Copio y pego del blog de seguridad de Inteco:
Tan sólo dos días después de la apertura de la campaña de Renta y Patrimonio del ejercicio 2007 el pasado 3 de marzo, la Agencia Tributaria (AEAT) ha alertado sobre un nuevo intento de fraude on line basado en su nombre y en su imagen. A partir del envío de un correo electrónico falso firmado por el director general de la Agencia Tributaria, Luis Pedroche, los delincuentes pretenden obtener los datos personales y bancarios de las víctimas; su argumento se basa en una resolución inexistente, de 4 de marzo de 2008, por la que se aprueba una devolución fiscal que beneficiaría al receptor del e-mail. Para poder disponer del dinero, el contribuyente tendría que acceder a un enlace con una dirección interpuesta y facilitar sus datos.
Se trata, por tanto, de un caso de phishing combinado con el envío masivo de correo electrónico basura o spam. Presenta todos los rasgos clásicos de este tipo de estafa: si bien no utiliza la identidad de una entidad bancaria, sino de una institución pública, sí recurre al ofrecimiento de una suma de dinero para lograr que la víctima acceda a una página web imitadora de la original, en la que se solicitarán sus datos financieros. Al igual que en otros casos, se busca la credibilidad recurriendo a la figura de un alto cargo de la institución, su director general, y haciendo mención a una ley ficticia; sin embargo, las faltas ortográficas y construcciones gramaticales incorrectas (del tipo después de los círculos anuales pasados de su actividad fiscal hemos determinado que usted es elegible recibir una devolución fiscal) son indicios de la falsedad de la comunicación.
No es la primera vez que la identidad del organismo se utiliza con fines delictivos. En enero del pasado año, aprovechando el fin del plazo de devolución del IVA, un e-mail de características muy similares circuló por la Red, y en julio se repitió el intento de estafa bajo la promesa de una reducción de la base imponible del IRPF.
La Agencia Tributaria asegura, en una nota publicada en su web, haber tomado las medidas oportunas para perseguir este tipo de fraudes. En este sentido, cabe recordar que los dominios legítimos de la Agencia Tributaria son: www.agenciatributaria.es, www.agenciatributaria.com y www.aeat.es. Además, hace hincapié en que nunca solicita información confidencial a los contribuyentes por correo electrónico y que el sentido común de los usuarios ante estas comunicaciones sospechosas es la mejor medida preventiva.
Con el objeto de proporcionar una visión actualizada de la situación del fraude a través de Internet, el Observatorio de la Seguridad de la Información ha publicado el Estudio sobre usuarios y entidades públicas y privadas afectadas por la práctica fraudulenta conocida como phishing, que recoge la opinión de más de 3.000 usuarios así como un el diagnóstico y recomendaciones de más de 40 expertos de los distintos sectores de actividad afectados por estas prácticas fraudulentas.