Capítulo 24: Autoridades y devoluciones de impuestos: suplantación de instituciones estatales

En la compleja relación entre el ciudadano y el Estado, existen dos emociones extremas que predominan: el miedo y la esperanza. El miedo surge cuando una carta con el sello del Estado llega al buzón, notificando una deuda, una multa o una auditoría; la esperanza se enciende cuando ese mismo sobre —o en el siglo XXI, ese mismo mensaje de texto— anuncia una devolución de impuestos, una subvención o un saldo a favor que nos espera. Estas emociones son el combustible que impulsa una de las industrias de fraude más aceitadas y eficientes que operan actualmente en Israel.

Si en los capítulos anteriores abordamos estafas que explotan nuestros hábitos de consumo o la expectativa de recibir un paquete del extranjero, aquí entramos en un territorio completamente distinto. Aquí, los estafadores no se hacen pasar por un mensajero de una empresa postal o un representante de servicio al cliente de una entidad financiera. Se hacen pasar por el soberano. Se ponen la toga de autoridad de la Autoridad Tributaria, el Instituto Nacional de Seguros o el Ministerio de Justicia. Utilizan lenguaje jurídico, símbolos nacionales y logotipos reconocibles para paralizar nuestros mecanismos de crítica. Porque ¿quién de nosotros querría discutir con un mensaje que dice "Su deuda con Hacienda requiere atención inmediata", y quién de nosotros no estaría feliz de hacer clic en un enlace que promete "una devolución de impuestos de 4.200 NIS esperando en su cuenta"?

La psicología de la autoridad: ¿Por qué caemos precisamente aquí?

Las estafas que suplantan a las autoridades estatales no operan en el vacío. Se apoyan en el "sesgo de autoridad" (Authority Bias), una tendencia humana arraigada a obedecer a entidades percibidas como poseedoras de poder legal. Cuando recibimos un mensaje de la "Autoridad Tributaria", nuestro cerebro entra en modo de alerta. Para la mayoría de los ciudadanos respetuosos de la ley, el encuentro con las autoridades fiscales es un evento estresante. Los estafadores saben esto y utilizan esta presión para hacernos actuar rápidamente, sin pensar y sin comprobar la fiabilidad de la dirección desde la que se envió el mensaje.

Más allá del miedo, existe el elemento del "dinero gratis". Las devoluciones de impuestos son percibidas por el público israelí como una especie de pequeña lotería: dinero que era nuestro, que nos fue arrebatado y que ahora regresa por arte de magia. Esta euforia momentánea nubla la precaución natural. En tal situación, la barrera crítica que nos impide entregar los datos de nuestra tarjeta de crédito o el código de acceso al banco simplemente se desvanece.

El siguiente escenario es un ejemplo didáctico basado en patrones comunes de estafa. Los personajes y los eventos están destinados únicamente a fines ilustrativos.

Yair, un arquitecto autónomo de 42 años de Ra'anana, estaba sentado en su oficina a última hora de la tarde, luchando con los planos de presentación para el municipio. Su teléfono, colocado sobre la mesa, vibró. Un nuevo mensaje SMS. El remitente aparecía como "IL-TAX".

"Mensaje importante de la Autoridad Tributaria: Según los cálculos del último año fiscal, se ha determinado que usted es elegible para una devolución de 4.380 NIS. Para recibir la devolución directamente en su cuenta bancaria, por favor complete los datos de contacto en el enlace seguro: https://mof-gov-il.online/refund"

"Por fin algo sale fácil", murmuró Yair para sí mismo. Como autónomo, sabía que tratar con Hacienda suele ser un calvario burocrático. El hecho de que el mensaje llegara justo en un período en el que sentía la presión económica de los pagos anticipados, le pareció un golpe del destino.

Hizo clic en el enlace. La página que se abrió parecía perfecta. El logo del Estado de Israel en la esquina derecha, los colores azul y blanco familiares de los sitios web gubernamentales, e incluso una imagen actualizada del Ministro de Finanzas en la esquina inferior. El encabezado decía "Portal de pagos gubernamental – Formulario de recepción de devolución de impuestos". A Yair se le solicitó ingresar su número de identificación (teudat zehut), fecha de nacimiento y número de teléfono. Después de eso, apareció la siguiente pantalla: "Para verificar su identidad y realizar el pago, por favor ingrese los detalles de la tarjeta de crédito a la que se transferirá el crédito".

Por un breve momento, pasó por la mente de Yair un pensamiento: ¿por qué necesitan una tarjeta de crédito para devolver dinero? ¿No deberían usar la cuenta bancaria? Pero entonces vio una pequeña nota en la parte inferior de la pantalla: "Según las regulaciones del Banco de Israel, las devoluciones de hasta 5.000 NIS se realizan mediante un abono inmediato a la tarjeta de crédito en beneficio del cliente". Esto sonaba lógico, profesional y, sobre todo, rentable.

