Alerta de ARCA por una estafa que se hace pasar por el organismo y busca vaciar cuentas bancarias

Una campaña de correos electrónicos fraudulentos circula en Argentina con un objetivo preciso: robar claves fiscales y datos bancarios de contribuyentes. Los mensajes imitan la identidad institucional de la Agencia de Recaudación y Control Aduanero (ARCA) y, para ganar credibilidad, incluyen en algunos casos el nombre y el CUIT reales del destinatario.

Así está armado el engaño

Uno de los correos identificados llega con el asunto "Inconsistencias detectadas en su CUIT, regularización requerida". El cuerpo del mensaje alega diferencias entre comprobantes emitidos e ingresos declarados, fija un plazo de diez días hábiles para resolver el supuesto problema y amenaza con restringir la clave fiscal o revisar la categoría del Monotributo. La primera señal de alerta aparece en la dirección del remitente: las casillas detectadas no pertenecen al dominio oficial @arca.gob.ar y presentan variaciones de letras o caracteres para pasar desapercibidas.

El punto crítico llega cuando el correo pide hacer clic en un enlace. Ese acceso conduce a una página que replica la estética del organismo, pero está operada por los atacantes. Allí se solicitan contraseñas, claves fiscales o información de tarjetas y cuentas bancarias. Una vez obtenidos esos datos, pueden ingresar a cuentas, realizar transferencias o compras sin autorización, según fuentes oficiales.

Qué dice ARCA y cómo operar en canales oficiales

ARCA fue tajante: nunca solicita pagos ni datos personales por correo electrónico. Los mensajes reales del organismo pueden informar sobre una nueva comunicación, pero el contenido debe consultarse directamente dentro del Domicilio Fiscal Electrónico, ingresando desde la página oficial o desde la aplicación. El organismo tampoco utiliza WhatsApp, llamadas telefónicas ni redes sociales para pedir contraseñas o resolver supuestas irregularidades.

• Cambiar la clave fiscal de inmediato desde los canales oficiales de ARCA y revisar los accesos registrados.
• Contactar al banco o a la billetera virtual en caso de haber compartido datos de tarjetas o cuentas.
• Solicitar un bloqueo preventivo y desconocer cualquier movimiento no autorizado.
• Reportar el correo recibido como phishing y eliminarlo sin volver a ingresar a los enlaces.

La estrategia detrás de la maniobra se apoya en generar urgencia para que la persona actúe sin verificar la procedencia del mensaje. Por eso, especialistas en ciberseguridad insisten en que cualquier aviso que apele a plazos cortos o sanciones inmediatas debe ser contrastado antes de proporcionar información sensible.