El 2 de noviembre de 2026 un móvil en Austria mostró un mensaje de +43 676 6299131. En alemán, decía que el registro de FinanzOnline había caducado ese día y pedía al lector que actualizara sus datos. El enlace era finanz.on-datenerneuerung.cc. El número de la pantalla es lo que mostró el teléfono. Un número mostrado lo puede elegir quien envía. No es una mesa del ministerio de finanzas.
FinanzOnline es el servicio en línea real del Ministerio Federal de Finanzas de Austria. Allí se presentan impuestos, y las empresas también presentan allí. Se entra en finanzonline.bmf.gv.at. El 18 de octubre de 2026 el ministerio volvió a advertir de mensajes, correos, llamadas y sitios copiados que usan los nombres del ministerio, de la oficina tributaria, de la aduana y de FinanzOnline. Un aviso real, dijo, es una resolución firmada de forma digital, enviada por correo postal o al Databox de FinanzOnline. El ministerio no pide una contraseña, una tarjeta ni datos de cuenta. Watchlist Internet, la mesa de avisos del Instituto Austriaco de Telecomunicaciones Aplicadas, resume la misma regla en una línea para esta oleada concreta: el ministerio no envía un mensaje que contenga un enlace.
El texto del 2 de noviembre es esa oleada con un alojamiento nuevo. La página copia el portal, luego pide a la persona, y después el IBAN y el banco.
Cómo funciona
- Un mensaje dice que el registro de FinanzOnline ha caducado, o está a punto. La fecha es hoy, o un día cercano, así que el mensaje se siente como un plazo y no como una circular.
- El enlace no es finanzonline.bmf.gv.at. En este mensaje el alojamiento era finanz.on-datenerneuerung.cc, armado con «finanz» y una palabra alemana de renovar datos. La página que se abrió usaba https. Un candado significa que la conexión va cifrada. No dice nada de quién es el dueño del sitio.
- La página va vestida de FinanzOnline. La marca roja, las palabras «Bundesministerium Finanzen» y un recuadro que dice que el registro se está agotando. El formulario pide nombre completo, un correo, una fecha de nacimiento, un teléfono y una dirección, hasta la escalera y el número de puerta.
- Debajo de la dirección pide el IBAN y después qué banco. Una nota amarilla dice que el banco tiene que vincularse para que se puedan llevar a cabo los pasos automáticos futuros. El campo del banco está marcado como obligatorio. Ahí es donde salen los datos de la cuenta. El inicio de sesión real de FinanzOnline no recoge un IBAN de camino.
- El botón dice «Weiter», continuar. Esta página no es el final del formulario. El texto de Watchlist sobre el mismo patrón dice que la página siguiente va vestida del banco de la persona y pide el acceso a la banca en línea. La policía del estado de Vorarlberg ha descrito lo que puede seguir al formulario: una llamada sobre una transferencia sospechosa, con la petición de aprobar un mensaje push en el teléfono y, en otros casos, instrucciones de mover dinero en un cajero para «mantenerlo a salvo».
Las señales
El mensaje y la página de abajo se abrieron para ver qué hacía el enlace. No se escribió nada en el formulario.
La barra de direcciones es la comprobación. La única dirección de FinanzOnline es finanzonline.bmf.gv.at, escrita a mano, o un marcador que hizo usted. Un alojamiento que solo contiene la palabra «finanz», en .cc o en cualquier otra terminación, es un sitio distinto.
El formulario es la segunda comprobación. Un acceso pide un usuario. Esta página pide una calle, un número de puerta, un IBAN y un banco, y no sigue hasta que se elige un banco. El ejemplo anterior de Watchlist de la misma máscara pedía un nombre, una fecha de nacimiento, un código postal, un teléfono, un número de cuenta y un banco, y luego pasaba al acceso del banco.
El pie es la tercera comprobación, y está ahí para que falle. Aviso legal, privacidad y una línea sobre Fred, el chatbot de la administración financiera, son palabras del portal real. En copias anteriores, Watchlist vio que esos enlaces sí abren las páginas del propio ministerio. Un enlace que sale del formulario no convierte el formulario en el ministerio.
La fecha del mensaje se cambia a medida que avanza la oleada. Un mensaje listado por Watchlist dice que el identificador de FinanzOnline caduca el 24 de octubre de 2026 y apunta a finanzonline2.cc. Alojamientos anteriores nombrados en los avisos públicos incluyen finanz.online-reaktivierung.cc y finanz.online-erneuern.cc. La frase es la misma. El alojamiento es la parte que cambian.
Una página que quiera consultar, sin abrirla, puede pasar por el comprobador de sitios. El comprobador lee la dirección. No pide un IBAN, un nombre ni un banco.
