Kripto iruzurrak: AEATren izenean bidalitako ordainketa-phishinga
Kripto iruzurrak ez dira soilik inbertsio-plataforma faltsuen bidez gertatzen. Mezu batek Zerga Agentziaren edo Ogasun Ministerioaren izena erabili eta ustezko zor bat kriptomonetan ordaintzeko eskatzen badu, arreta berezia behar du. AEATk 2026ko maiatzaren 20an ohartarazi zuen agentzia ordezkatzen zuen posta kanpaina bati buruz: nazioarteko zerga-regularizazio baten aitzakiarekin wallet batera ordainketa bidaltzea eskatzen zuen. Abisu ofizialak adierazten du AEATk ez duela blockchain walletik erabiltzen kriptomonetan ordainketak eskatzeko.
Abisuaren garrantzia Basque irakurlearentzat argia da: administrazio baten izena, arau-hiztegia eta itxura instituzionala dituen mezu bat ere faltsua izan daiteke. Iruzurgileek benetako zerga-terminoak erabil ditzakete, presazko epe bat jarri eta hartzaileari klik eginarazi. Mezua sinesgarria iruditu arren, ez egin klik barruko estekan eta ez erantzun bidaltzaileari. Egiaztatu jakinarazpena Zerga Agentziaren egoitza elektroniko ofizialean, helbidea zuk zeuk idatzita edo ezagutzen duzun webgune ofizialetik sartuta.
Zer seinale aztertu mezuan
Lehen begiratu bidaltzailearen helbidea, baina ez fidatu izen ikusgarriarekin bakarrik. Posta-programak “Agencia Tributaria” erakuts dezake, nahiz eta benetako domeinua beste bat izan. Irakurri @ ikurraren ondoko domeinua eta egiaztatu letrak, marratxoak eta luzapena. AEATren 2026ko abisuak domeinu ez-ofizial bat aipatzen du, eta kriptoordainketa helburu gisa. Zure mezuak banku-transferentzia arruntaren ordez BTC edo ERC-20 helbidera bidaltzeko eskatzen badu, geldiarazi prozesua eta egiaztatu iturria aparteko kanal batean.
Presak ere arrisku-seinalea da. “Gaur ordaindu ezean, kontua blokeatuko da” edo “fitxategia minutu gutxian iraungiko da” moduko esaldiek pentsatzeko denbora kentzen dute. Zerga-komunikazio legitimo batek prozedura eta erantzuteko bideak azaldu behar ditu; ordainketa-wallet anonimo bat eta epe artifizial bat ez dira nahikoa zorra frogatzeko. Mezua ezabatu aurretik, gorde bidaltzailearen helbidea, data, ordua eta pantaila-argazkia, baina ez bidali pertsona-daturik bidaltzaileari.
Esteka batean HTTPS giltzarrapoa ikusteak ez du erakusten webgunea administrazioarena denik. Ziurtagiriak konexioa zifratu dezake, baina domeinu faltsu bat ofizial bihurtzen ez du. Ez ireki esteka mugikorreko SMS edo posta elektroniko batean. Nabigatzaileko helbide-barran idatzi AEATren egoitza elektronikoaren webgunea edo erabili aurrez gordetako laster-marka. Saioa hasteko, begiratu domeinu osoari eta ez jarraitu mezutik datorren QR kodea edo eranskina.
Zergen hizkera ere kopia daiteke
Kanpaina faltsu batek benetako lege-izena, nazioarteko arau bat edo erregularizazio-prozedura bat aipatu dezake. Terminologia zehatza izateak ez du dokumentua benetakoa bihurtzen. Egiaztatu jakinarazpena egoitza elektroniko ofizialean, zure espediente edo jakinarazpen atalean. Ez erabili mezuak emandako telefonoa edo ordainketa-hartzailea. Zalantza baduzu, bilatu harremanetarako bidea administrazioaren webgune ofizialetik eta galdetu ea jakinarazpena benetan existitzen den.
AEATren ohartarazpenak dio agentziak ez duela posta elektronikoz edo SMS bidez informazio konfidentzial, ekonomiko edo pertsonalik eskatzen, eta ez duela kripto-wallet batera ordaintzeko eskatzen. Mezu batek espediente-zenbaki bat, eranskin ofizial itxurakoa edo logo bat badu ere, egiaztapen bera egin behar da. Faltsututako PDF batek izen, sinadura eta zigilu irudi bat izan ditzake. Benetako egiaztapena zure kontu ofizialaren jakinarazpenen zerrendan egitea da, ez eranskinaren itxuran oinarritzea.