Ingresó los datos. Número de tarjeta, fecha de vencimiento y los tres dígitos al dorso de la tarjeta (CVV). Después de hacer clic en "Confirmar", apareció una pantalla de carga: "Procesando datos... Por favor, espere". Segundos después, llegó otro mensaje SMS, esta vez de su banco: "Su código de verificación para realizar la operación es 8842". En el sitio web falso apareció un recuadro: "Ingrese el código que se le envió a su móvil para confirmar la transferencia de los fondos a su cuenta".

Yair ingresó el código. El sitio le agradeció e informó que el dinero aparecería en su cuenta en un plazo de 3 días hábiles. Cerró la pestaña y volvió a sus planos arquitectónicos, sintiéndose un poco más ligero de corazón. No sabía que en esos mismos segundos, en un lugar remoto, un software automático estaba utilizando sus datos y el código que proporcionó para configurar su tarjeta de crédito en una billetera digital extranjera y realizar la compra de relojes de lujo en un sitio web en el extranjero por un total de 12.000 NIS.

El descubrimiento llegó recién a la mañana siguiente. Yair recibió una notificación de la emisora de la tarjeta de crédito sobre una "actividad inusual". Cuando llamó al centro de atención, la representante le preguntó si se encontraba en ese momento en Dubái comprando productos electrónicos. "¡En absoluto!", exclamó Yair, "¡Estoy en Ra'anana! Y además, se suponía que iba a recibir una devolución de impuestos, ¡no a pagar!"

El silencio de la representante al otro lado de la línea fue la respuesta más dura de todas. "Señor", dijo ella con voz tranquila, "la Autoridad Tributaria nunca solicita datos de tarjeta de crédito por SMS para realizar devoluciones. Parece que ha sido víctima de una estafa de phishing".

Anatomía de un fraude: desde un enlace inocente hasta el vaciado de la cuenta

La historia de Yair es un clásico de la estafa moderna a las autoridades. Para entender cómo protegerse, debemos desglosar este mecanismo. El fraude consta de tres etapas críticas:

1. Etapa del anzuelo: la suplantación de autoridad

Los estafadores utilizan servicios de distribución de SMS que les permiten cambiar el nombre del remitente (Sender ID). En lugar de un número de teléfono, aparece un nombre como "Gov-IL", "Tax-Authority" o "Israel-Post". Este es el primer paso para generar confianza. El lenguaje es siempre formal, urgente y, a veces, viene cargado de amenazas implícitas (por ejemplo: "El impago de la deuda derivará en un embargo").

2. Etapa de la falsificación: el sitio web doble

El enlace lleva a un sitio web que es una copia casi perfecta de los sitios gubernamentales originales. Los estafadores utilizan direcciones URL (dominios) que parecen muy similares al original. En lugar de gov.il, usarán gov-il.org, il-tax.online o israel-refund.com. El ojo humano tiende a pasar por alto estos pequeños cambios, especialmente cuando la página en sí parece fiable.

3. Etapa de la elusión: el OTP (One Time Password)

Esta es la parte más sofisticada. Los bancos y las empresas de tarjetas de crédito han implementado mecanismos de seguridad en los que cada operación inusual requiere un código enviado al móvil. Los estafadores aprendieron a "cerrar" esta brecha. Mientras la víctima ingresa sus datos en el sitio falso, el estafador los ingresa en un sitio real (como la compra de un producto o la configuración de una billetera digital). Cuando el banco envía a la víctima el código, la víctima piensa que está confirmando la *recepción* del dinero, mientras que en realidad está confirmando su *extracción*. Este es el momento en el que el fraude pasa de ser un intento de hackeo a un acto en el que el cliente, sin saberlo, "autoriza" el robo.

La responsabilidad legal: ¿Dónde está el límite entre negligencia y fraude?

En los casos en que una persona descubre que ha sido víctima de un robo de este tipo y busca evaluar sus posibilidades de acción, la primera pregunta que surge es: "¿Quién me devolverá el dinero?". La respuesta no es sencilla y depende de la interpretación legal de las circunstancias. El marco normativo central en Israel es la Ley de Servicios de Pago, 5779-2019.

La ley está diseñada para proteger al consumidor en casos de uso indebido de medios de pago. El artículo 20 de la ley establece que si se hace un uso indebido de un medio de pago (como una tarjeta de crédito), el cliente no es responsable del daño, a menos que se cumplan ciertas condiciones. Aquí es donde comienza la batalla legal.

¿Es esto "negligencia grave"?

Las empresas de tarjetas de crédito tienden a veces a argumentar que la entrega del código de verificación (OTP) por parte del cliente constituye una "negligencia grave". El argumento es que en el mensaje del banco dice explícitamente: "No entregue este código a nadie". Si el cliente ingresó el código en el sitio, la empresa puede argumentar que ha perdido la protección de la ley.