La misma forma, con otra oficina tributaria en el membrete, es el correo de reembolso de HMRC que no es HMRC.
Casos y cifras
Este alojamiento es nuevo. Una consulta pública de registro muestra que on-datenerneuerung.cc se creó el 21 de octubre de 2026, doce días antes del mensaje. El registrador es NiceNIC International Group Co., Limited. El nombre del titular está oculto. El registro nombra a Estados Unidos y ninguna organización, lo que no identifica a quien envió los mensajes. Los servidores de nombres pertenecen a Cloudflare, así que el registro público también esconde la máquina que hay detrás del sitio. Ningún aviso del ministerio encontrado el 2 de noviembre de 2026 nombra este alojamiento exacto. El patrón de alrededor ya está escrito. El alojamiento que Watchlist lista para el texto del 24 de octubre, finanzonline2.cc, es un registro aparte: creado el 22 de octubre de 2026, a través de CNOBIN Information Technology Limited, en servidores de nombres que no son los de Cloudflare. El mismo disfraz, otro registro.
El aviso del ministerio del 18 de octubre de 2026 incluye «intentos de acceso sospechosos y actualizaciones necesarias en FinanzOnline» entre las historias que se cuentan, junto a reembolsos de impuestos, el bono climático, la prestación familiar, requerimientos impagados y preguntas sobre tenencias de cripto. Un aviso de enero de 2026 describe correos que dicen a las empresas que los datos de la sociedad en FinanzOnline deben comprobarse mediante un formulario enlazado, en una página al estilo de FinanzOnline que pide datos personales y de pago. El ministerio dijo que esos mensajes y esas páginas eran falsos.
Watchlist Internet llama a los mensajes una oleada larga dirigida a datos de contacto y datos bancarios. El sitio de seguridad en línea del gobierno federal describe el gemelo en finanz.online-erneuern.cc: después del formulario, una segunda página pide a la persona que entre en la banca en línea, cosa que el portal real de FinanzOnline no hace.
En Vorarlberg, la policía del estado dijo a VOL.AT que ya se habían presentado denuncias de este esquema. No dieron un número de casos ni un total de pérdidas. La cámara del trabajo dijo al mismo medio que las consultas de las últimas semanas y meses estaban en la zona media de los centenares, y que las pérdidas consumadas eran raras. El medio describe también un caso del año anterior en el que se perdieron 180.000 €. Es un caso denunciado, no un total nacional, y la policía no lo adoptó como su cifra.
Qué hacer y dónde denunciarlo
No escriba en la página. No pulse «Weiter». Borre el mensaje. Si algo del registro necesita de verdad una mirada, escriba finanzonline.bmf.gv.at. Un mensaje en ese buzón, o una carta, es como el ministerio dice que le escribe.
Si el formulario ya se envió, el IBAN y el nombre del banco han salido, aunque no se haya movido dinero.
Llame al banco al número impreso en la tarjeta o en un extracto. Diga que un IBAN, y el nombre del banco, se escribieron en una página abierta desde un mensaje de FinanzOnline. Pídales que vigilen la cuenta y que paren una transferencia que usted no hizo. Si una página posterior pidió un acceso a la banca en línea, o quien llamó le pidió aprobar un mensaje push, pida al banco que bloquee la banca en línea y que emita un acceso nuevo. La policía de Vorarlberg dijo a VOL.AT que una transferencia que acaba de hacerse a veces todavía se puede parar, y que la llamada urgente es al banco. Use el número que ya tenía. Quien llama, se presenta como el banco y necesita una confirmación para cancelar un pago es el paso que describió la policía.
Se puede denunciar en una comisaría. El delito sospechoso en internet también puede ir al punto de aviso que listan las páginas de seguridad en línea del ministerio del interior. El mensaje, con una captura y los campos que rellenó, puede ir a Watchlist Internet. Publican avisos anonimizados. No recuperan el dinero. Esa parte la hace el banco.
No vuelva a la página para borrar lo que se envió. En esa página no hay nada que usted pueda borrar. Si una contraseña de FinanzOnline se escribió en algún punto del camino, cámbiela solo después de haber abierto usted mismo finanzonline.bmf.gv.at.
Empiece en Ayuda. Quien llama después y se ofrece a recuperar el dinero, o a asegurar la cuenta a cambio de una tarifa, es un segundo acercamiento a la misma persona: Recuperación.
Esto es información general, no asesoramiento jurídico ni financiero. Las normas y las cifras cambian. Si el dinero ya ha salido, contacte con el banco y con las autoridades a través de las páginas de ayuda.