Estafa con ARCA: El correo sobre deudas que puede vaciar tus cuentas y robar tu clave fiscal

Un correo electrónico con el logo de ARCA, una supuesta deuda impositiva y un plazo de pocas horas para regularizarla puede convertirse en la puerta de entrada a una estafa. La maniobra apunta a contribuyentes de todo el país y combina elementos que buscan generar confianza con amenazas de sanciones, bloqueos o problemas judiciales.

La Agencia de Recaudación y Control Aduanero (ARCA) volvió a advertir sobre estas prácticas y recordó que no solicita pagos ni contraseñas por correo electrónico, WhatsApp, redes sociales o teléfono. Las notificaciones oficiales sobre la situación fiscal de cada contribuyente se consultan en el Domicilio Fiscal Electrónico, al que se ingresa desde el sitio institucional.

El problema es que los mensajes fraudulentos pueden reproducir la identidad visual del organismo y utilizar nombres que parecen legítimos.

¿Cómo funciona la estafa que suplanta a ARCA?

Una de las modalidades detectadas consiste en enviar un email que informa sobre una supuesta deuda originada en una fiscalización. El mensaje invita a ingresar a un enlace para consultar el expediente, regularizar la situación o evitar consecuencias administrativas.

En marzo de 2025, ARCA alertó sobre correos que utilizaban direcciones con el dominio “afip.gob.ar” y mencionaban un área denominada “AFIP Revisiones Pendientes 960”, que no existe. Los mensajes incluían enlaces para ingresar la clave fiscal y realizar pagos. El organismo confirmó que eran falsos y pidió no abrirlos.

La maniobra busca instalar preocupación, presentar una solución inmediata y llevar al usuario a una página controlada por los estafadores. Ahí pueden solicitar el CUIT, la contraseña, datos personales o información bancaria. Si la víctima completa el formulario, los delincuentes pueden utilizar esos datos para intentar ingresar a otros servicios o realizar operaciones en su nombre.

Otra variante consiste en advertir sobre paquetes o encomiendas internacionales supuestamente retenidas en Aduana y reclamar el pago de aranceles para liberarlas. En estos casos también hay que desconfiar de los enlaces y verificar cualquier obligación directamente en los canales oficiales.

¿Cómo saber si un correo de ARCA es falso?

La primera comprobación debe hacerse sobre la dirección completa del remitente, no solamente sobre el nombre que aparece en la bandeja de entrada. ARCA advierte que algunos mensajes utilizan dominios parecidos al oficial, con letras o números modificados. Entre los ejemplos que menciona figuran variantes como “arc4”, “arrca” o “arcca”.

También son sospechosos los correos enviados desde cuentas generales de Gmail u Outlook que utilizan el nombre del organismo para aparentar legitimidad. Otra señal de alerta aparece cuando el mensaje está firmado por una persona que dice ser agente de ARCA y las comunicaciones institucionales no llevan la firma de un empleado particular.

Hay otros indicios que deben encender las alarmas:

Exigen una transferencia o un pago inmediato para evitar una sanción.
Solicitan la clave fiscal, el DNI, datos bancarios o fotografías de documentos.
Incluyen enlaces para ingresar a supuestos expedientes o descargar archivos.
Amenazan con bloqueos, embargos o consecuencias judiciales si no se responde rápidamente.
Utilizan direcciones web con letras cambiadas o dominios que no pertenecen al Estado argentino.

La recomendación oficial es no ingresar desde los enlaces recibidos. Para consultar una situación tributaria, hay que escribir directamente www.arca.gob.ar en el navegador y acceder al Domicilio Fiscal Electrónico.

¿Dónde denunciar un correo falso que utiliza el nombre de ARCA?

El organismo habilitó una dirección específica para recibir reportes de phishing: [email protected]. Allí se pueden reenviar los mensajes sospechosos para que el equipo técnico analice su procedencia.

ARCA solicita adjuntar el encabezado completo del correo electrónico, sin modificaciones. Ese registro contiene información técnica que permite investigar el origen del mensaje y no debe confundirse con una simple captura de pantalla.

Para obtenerlo, la agencia publicó una guía con instrucciones según el servicio de correo utilizado. En Gmail, por ejemplo, se debe abrir el mensaje, ingresar al menú de tres puntos y seleccionar la opción “Mostrar original”. El procedimiento debe realizarse desde una computadora, ya que la aplicación móvil no permite obtenerlo de la misma manera.

Si el engaño ya provocó una pérdida de dinero o el acceso indebido a una cuenta, también corresponde realizar la denuncia ante la fiscalía más cercana. A nivel nacional, la Unidad Fiscal Especializada en Ciberdelincuencia (UFECI) recibe denuncias en [email protected].

¿Qué hacer si ya entregaste la clave fiscal en una página falsa?

En ese caso, la prioridad es recuperar el control de la cuenta. El contribuyente debe ingresar por su cuenta al sitio oficial de ARCA, cambiar la clave fiscal y revisar los servicios habilitados, las autorizaciones y los datos registrados. Si no puede acceder, debe iniciar el procedimiento oficial de recuperación.

También es importante cambiar cualquier otra contraseña que haya sido reutilizada en distintos servicios, especialmente la del correo electrónico. Si se ingresaron datos bancarios o se autorizó una transferencia, hay que comunicarse de inmediato con el banco o proveedor financiero para informar el incidente y solicitar el bloqueo preventivo de las operaciones que corresponda.

La clave fiscal es personal, privada e intransferible. ARCA recomienda utilizar contraseñas robustas, no repetirlas en otros servicios y activar el doble factor de autenticación cuando esté disponible.