El deber de cuidado del banco

En el sistema legal israelí existe un reconocimiento de un deber de cuidado mayor de los bancos hacia sus clientes. Este es un deber profesional y social. El examen de la responsabilidad depende de preguntas como: ¿Hubo "luces rojas" en los sistemas del banco? ¿Se realizó una transferencia a un beneficiario en un país de alto riesgo? ¿El patrón era inusualmente extraño para el comportamiento habitual del cliente? En algunos casos, puede surgir la responsabilidad de la entidad de pago si no actuó para detener una operación claramente sospechosa, incluso si el cliente proporcionó el código.

Batalla contra entidades poderosas: el aspecto procesal

Es importante entender que las empresas de crédito y los bancos no se apresuran a admitir responsabilidad. Su política puede incluir el rechazo de la solicitud inicial alegando que el cliente entregó los datos por iniciativa propia. Aquí es donde entra el acompañamiento legal. El objetivo es examinar si se puede demostrar que no se trata de una "negligencia grave", sino de una caída en una trampa profesional diseñada para engañar incluso a la persona más prudente.

Se debe examinar cada caso por separado. ¿Contenía amenazas el mensaje? ¿Fue bajo presión de tiempo? ¿Utilizó el sitio web falso certificados de seguridad falsificados? Cada detalle de este tipo puede ser significativo para construir el argumento legal y evaluar la posibilidad de recuperar los fondos. Sin embargo, hay que decirlo con honestidad: la recuperación de fondos en este tipo de estafas no está garantizada. Requiere un examen profundo de las circunstancias, comprensión de la Ley de Servicios de Pago y, a veces, disposición para emprender acciones legales.

Señales de advertencia: cómo reconocer que el Estado no está realmente hablándole a usted

Para evitar el daño económico y la angustia que implican estos casos, a continuación se presentan señales de advertencia que podrían indicar un fraude de autoridades:

• Solicitud de tarjeta de crédito para una devolución: La Autoridad Tributaria, la Seguridad Social y otros ministerios gubernamentales nunca le pedirán el número de su tarjeta de crédito para transferirle dinero. Las devoluciones gubernamentales se realizan generalmente a la cuenta bancaria actualizada en sus sistemas.
• Dominio (dirección web) sospechoso: Los sitios web gubernamentales en Israel terminan siempre en .gov.il. Cualquier otra extensión (como .com, .org, .net, .online) conectada a la palabra "gov" es una señal extremadamente sospechosa.
• Lenguaje y presión: Los mensajes oficiales tienden a ser objetivos. Si el mensaje utiliza un lenguaje dramático ("¡Última oportunidad!", "¡Se requiere acción inmediata!") o un lenguaje con errores gramaticales, se debe proceder con extrema precaución.
• Código de verificación (OTP): Si recibió un código por SMS del banco mientras se encuentra en un sitio que se presenta como "gubernamental", esto requiere la detención inmediata de la actividad. El banco generalmente no enviará un código para recibir fondos.

¿Qué hacer si ha sido víctima?

Si surge la sospecha de que se han ingresado datos en un sitio web falso, se recomienda actuar rápidamente:

1. Bloqueo inmediato: Debe ponerse en contacto lo antes posible con el centro de atención de la empresa de tarjetas de crédito o el banco para cancelar la tarjeta o congelar la cuenta.
2. Documentación: Es conveniente guardar capturas de pantalla del mensaje SMS, del sitio web y de los cargos inusuales.
3. Presentar una denuncia policial: Se puede presentar una denuncia en línea en el sitio web de la Policía de Israel. Esta acción podría ser requerida posteriormente frente a las entidades financieras.
4. Solicitud formal a la empresa de crédito: Se recomienda presentar una solicitud que detalle el evento y evalúe la posibilidad de recuperar fondos bajo la Ley de Servicios de Pago.
5. Cambio de contraseñas: Se recomienda cambiar las contraseñas en las cuentas relevantes en caso de que se hayan ingresado datos de identificación.

Aspecto legal en resumen

La lucha por la recuperación de fondos en casos de fraude depende en gran medida de la interpretación legal del comportamiento de las partes. Si bien las empresas de crédito pueden presentar argumentos sobre la negligencia del cliente, la realidad enseña que a menudo se trata de métodos de ingeniería social altamente sofisticados. La ley en Israel otorga ciertas protecciones al consumidor, entendiendo las brechas de poder frente a los sistemas bancarios y tecnológicos, pero esta protección no es absoluta y depende de las circunstancias de cada caso.

La conciencia es la herramienta central para la prevención. El Estado tal vez actúe a veces de manera burocrática, pero los procedimientos de devolución de dinero generalmente no se llevan a cabo mediante la solicitud de datos de tarjeta de crédito en un enlace enviado por SMS. En el mundo digital, es importante mantener la vigilancia y una sana sospecha ante ofertas de recepción de dinero rápida e inesperada.