Ez eman daturik eta ez bidali aktiborik
Ez idatzi walletaren seed phrase-a, gako pribatua, kontuaren pasahitza edo SMS bidez jasotako kodea web-orri batean. Zerga-organo batek ez du zure wallet pribatuko gakoa behar zor bat kalkulatzeko. Pertsonak dokumentu baten argazkia edo banku-datuak eskatzen baditu, eten elkarrizketa eta jarraitu egiaztapen ofizialarekin. Ez instalatu urruneko kontrolerako aplikaziorik, eta ez partekatu pantaila balantzeak edo pasahitzak ikus badaitezke.
Ordainketa egin aurretik kriptomoneta helbide bat egiaztatu nahi izateak ere ez du mezua zilegi bihurtzen. Blockchain batean transakzioa baieztatuta geratzen bada, ez da ohiko banku-transferentzia bat bezala atzera bota daitekeen ordainketa. Horregatik, ziurgabetasunean ez bidali “probako” kopuru txikirik ere. Hartu denbora, egiaztatu komunikazioa agentzia ofizialarekin eta, egoera ekonomiko edo juridiko zehatz bat bada, eskatu aholkularitza independentea.
Ordainketa-eskaera faltsu bat nola kontrastatu
Mezuak zenbateko zehatz bat, kontu-identifikatzaile bat edo wallet helbide bat badakar ere, datu horiek ez dute zorra frogatzen. Ez konparatu helbidea soilik interneteko beste foro bateko iruzkinarekin; sartu egoitza ofizialean eta egiaztatu jakinarazpenak zure espedientean agertzen diren. Ezagutzen ez duzun komunikazio batek QR kodea badakar, ez eskaneatu. AEATren segurtasun-oharrak phishing-ak BTC edo ERC-20 ordainketa eska dezakeela eta mezuak terminologia instituzionala erabil dezakeela azaltzen du.
Dagoeneko erantzun edo ordaindu baduzu
Esteka ireki baina daturik sartu ez baduzu, itxi orria eta ez jarraitu elkarrizketan. Pasahitza edo kodea eman baduzu, aldatu kontuari dagokion gune ofizialetik zure kontrolpeko gailu batean, eta egiaztatu azken saioak. Walletaren gako pribatua edo seed phrase-a erakutsi bada, hartu informazioa agerian geratu dela; ez erabili berriro inorri bidalita dagoen sekretu hori. Kontu edo zerbitzu baten segurtasunari eragiten bazaio, jarri harremanetan hornitzailearen laguntzarekin bere webgune ofizialetik.
Kriptomoneta bidali baduzu, gorde transakzio-hasha, helmuga-helbidea, ordainketa-eskaera, posta-goiburuak eta komunikazioen data. Ez bidali ebidentzia osoa sare sozialetan, zure identitatea eta kontu-datuak ikusgai gera baitaitezke. Jakinarazi gertakaria dagokion polizia- edo kontsumo-babeserako kanal ofizialari. Guardia Zibilak badu egiaztatutako iruzurrezko inbertsio-webguneen bilatzailea, baina bertan agertzeak ez du esan nahi agertzen ez den webgune bat segurua denik. Oinarrizko egiaztapen bat da, ez segurtasun-bermea.
Beste plataforma bat egiaztatzeko ohitura
Inbertsio- edo truke-zerbitzu baten izena duen webgune batekin ari bazara, begiratu finantza-agintari eskudunen erregistroak eta ohartarazpenak. Ziurtatu juridikoki zein enpresak eskaintzen duen zerbitzua eta zein herrialdetan duen baimena. Erregistroan agertzeak ez du inbertsio baten errentagarritasuna bermatzen, eta logoak edo iritzi positiboak ez dira baimenaren froga. Cryptosigyren Europako araudiari buruzko MiCA eta zerbitzu-hornitzaileen baimen gida irakur daiteke, baina ez nahastu egoitza elektroniko batek bidalitako benetako zerga-komunikazioaren egiaztapenarekin.
Espainiako Zerga Agentziak 2026ko maiatzaren 20ko segurtasun-oharrean azaldu zituen ordezkapenaren eta kriptoordainketaren seinaleak. Gorde orrialde hori edozein mezuri buruzko zalantza baduzu, eta ireki egoitza elektronikoa lotura hori sakatu gabe. Iruzurraren inguruko informazio gehiago dago kripto-zerbitzuen egiaztapen-zentroan. Oinarrizko araua erraza da: administrazioaren mezu bat badirudi, ez ordaindu bertatik; lehenik egiaztatu zure kontu ofizialean, eta ez eman sekula gako sekreturik.
