buzón DEHU
  - Visualización notificaciones tributarias (secreto fiscal)
  - Descarga documentos sensibles (liquidaciones, requerimientos)

Encaje penal del fraude sobre la DEHU

El phishing que suplanta a la DEHú para hacerse con credenciales Cl@ve no consuma por sí solo el art. 249.1.a: ese tipo exige que la manipulación informática consiga una transferencia no consentida de activo patrimonial, como el propio artículo explica más arriba. La captura de credenciales es el paso previo. Cuando la transferencia llega, el art. 249.1.a CP transcrito arriba encaja: el inciso «cualquier otra manipulación informática o artificio semejante» es el que absorbe las técnicas que no existían cuando se redactó el tipo. Como las resoluciones anteriores a 2023 lo citan por su numeración antigua, conviene buscarlo también como art. 248.2: ver artículo 248 del Código Penal.

Cuando además hay acceso al buzón y lectura de notificaciones, concurre el art. 197.1 CP (descubrimiento de secretos), y el acceso al sistema sin autorización se tipifica de forma autónoma en el art. 197 bis CP. Quien recibe y reexpide el dinero —el mulero— responde por blanqueo del art. 301 CP, incluso en su modalidad imprudente, que es la vía por la que suelen condenarse estos casos.

Doctrina de la Fiscalía General del Estado — las dos circulares que fijan el criterio del Ministerio Fiscal en investigación tecnológica:

• Circular 1/2019, sobre medidas de aseguramiento de las diligencias de investigación tecnológica (arts. 588 bis y ss. LECrim)
• Circular 5/2019, sobre registro de dispositivos y equipos informáticos
• En la Memoria de 2025, la estafa informática concentra 22.614 de los 27.104 procedimientos —el 83,43 %— por criminalidad informática (83,43 %), y la Fiscalía señala la encriptación de las comunicaciones como su principal obstáculo de investigación

Consecuencias Civiles y Administrativas

Responsabilidad civil:

• Indemnización daños y perjuicios víctimas
• Lucro cesante (pérdida económica directa)
• Daño moral (estrés, tiempo empleado resolver)

Sanciones administrativas:

• Si afecta a autónomos o empresas: puede haber responsabilidad ante la AEPD, según el caso
• La notificación en 72 horas del art. 33 RGPD procede cuando sea probable un riesgo para los derechos y libertades: no es automática ante cualquier incidente
• No existe una «auditoría de seguridad obligatoria post-incidente» impuesta con carácter general

Prevención y respuesta ante phishing DEHU: protocolo seguridad

Medidas Preventivas Técnicas

1. Autenticación multifactor (MFA):

Cl@ve sistema oficial:
  - Cl@ve PIN: Código temporal SMS
  - Cl@ve Permanente: Contraseña + código SMS
  - Certificado digital: Criptografía PKI

⚠️ Phishing puede capturar códigos SMS en tiempo real
✅ Buena opción: certificado digital. Resiste mejor el phishing clásico, pero **no es inmune**: un certificado software y su clave se pueden copiar si el equipo está comprometido —por eso la FNMT prevé la revocación—. La resistencia depende de dónde esté la clave y de cómo se custodie.

2. Gestión credenciales segura:

• Password manager (1Password, Bitwarden, LastPass)
• Contraseñas únicas (no reutilizar Cl@ve para otros servicios)
• No fuerces cambios periódicos sin motivo: la guía vigente del NIST desaconseja la caducidad programada, porque empuja a variaciones previsibles. El cambio se fuerza cuando hay indicio de compromiso.

3. Filtros email corporativos:

SPF/DKIM/DMARC enforcement:
  - NO rechazar solo por SPF=FAIL: un correo legítimo reenviado
    lo falla y puede pasar DMARC por DKIM alineado
  - La decisión se toma sobre el resultado de DMARC
  - Verificar la firma DKIM en dominios críticos

Advanced Threat Protection:
  - Sandboxing enlaces sospechosos
  - Reescritura URLs (proxy análisis)
  - Detonación adjuntos (VM aislada)

4. Formación usuarios:

• Campañas awareness phishing (simulaciones controladas)
• Difusión alertas INCIBE en tiempo real
• Protocolo reporte emails sospechosos

Protocolo Respuesta Incidente

Si recibe email sospechoso DEHU/AEAT:

1. NO hacer click enlaces
2. NO descargar adjuntos
3. NO responder email
4. Reenviar a: incidencias@incibe-cert.es
5. Marcar como spam/phishing
6. Eliminar email
7. Verificar manualmente en dehu.redsara.es (escribiendo URL)

Si introdujo credenciales en página phishing:

URGENTE (menos de 1 hora desde compromiso):

1. Cambiar contraseña Cl@ve inmediatamente:
   - Acceder https://clave.gob.es
   - Cambiar contraseña Cl@ve Permanente
   - Revocar sesiones activas

2. Verificar accesos recientes:
   - DEHU: Histórico accesos
   - AEAT: Certificados presentados, borradores modificados
   - Seguridad Social: Vida laboral accesos

3. Contactar entidades:
   - AEAT: teléfono de asistencia publicado en sede.agenciatributaria.gob.es
   - Banco: Bloquear tarjetas (si datos bancarios facilitados)

4. Denunciar:
   - Guardia Civil (Departamento Contra el Cibercrimen): https://www.guardiacivil.es/es/tramites/denuncias/
   - Policía Nacional (Unidad Delitos Telemáticos)
   - INCIBE: 017 (línea ayuda ciberseguridad)

5. Contratar perito informático:
   - Análisis forense completo
   - Documentación evidencia
   - Informe pericial para denuncia

Timeline respuesta recomendada:

T+0 a T+1h:  Cambio credenciales urgente
T+1h a T+6h: Verificación accesos fraudulentos
T+6h a T+24h: Denuncia LEA + contacto perito
T+24h a T+72h: Informe pericial completo
T+72h: Presentación denuncia + informe judicial

FAQ

P: ¿DEHú envía correos con enlaces? R: Sí puede hacerlo. El manual oficial contempla que los avisos incluyan enlace, así que el criterio de que «no llevan enlace» o «siempre redirigen a la página de inicio» es peligroso en las dos direcciones: puede llevar a descartar un aviso legítimo, y a fiarse de un phishing solo porque no lleve enlace. La regla segura no depende de eso: no sigas el enlace del correo, teclea tú dehu.redsara.es.

P: ¿Cómo distinguir email legítimo AEAT de phishing? R: mirar el dominio del remitente, los resultados de autenticación y el destino real del enlace. Con un matiz técnico que importa: DMARC pasa si SPF o DKIM pasa con identificador alineado, no hace falta que los tres den PASS. Un fallo aislado de SPF es habitual en correos reenviados y no prueba phishing por sí solo; lo que sí es mala señal es que DMARC falle.

P: ¿Qué hacer si mi empresa recibió phishing DEHU masivamente? R: 1) Alertar empleados inmediatamente (email interno), 2) Bloquear dominio remitente firewall, 3) Configurar filtro SPF estricto, 4) Reportar INCIBE-CERT (incidencias@incibe-cert.es), 5) Documentar incidente para auditoría RGPD.

P: ¿Perito informático puede recuperar credenciales robadas? R: NO recupera credenciales (están comprometidas permanentemente), pero identifica: 1) Qué datos fueron capturados, 2) Timeline accesos fraudulentos, 3) Infraestructura atacantes, 4) Evidencia judicial para denuncia. Acción correcta: cambiar credenciales inmediatamente.

P: ¿Phishing DEHU admisible como prueba judicial sin perito? R: Posible pero arriesgado. Tribunales españoles requieren: 1) Cadena custodia evidencia (hashes integridad), 2) Análisis técnico headers (SPF/DKIM/DMARC), 3) Ratificación pericial si parte contraria impugna. Recomendación: siempre contratar perito para casos patrimoniales mayores de €5.000.

P: ¿Cuánto tarda resolución judicial caso phishing DEHU? R: Depende jurisdicción y complejidad: Denuncia → instrucción (6-18 meses) → juicio (12-24 meses adicionales). Total: 18 meses a 3 años típico. El monitorio no es una alternativa: el art. 812 LEC exige una deuda dineraria acreditada por documentos que provengan del deudor —facturas, albaranes, certificaciones—, y en un fraude no existe ninguno. La vía civil realista, cuando el dinero salió de una cuenta bancaria, es la reclamación a la entidad por operación de pago no autorizada del Real Decreto-ley 19/2018, que corre en paralelo a la denuncia penal y con plazos muy distintos: el art. 43 fija la notificación, el art. 44 pone la carga de la prueba en el proveedor —es él quien debe acreditar que la operación se autenticó correctamente, no el usuario que se autenticó— y el art. 45 le obliga a devolver el importe a más tardar al final del día hábil siguiente, salvo que el art. 46 permita repercutir la pérdida al ordenante por negligencia grave. Ahí es donde el informe pericial decide el resultado.

