Cómo saber si un correo del SAT es falso (guía 2026)
¿Te llegó un correo del SAT? Aprende a detectar un correo falso del SAT: remitente, Buzón Tributario, qué nunca te pide y qué hacer si ya diste clic.
Te llega un correo que dice venir del SAT: hay una “inconsistencia” en tu declaración, una multa pendiente o tienes que “activar” tu Buzón Tributario hoy mismo. Antes de abrir nada, respira. Un correo falso del SAT es uno de los engaños más comunes en México, y casi siempre se delata con unas cuantas señales que puedes revisar en un minuto.
En esta guía te explicamos cómo saber si un correo del SAT es real, qué nunca te va a pedir el SAT por correo y qué hacer si ya diste clic.
¿Por qué los estafadores se hacen pasar por el SAT?
Porque el SAT da miedo. Nadie quiere una multa, un embargo o problemas con Hacienda, y los delincuentes lo saben. El mensaje está pensado para que actúes rápido, sin pensar.
Estos correos aumentan en temporada de declaración anual. En abril de 2026, el Colegio de Contadores Públicos en Cancún advirtió que en esas semanas los mensajes falsos pasan más desapercibidos, porque mucha gente sí está esperando noticias del SAT.
El objetivo casi siempre es uno de estos tres: que entres a una página falsa y escribas tu RFC y contraseña, que des datos de tu tarjeta o que descargues un archivo que infecta tu computadora.
Estimado contribuyente [email protected]: detectamos que su Buzón Tributario no está activo. Si no completa el formulario en las próximas 24 horas, se le aplicará una multa de $18,500 MXN. Descargue el comprobante adjunto o ingrese con su RFC y contraseña.
Activar Buzón ahora¿Cómo saber si un correo del SAT es real?
El propio SAT publica qué hace y qué no hace por correo. Con eso en mente, revisa esto:
- El remitente no termina en
@sat.gob.mx. Si viene de Gmail, Outlook o de algo parecido pero distinto (comosat-gob-mx.info), es falso. Ojo: el remitente también se puede falsificar, así que un dominio correcto no basta por sí solo. - Te llama por tu correo electrónico. El SAT aclara que en sus correos no se refiere al contribuyente por su dirección de correo.
- Te pide contraseña, e.firma o datos personales. El SAT dice que no solicita información personal, claves ni contraseñas por correo.
- Trae un archivo para descargar o ejecutar. El SAT no distribuye software ni te pide guardar o abrir archivos.
- Tiene un enlace para “validar”, “actualizar” o “activar”. Según el SAT, no manda enlaces por correo para trámites.
- Amenaza con multas, embargos o plazos de horas. La prisa es la carnada. Algunas campañas ponen montos de multa distintos en cada correo.
- Logotipos borrosos, deformes o con faltas de ortografía. El SAT advierte que sus logos y los de la SHCP no deben verse distorsionados.
Un caso real: la devolución "rechazada"
Este correo llegó a una empresa mexicana que se lo reenvió a Dory. No amenaza con una multa: te dice que el SAT rechazó tu devolución de impuestos y que la razón está "en el documento anexado". Lo reconstruimos tal como llegó, con los datos de los destinatarios ocultos:
Su solicitud para devolución por diferencia de saldo positivo respecto al IRS de 2022 ha sido rechazada, esto debido a inconsistencias en el llenado del formato correspondiente, las razones podrían ser una o varias de las siguientes:
- RFC incorrecto
- Cuenta CLABE errónea
- Cuenta CLABE a nombre distinto del beneficiario
- Inconsistencias en las cantidades de gastos y percepciones declarados
- Facturas y/o recibos de percepciones sospechosos o incorrectos
- Datos del contribuyente erróneos o distintos a los existentes en SAT
La razón exacta de esta decisión, así como su posible solución se encuentran detallados en el documento anexado en el siguiente enlace:
Documento SAT Detalles
Recuerda que el SAT no distribuye software, ni requiere información personal, claves o contraseñas por correo electrónico. Si recibes un mensaje de este tipo, no descargues ningún programa ni envíes información.
Tus datos personales son incorporados y protegidos en los sistemas del SAT, de conformidad con los Lineamientos de Protección de Datos Personales y con las diversas disposiciones fiscales y legales sobre confidencialidad y protección de datos, a fin de ejercer las facultades conferidas a la Autoridad Fiscal.
«Documento SAT Detalles» lleva a: tags.bluekai.com/site/…?redir=https://satmail5.click:000000…000443/?XUUJ…
- Dirección disfrazada. El enlace lleva a
satmail5.clicky le pega una fila enorme de ceros antes del puerto (:000…443), un truco para que los filtros de seguridad no lo reconozcan. - Se hace pasar por el SAT con un enlace que no es de sat.gob.mx. Presiona con un trámite fiscal para que des clic.
