Devolución falsa del SAT: el correo que roba tu e.firma

Llega un correo con el escudo de Hacienda y una buena noticia: tienes un saldo a favor listo para devolución automática por $18,420 pesos. Para depositarlo hoy mismo, el enlace te pide subir tus archivos .cer y .key junto con la contraseña de tu e.firma. Si los subes, no recibes ningún depósito: le entregas tu identidad fiscal completa a un tercero. Aquí te explicamos cómo opera este fraude, por qué la e.firma es tan delicada y cómo verificar cualquier aviso en el Buzón Tributario real.

¿Cómo funciona el correo falso de devolución del SAT?

A diferencia de los correos que intentan instalar un virus en tu computadora, este engaño busca que tú mismo entregues las llaves de tu RFC en una página que imita el portal del Servicio de Administración Tributaria (SAT):

1. El anzuelo económico. Recibes un correo o SMS que anuncia una "Devolución de ISR aprobada" o un "Saldo a favor pendiente de dispersión" con un monto atractivo y un plazo de 24 a 48 horas antes de que expire.
2. El remitente disfrazado. El nombre visible dice "SAT · Buzón Tributario", pero la dirección real detrás del remitente pertenece a un dominio ajeno (terminaciones como .com, .org, .net o servidores comprometidos que no son @sat.gob.mx).
3. El formulario clonado. Al dar clic en "Confirmar CLABE y recibir depósito", entras a una réplica visual del login del SAT que solicita cargar el certificado (.cer), la llave privada (.key) y la contraseña de tu firma electrónica, además de una cuenta CLABE.
4. El uso de tu e.firma. Con tus archivos y tu contraseña, los atacantes entran al portal real del SAT en cuestión de minutos.

¿Cómo se ve el mensaje?

De: Buzón Tributario SAT <[email protected]>Asunto: Aviso de Saldo a Favor ISR #0082 — Confirmación de cuenta CLABE

Estimado contribuyente: Se ha determinado un saldo a favor por $18,420.00 MXN correspondiente al ejercicio fiscal vigente. Para dispersar el depósito vía SPEI antes de las 18:00 hrs, valide su identidad cargando su e.firma (.cer y .key) en el portal de devoluciones.

Validar e.firma y recibir devolución

• El correo viene de un dominio que no termina exactamente en @sat.gob.mx.
• Incluye un botón o enlace directo a un formulario que pide subir tus archivos .cer y .key.
• Promete depositar un saldo a favor en pocas horas si "confirmas tu identidad" de inmediato.
• No menciona tu RFC completo ni el número de folio de un trámite real que tú hayas presentado.

¿Cómo verifico si de verdad tengo un saldo a favor en el SAT?

Nunca entres desde el enlace del correo. Haz la verificación por tu cuenta en menos de dos minutos:

1. Abre tú mismo el navegador. Escribe manualmente sat.gob.mx en la barra de direcciones.
2. Entra a tu Buzón Tributario. Revisa la sección de Notificaciones y de Comunicados. Si el SAT te envió un aviso real, siempre queda registrado adentro de tu Buzón Tributario.
3. Consulta el estado de tu devolución. En el menú de Devoluciones y compensaciones → Seguimiento de trámites y requerimientos puedes ver si existe algún saldo a favor real asociado a tu declaración.
4. Analiza el correo antes de dar clic. Pega el texto o el enlace sospechoso en dory.mx o reenvíalo a [email protected] para verificar el dominio y los encabezados del mensaje.

¿Qué hago si ya subí mis archivos .cer y .key en una página falsa?

1. Revoca tu certificado de inmediato en CertiSAT Web. Si aún conservas acceso o cuentas con tu Contraseña (antes CIEC), entra a CertiSAT Web dentro de sat.gob.mx y revoca el certificado de tu e.firma y tus Certificados de Sello Digital (CSD). Si no puedes hacerlo en línea, acude ese mismo día a una oficina del SAT para revocarlo presencialmente.
2. Cambia tu Contraseña del portal (CIEC). Actualiza también la clave de acceso con la que entras por RFC y contraseña.
3. Revisa las facturas emitidas a tu nombre. Entra a Factura electrónica → Cancela y recupera tus facturas y verifica que nadie haya timbrado CFDI con tu RFC en las últimas horas.
4. Verifica tu cuenta CLABE en el Buzón Tributario. Confirma que no hayan registrado una cuenta bancaria ajena en tus solicitudes de devolución.
5. Denuncia el sitio falso. Envía el correo apócrifo a [email protected] y repórtalo en el buscador de sitios apócrifos del SAT.

Para conocer todas las señales de los mensajes que suplantan a Hacienda, revisa nuestra guía para saber si un correo del SAT es falso y el análisis de facturas falsas en PDF que instalan troyanos bancarios.

Fuentes: SAT, Buscador de sitios de internet y correos apócrifos, Servicio de Administración Tributaria — Trámites de e.firma y CertiSAT Web.