Una usuaria de X publicó este martes que había recibido un correo electrónico supuestamente enviado por la Agencia de Recaudación y Control Aduanero (ARCA) en el que se le informaba que tenía una encomienda internacional retenida a su nombre. “Me mandaron un mail de ARCA diciendo que tengo una encomienda internacional con mi número de documento. ¡No compré nada yo!”, escribió. La respuesta del organismo no tardó en llegar: se trata de una estafa.

ARCA confirmó desde su cuenta oficial en X que el mensaje es falso. “Te informamos que se trata de un mail apócrifo. ARCA no envía correos solicitando pagos ni datos personales”, respondió el organismo. Lejos de ser un caso aislado, este tipo de maniobras —conocidas como phishing— vienen multiplicándose en los últimos meses y apuntan a obtener información sensible de los ciudadanos bajo la apariencia de comunicaciones oficiales del Estado.

El mecanismo es simple pero efectivo: los estafadores envían un correo que replica con fidelidad la identidad visual de ARCA —logotipo, colores institucionales, pie de página con dirección y teléfono— para generar una apariencia de legitimidad. El objetivo es que el destinatario no ponga en duda la autenticidad del mensaje y actúe siguiendo las instrucciones que contiene.

El texto del correo fraudulento informa que “la encomienda asociada al DNI se encuentra pendiente de regularización de aranceles aduaneros para continuar con su liberación operativa”. En un ejemplo al que pudo acceder Infobae, se desglosa un monto total a pagar de $198.092, distribuido en cuatro conceptos: derechos de importación ($124.848), tasa de estadística ($27.424), IVA sobre importación ($26.218) y “otros recargos por almacenamiento y gestión” ($19.602).

Además del cobro, el correo falso incluye una instrucción que constituye la parte más peligrosa de la maniobra: solicita al destinatario que adjunte una fotografía o captura de su DNI, “en la cual deberá encontrarse visible toda la información personal, a excepción del número de trámite, el cual deberá estar tapado u oculto por motivos de seguridad”. El mensaje fija además un plazo de tres días hábiles para iniciar la regularización y remata con una aclaración que busca transmitir confianza: “Solo comparta el frente de su DNI en respuesta a este correo”.

La combinación de un pago y la entrega de documentación personal configura una doble trampa: por un lado, una extracción de dinero; por el otro, la obtención de datos que pueden utilizarse para cometer fraudes de identidad u otras estafas posteriores.

El correo fraudulento está construido para resultar convincente. Utiliza el diseño institucional de ARCA, menciona el número de DNI del destinatario —dato que los estafadores pueden obtener de bases de datos filtradas— y apela a la urgencia como mecanismo de presión. El plazo de tres días y la advertencia sobre la “liberación operativa” de la encomienda buscan generar ansiedad y llevar al receptor a actuar sin detenerse a verificar la autenticidad del mensaje.

Sin embargo, hay señales que permiten identificarlo como falso. ARCA ya lo explicó en una advertencia anterior ante una situación similar: los correos apócrifos provienen de direcciones que no pertenecen a un dominio oficial del Estado, y el remitente de respuesta configurado en esos envíos tampoco guarda relación con una casilla institucional legítima. Verificar ese dato —el dominio desde el que llega el correo— es el primer paso para detectar la estafa.

El organismo fue claro al respecto: no hay que responder, no hay que hacer click en ningún enlace y no hay que descargar archivos adjuntos. “Todas las comunicaciones podés encontrarlas en tu Domicilio Fiscal Electrónico”, precisó ARCA en su respuesta pública en X.

El organismo también habilitó un canal específico para que quienes reciban este tipo de mensajes puedan reportarlos. “Ante cualquier sospecha sobre el origen o contenido de un correo electrónico en el que piden información personal o acceder a un sitio web poco confiable, el email puede ser reenviado a la casilla phishing@arca.gob.ar para su posterior análisis”, indicó la agencia. El reenvío del mensaje original a esa dirección permite que el área técnica del organismo analice la estructura del correo, identifique los servidores de origen y tome las medidas correspondientes.

La regla de oro que ARCA reitera ante cada caso es la misma: el organismo nunca solicita pagos, datos personales ni la descarga de archivos por correo electrónico. Cualquier mensaje que requiera alguna de esas acciones —sin importar cuán oficial parezca— debe tratarse como sospechoso.

En este caso puntual, el elemento más revelador es la solicitud del DNI. Ninguna gestión aduanera legítima requiere que el contribuyente envíe una fotografía de su documento de identidad como respuesta a un correo. Ese pedido, por sí solo, alcanza para confirmar que el mensaje no proviene de ARCA.