- Habla de tu dinero. Menciona tu cuenta CLABE y una devolución para que quieras "arreglarlo" rápido.
- Prisa. El asunto dice "Ultimo Aviso".
Y lo que puedes ver tú: dice IRS, que es la oficina de impuestos de Estados Unidos, en lugar de ISR, porque es una plantilla traducida. Lo mandaron a 15 direcciones a la vez, entre ellas dependencias de gobierno: el SAT te notifica a ti, en tu Buzón Tributario, no en copia con desconocidos. Y antes de llegar a satmail5.click, el enlace pasa por un redireccionador de publicidad (bluekai.com) para que el destino no se vea a simple vista. El logotipo tampoco viene del SAT: se cargaba desde imgur.com, un sitio para compartir imágenes.
¿Cómo te notifica de verdad el SAT? El Buzón Tributario
El SAT te notifica de forma oficial a través del Buzón Tributario, que vive dentro de sat.gob.mx. Para entrar necesitas tu RFC con tu Contraseña o tu e.firma.
Cuando tienes algo pendiente, el SAT puede mandarte un aviso al correo o al celular que registraste en el Buzón. Pero ese aviso solo te dice que hay un mensaje esperándote; el documento lo lees cuando inicias sesión en el portal oficial.
Por eso el engaño de “activa tu Buzón Tributario con este formulario” es tan común. En abril de 2025, la empresa de ciberseguridad Kaspersky alertó sobre correos que pedían llenar un formulario externo para evitar multas. El trámite real no usa formularios externos, y el SAT no manda instrucciones así por correo.
| Correo real del SAT | Correo falso del SAT |
|---|---|
| Te avisa que tienes un mensaje en tu Buzón Tributario | Te manda un enlace o formulario para “activar” o “validar” |
| No te pide contraseña, e.firma ni datos de tarjeta | Te pide RFC y contraseña, e.firma o tarjeta |
| No trae archivos para descargar o ejecutar | Trae un adjunto (.zip, .exe, PDF “con tu factura”) |
| Logos nítidos y bien escritos | Logos deformes, faltas de ortografía |
| Tú entras por tu cuenta a sat.gob.mx | Te empuja a entrar desde el botón del correo |
¿Cómo verificar un correo sospechoso del SAT sin arriesgarte?
- No des clic ni abras adjuntos. Mientras dudas, no toques nada del correo.
- Busca el remitente en el buscador del SAT. El SAT tiene un buscador de correos falsos con las direcciones que ya identificó. Si la dirección no aparece, el SAT pide reportarla a
[email protected]. - Entra tú mismo a tu Buzón Tributario. Escribe sat.gob.mx en el navegador e inicia sesión. Si el aviso fuera real, ahí estará el mensaje.
- Si sigues con dudas, llama a MarcaSAT. El SAT indica que su único número de contacto telefónico es MarcaSAT: 55 6272 2728. Desconfía de cualquier otro número que venga en el correo.
- Pídele una segunda opinión a Dory. Pega el correo en dory.mx o reenvíalo a [email protected] y te respondemos con un veredicto.
Si vas a pegar el correo en otro lado, como un chatbot, primero quita tu RFC, tu nombre y otros datos personales. Para eso está el anonimizador de Dory; te contamos por qué importa en qué datos no debes pegar en ChatGPT.
¿Qué hacer si ya diste clic en un correo falso del SAT?
- Cambia tu Contraseña del SAT. Hazlo entrando tú mismo a sat.gob.mx, no desde el correo. Si usaste esa misma contraseña en otros servicios, cámbiala también ahí.
- Si diste datos de tu tarjeta, llama a tu banco. Pide que bloqueen la tarjeta y revisa tus movimientos. La CONDUSEF recomienda avisar a tu banco lo antes posible.
- Si abriste o ejecutaste un archivo, revisa tu equipo. Es lo que el propio SAT recomienda. Pasa un antivirus actualizado y, si puedes, pide ayuda a alguien de confianza que sepa de computadoras.
- Reporta y borra el correo. Envíalo a
[email protected]y elimínalo de tu bandeja.
Tenemos una guía más completa para estos casos: ya di mis datos, ¿qué hago?
Los mismos trucos aparecen con otros remitentes que dan miedo. Mira cómo funcionan los mensajes de multas vehiculares falsas en Guadalajara.
Fuentes: SAT, Correos falsos identificados (junio 2026), SAT, Buscador de correos falsos (junio 2026), SAT, Buzón Tributario, Uno TV (marzo 2026), Por Esto (abril 2026), El Imparcial (abril 2025), CONDUSEF, Tipos de fraude.
