Cómo saber si un correo de la DIAN es real o es estafa

Cada temporada de renta trae la misma ola de mensajes: un asunto alarmante, un logo que se parece al de la DIAN y un enlace que pide entrar con su usuario y su clave. Funcionan porque llegan cuando usted efectivamente espera algo de la DIAN. La buena noticia es que un correo legítimo tiene marcas concretas que un correo falso no puede copiar, y verificarlas no requiere conocimiento técnico.

¿La DIAN le escribe a usted por correo electrónico?

Sí, y ese es justamente el terreno que aprovechan los estafadores. Desde la Resolución 000038 de 2020, la DIAN notifica sus actos administrativos por correo electrónico, y lo hace a una dirección precisa: la que usted informó en su RUT. No a la que aparece en su firma de correo, no a la de su contador, no a una que alguien dedujo. La que está inscrita en el RUT.

De ahí sale la primera pregunta útil que casi nadie se hace: ¿este correo llegó a la dirección que tengo registrada en el RUT? Si llegó a otra cuenta suya, ya tiene una señal fuerte, porque una notificación real no viaja por ahí. Y si no está seguro de cuál dirección tiene inscrita, ese es un problema aparte que conviene resolver ya, porque es la misma razón por la que mucha gente se entera tarde de un requerimiento.

¿Cuáles son las tres verificaciones que hace usted mismo en cinco minutos?

1. El dominio del remitente

La DIAN ha reiterado que su único dominio institucional es @dian.gov.co. No es un detalle estético: es la regla. Amplíe el remitente en su cliente de correo hasta ver la dirección completa, no el nombre que muestra. Un mensaje firmado como "DIAN, Subdirección de Recaudo" que sale de un gmail, de un dominio parecido con una letra cambiada o de un subdominio inventado ya está descartado, sin importar lo bien hecho que se vea el resto.

2. El número de verificación que trae el correo

Esta es la verificación que casi nadie usa y es la más contundente. Las comunicaciones oficiales de la DIAN incluyen un número único de verificación, y la entidad tiene una herramienta pública donde usted lo comprueba. Se llega desde el portal de la DIAN, en la sección de seguridad de la información, y el resultado le dice si esa comunicación existe realmente en los sistemas de la entidad. Un falsificador puede copiar el logo, el tono y hasta la firma de un funcionario. No puede inventar un número que la propia DIAN reconozca.

Un detalle adicional de la misma herramienta: revise el campo Para. Si su nombre no aparece ahí, es probable que usted esté en copia oculta de un envío masivo. Una notificación dirigida a usted no se manda en copia oculta a miles de personas.

3. La lista de remitentes falsos que publica la DIAN

La DIAN mantiene una página con las direcciones fraudulentas que están circulando y con ejemplos de los mensajes reportados. Antes de responder cualquier cosa, copie el remitente y búsquelo ahí. Es la comprobación más rápida de las tres y resuelve buena parte de los casos en el primer intento.

¿Qué es lo que la DIAN nunca le va a pedir por correo?

• La clave de su cuenta en el portal de la DIAN. Nunca, por ningún canal.
• El número completo de su tarjeta débito o crédito, su clave bancaria o un código de un solo uso.
• Una transferencia a una cuenta personal, a una billetera digital o a un número de celular.
• Que descargue e instale un programa para "ver el documento" o para "habilitar el pago".
• Un pago para desbloquear un trámite, para agilizar una devolución o para evitar una sanción.

Si el mensaje le pide cualquiera de esas cosas, ya sabe lo que es. No responda, no descargue el adjunto y no siga el enlace. Si quiere dejar rastro, repórtelo al CAI Virtual de la Policía Nacional.

¿Cómo se paga realmente un impuesto o una sanción?

Con el recibo oficial de pago, el formulario 490, que se genera en el portal de la DIAN con su propio NIT y con el concepto y el periodo correctos. Ese recibo se paga en los bancos autorizados, en los corresponsales bancarios habilitados o electrónicamente por PSE desde el mismo portal. El dinero entra por el sistema de recaudo de la DIAN, nunca a una cuenta a nombre de una persona.

Por eso la petición de pagar a una cuenta personal es, por sí sola, prueba de fraude. No hay una versión legítima de ese pedido, ni siquiera "para agilizar". Si ya está en una discusión real con la DIAN y no sabe por dónde empezar, esa conversación se tiene con un profesional antes de mover dinero: es de lo que se ocupa nuestra consultoría tributaria.

¿Y si ya hizo clic o ya entregó sus datos?

Actúe el mismo día, en este orden. La ventaja de moverse rápido es real: casi todo el daño de estos fraudes ocurre en las primeras horas.

1. Cambie la clave de su cuenta de la DIAN desde el portal oficial, escribiendo usted la dirección en el navegador y no desde ningún enlace del correo.
2. Cambie también la clave del correo electrónico al que llegó el mensaje, sobre todo si es el que tiene inscrito en el RUT. Si le entran a ese buzón, le entran a todo lo demás.
3. Llame a su banco si entregó datos financieros, bloquee los productos comprometidos y revise los movimientos de los últimos días.
4. Revise en su RUT que la dirección de correo, la dirección física y las responsabilidades sigan siendo las suyas. Una cuenta comprometida a veces se usa para cambiarlas.
5. Denuncie ante el CAI Virtual de la Policía Nacional y conserve el correo completo con sus encabezados, que es la prueba.
6. Si descargó un archivo, revise el equipo con un antivirus actualizado antes de volver a entrar a cualquier portal desde él.

Y verifique después, con calma, si detrás del susto había algo real. A veces sí lo hay: una obligación pendiente que la DIAN ya está cruzando por otros medios, que es exactamente lo que explicamos en cómo la DIAN cruza su facturación en tiempo real.

¿Qué hace una firma seria con sus claves y con sus datos?

Le pide los documentos, no las claves. Se inscribe en su RUT para poder actuar a su nombre. Le entrega por escrito lo que hizo, con el número de cada acto y su fecha. Y le avisa cuando algo llega, en lugar de esperar a que usted se entere por un correo que no sabe si es verdadero. Si hoy no tiene a nadie que haga eso, escríbanos o revise cómo acompañamos a personas naturales y a comerciantes e independientes.

Un correo puede falsificar un logo, un nombre y hasta una firma. No puede falsificar un número que la DIAN reconozca en su propio portal.