Referencias y Fuentes

1. INCIBE. (2026). “Notificaciones falsas que suplantan a la Agencia Tributaria (AEAT) y a la Dirección Electrónica Habilitada Única (DEHú)”. incibe.es

   • Alerta oficial campaña phishing febrero 2026
   • Recomendaciones protección ciudadanos

2. Guardia Civil. (2026). “Alerta de la Guardia Civil por una estafa en la que se hacen pasar por Hacienda”. Infobae

   • Campaña masiva phishing AEAT+DEHU febrero 2026
   • #NoPiques: objetivo robo credenciales acceso

3. OCU. (2026). “OCU alerta sobre una nueva campaña de phishing que suplanta a la Agencia Tributaria”. ocu.org

   • Notificación fraudulenta AEAT febrero 2026
   • Protocolo respuesta víctimas

4. Newtral. (2026). “Este supuesto aviso de la Agencia Tributaria es una estafa de phishing”. newtral.es

   • Análisis técnico email fraudulento
   • Comparativa notificación real vs. fake

5. DEIA. (2026). “Los ciberataques aumentaron un 26% en 2025, hasta los 122.223 incidentes en todo el Estado” — ⚠️ crónica de prensa, no fuente: su titular llama «ciberataques» a lo que INCIBE describe como incidentes gestionados por su CERT. La fuente primaria es la nota de INCIBE, citada arriba. deia.eus

   • Estadísticas: 122.223 incidentes de ciberseguridad gestionados por INCIBE-CERT en 2025 (+26 %) — no «ciberataques en España»
   • 25.133 casos phishing específicamente

6. BOE. “Ley Orgánica 10/1995, de 23 de noviembre, del Código Penal” — texto consolidado, del que proceden los literales de los arts. 248, 249 y 250 citados arriba. boe.es

   • Incremento 40% phishing Q1 2025 vs. Q1 2024
   • Impacto económico y jurídico

7. BOE. (2015). “Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas”. boe.es

   • Marco legal DEHU y notificaciones electrónicas
   • Artículo 43.2: efectos jurídicos notificación electrónica

8. administración.gob.es. (2023). “Notificaciones - Trámites y Servicios Electrónicos”. administración.gob.es

   • Funcionamiento oficial sistema DEHU
   • Requisitos acceso y plazos legales

9. Cloudflare. (2025). “What are DMARC, DKIM, and SPF?”. cloudflare.com

   • Explicación técnica protocolos autenticación email
   • Implementación anti-phishing SPF/DKIM/DMARC

10. BOE. (2018). “Real Decreto-ley 19/2018, de 23 de noviembre, de servicios de pago y otras medidas urgentes en materia financiera”. boe.es

    • Art. 44: la carga de probar la autenticación recae en el proveedor de pago
    • Arts. 45 y 46: devolución del importe y límites de la responsabilidad del ordenante

11. Iberley. (2023). “Delito de estafa informática: art. 249 CP”. iberley.es

    • Reforma CP: art. 248.2 → art. 249 (2023)
    • Tipificación penal phishing España

12. Laby Peritos Informáticos. (2025). “Peritación informática de phishing”. laby.es

    • Metodología análisis forense phishing
    • Documentación judicial admisible

13. Perito Informático David Soto. (2025). “Peritaje de Correos Electrónicos”. peritacionesinformaticas.es

    • Análisis headers email forensics
    • Verificación SPF/DKIM/DMARC pericial

14. STANS Abogados. (2024). “Usurpación de Identidad Digital: Consecuencias Penales”. stansabogados.com

    • Artículo 197 CP: descubrimiento secretos
    • Suplantación identidad marco legal

15. ARCJ Legal. (2024). “El delito de Phishing en España: Regulación Legal y Condenas”. arcj.es

    • Jurisprudencia phishing España
    • Penas aplicables y sentencias relevantes

Última actualización: 10 Febrero 2026 Categoría: Fraudes (FRA-005) Nivel técnico: Intermedio Relevancia forense: MUY ALTA (campaña activa febrero 2026) Urgencia respuesta: CRÍTICA (menos de 1 hora si credenciales comprometidas)