Phishing de KSeF y quishing con QR: cómo reconocer notificaciones de factura falsas

CERT Polska registró 260.783 incidentes de ciberseguridad en 2025, un aumento interanual del 152 %. Cuatro días después del lanzamiento obligatorio de KSeF el 1 de febrero de 2026, apareció la primera ola de phishing suplantando a KSeF. CERT Polska publicó la alerta 48/2026 el 17 de abril de 2026, sobre notificaciones falsas de "nueva factura en KSeF" por correo que distribuyen malware.

Los patrones de phishing

Patrón 1: Correo falso de notificación de KSeF

El correo parece venir de KSeF o del Ministerio de Hacienda. Afirma que hay una nueva factura esperando en su bandeja de KSeF. Contiene un enlace a una página de inicio de sesión falsa que roba credenciales, o un adjunto que instala malware.

Señales de alarma:

• El dominio del remitente no es ksef.podatki.gov.pl ni podatki.gov.pl
• La URL del enlace no empieza por https://ksef.podatki.gov.pl/ ni https://aplikacja-podatnika.mf.gov.pl/
• El correo le pide iniciar sesión a través de un enlace (KSeF no envía enlaces de inicio de sesión por correo)
• El correo contiene un adjunto (KSeF no envía facturas como adjuntos de correo)
• El correo usa lenguaje de urgencia ("actúe ahora", "la factura caduca")

Patrón 2: Quishing con QR en visualizaciones de facturas

El estafador toma la visualización en PDF de una factura KSeF legítima y sustituye el código QR por uno malicioso. Cuando el destinatario escanea el QR con el teléfono, se abre un sitio de phishing o se descarga malware.

Señales de alarma:

• La URL del código QR no coincide con ksef.podatki.gov.pl
• Al escanear el QR se abre una página que pide credenciales de inicio de sesión
• El código QR tiene un aspecto distinto al de facturas anteriores del mismo proveedor (otro tamaño, posición o estilo)
• El PDF llegó por correo, no a través de KSeF

Patrón 3: Falsos "nuevos datos bancarios" usando la autoridad de KSeF

El estafador envía un correo haciéndose pasar por un proveedor conocido, referenciando un número de factura KSeF reciente (que puede haber obtenido de una cuenta de correo comprometida). El correo afirma que el proveedor ha cambiado de cuenta bancaria y que los pagos futuros deben ir a la nueva cuenta.

Señales de alarma:

• La notificación del cambio de cuenta llega solo por correo, sin la factura KSeF correspondiente
• La nueva cuenta bancaria no figura en la biała lista para el NIP del proveedor
• La dirección de correo difiere de la correspondencia anterior (aunque sea mínimamente: un carácter cambiado)

Cómo verificar

1. Compruebe KSeF directamente. Entre en Aplikacja Podatnika o en su software de facturación. Si hay una factura nueva, estará ahí. No haga clic en enlaces de correo para comprobarlo.
2. Verifique el dominio del remitente. Las comunicaciones oficiales de KSeF vienen de podatki.gov.pl o mf.gov.pl. Cualquier otro dominio no es oficial.
3. No escanee códigos QR de PDF recibidos por correo. Si necesita verificar una factura KSeF, búsquela por número KSeF en Aplikacja Podatnika. El código QR oficial se verifica a través del portal de KSeF.
4. Llame al proveedor. Ante cualquier cambio de datos bancarios, llame usando un número de sus registros. No el del correo.

Qué hacer si es objetivo de un ataque

1. No haga clic en enlaces ni abra adjuntos.
2. Informe a CERT Polska en incydent@cert.pl o a través de moje.cert.pl.
3. Borre el correo. No lo reenvíe internamente.
4. Si ya hizo clic: desconéctese de la red, ejecute un análisis de malware, cambie las credenciales que introdujo en la página falsa.
5. Si ya pagó a la cuenta de un estafador: contacte con su banco de inmediato. La devolución puede ser posible si se notifica en cuestión de horas. Presente una denuncia policial.

Este material es información de carácter general y no constituye asesoramiento legal ni fiscal. Para una situación concreta, verifique la normativa vigente o consulte a un asesor cualificado.