En tus datos fiscales aparece que ganaste dinero en un juego que nunca jugaste. O te llega un correo que dice ser de tu casino y te pide la contraseña para «verificar la cuenta». Son dos problemas distintos: la suplantación de identidad en un casino en línea tiene un protocolo estatal, el PACS, y un correo dedicado, dgoj.pacs@ordenacionjuego.gob.es; el phishing se resuelve con INCIBE, en el 017, y con la policía. A los dos les precede un mismo paso: inscribirte en PhishingAlert de la Dirección General de Ordenación del Juego (DGOJ). Este artículo separa ambos problemas, con la información a 21 de septiembre de 2026.

¿Es lo mismo la suplantación de identidad en un casino que un phishing?

No. Comparten la sensación de haber sido engañado, pero son dos hechos distintos y cada uno tiene su propio destinatario. La suplantación de identidad ocurre cuando alguien usa tu nombre y tu documento, DNI o NIE, para abrir o activar una cuenta de juego, casi siempre para esconder sus propias ganancias bajo una identidad fiscal ajena. Es el motivo por el que existe el Protocolo de Actuación para Contribuyentes Suplantados (PACS), de la Dirección General de Ordenación del Juego (DGOJ) junto con la Agencia Estatal de Administración Tributaria (AEAT).

El phishing es otra cosa: un mensaje o página que se hace pasar por un tercero (tu banco, un operador) para obtener contraseñas, números de tarjeta u otros datos, según lo define el Instituto Nacional de Ciberseguridad (INCIBE). Aquí nadie ha abierto ninguna cuenta a tu nombre; lo que se busca es que se la des tú mismo.

Qué cambia para ti: si te han suplantado, escribes a la DGOJ; si has caído en un phishing avisas a INCIBE y, si procede, a la policía. Confundir los dos problemas significa llamar a la puerta equivocada mientras el plazo para resolver el otro sigue corriendo.

¿Cómo se descubre que alguien ha jugado con tu identidad?

La mayoría de los casos no se descubren en el momento en que ocurren, sino meses después, en la declaración de la renta. La AEAT incluye en los datos fiscales del contribuyente las ganancias del último año en juegos de azar en línea, y es ahí, en la campaña de la Renta, donde muchas personas ven, por primera vez, premios de un juego que nunca jugaron. La DGOJ reactiva cada año el protocolo PACS por esta coincidencia de calendario.

El fenómeno no es marginal. En 2024 se registraron casi 8000 denuncias (7712) de suplantación en el juego en línea; de quienes ganaron más de 100 euros ese año, casi un 5 % (4,7 %) fueron víctimas, y el 91 % en apuestas deportivas. En 2025 subió: más de 8600 denuncias, un 12 % más, ligadas a 15 871 cuentas de juego.

Qué cambia para ti: descubrirlo tarde no es un error tuyo, es el calendario fiscal el que lo saca a la luz; la regularización ante la Agencia Tributaria forma parte del protocolo, no un trámite aparte que tengas que inventar tú.

¿Qué está obligado a hacer el operador?

El Real Decreto 176/2023, de 14 de marzo, obliga a los operadores a detectar intentos de suplantación por parte de personas inscritas en el Registro General de Interdicciones de Acceso al Juego (RGIAJ): comprobaciones cruzadas periódicas y, si hay coincidencia con un jugador activo, suspensión de la cuenta hasta acreditar la identidad con un documento. Su artículo 31.1 obliga a suspender la cuenta en cuanto se detecta la inscripción en el RGIAJ; durante la suspensión, el titular puede pedir sin coste el traspaso del saldo y de las ganancias previas.

Esta obligación se dirige a un caso concreto, alguien inscrito en el RGIAJ que sigue jugando con la identidad de otra persona, no a cualquier víctima de phishing.

Un punto de fricción: la verificación de identidad antes de pagar un premio es donde suele romperse una suplantación; tiene su propio artículo en este sitio.

Qué cambia para ti: una cuenta suspendida por este motivo no es una acusación contra ti, es el paso que separa tu identidad de la de quien la usó, hasta que puedas acreditar quién eres.

Antes de que pase: el servicio PhishingAlert de la DGOJ

Antes de que ocurra nada, existe una manera de que la DGOJ te avise si alguien lo intenta: el servicio PhishingAlert, de inscripción voluntaria, permite «detectar cualquier intento de activación de un registro de usuario en un operador de juego de ámbito estatal por personas que proporcionen datos de identidad coincidentes con los del ciudadano inscrito en el servicio». Puede inscribirse cualquier mayor de edad con residencia en España y DNI o NIE, esté o no registrado ya en algún operador.

Hay dos canales: sede electrónica con certificado (alta inmediata) o registro en papel (plazo máximo de tres días). En ambos se piden los mismos datos: nombre, apellidos, fecha de nacimiento y DNI o NIE.

Cuando el sistema detecta una coincidencia, la DGOJ «comunica esa circunstancia a la persona inscrita» por el canal elegido; el servicio tiene «carácter meramente informativo» (no confirma ni rechaza el registro) y el alta tiene vigencia indefinida: puedes darte de baja cuando quieras. Su eficacia se nota: tras el protocolo PACS, las inscripciones se triplicaron. Un límite: solo cubre a operadores adheridos; la DGOJ no detalla cuántos son.

Qué cambia para ti: inscribirte no cuesta nada y es el único paso de esta lista que puedes dar antes de que pase nada.

Ya ha pasado: el protocolo PACS paso a paso

Si el problema ya ha ocurrido, la vía es el Protocolo de Actuación para Contribuyentes Suplantados (PACS), puesto en marcha en abril de 2024 por la DGOJ con la Agencia Estatal de Administración Tributaria (AEAT) y coordinado con la Policía Nacional, la Guardia Civil y los operadores. El primer contacto es el correo dgoj.pacs@ordenacionjuego.gob.es, habilitado por el Ministerio de Derechos Sociales, Consumo y Agenda 2030; la DGOJ informará sobre los pasos para aclarar los hechos y gestionar el caso.

Desde el 7 de abril de 2026 hay también una web específica del protocolo, con una guía práctica sobre los pasos a seguir, cómo denunciar la suplantación y cómo regularizar la situación ante la Agencia Tributaria. Esta guía no se ha podido consultar en detalle, es una aplicación que se carga en el navegador; la propia web detalla los pasos, la documentación y el orden en que hay que darlos.

Tampoco está confirmado si poner una denuncia policial es obligatorio para entrar en el protocolo; sí es seguro que está coordinado con los cuerpos de seguridad y que el correo es la vía de contacto inicial.

Qué cambia para ti: no tienes que reconstruir el proceso por tu cuenta ni adivinar el orden de los pasos, hay una guía oficial pensada exactamente para esta situación; el primer paso, siempre, es ese correo.

¿Cuándo hay que ir a la policía y cuándo basta con internet?

La Guardia Civil permite presentar una denuncia electrónica para «estafas y cargos fraudulentos cometidos a través de medios informáticos», y aclara que «el proceso es completamente online y no necesita ratificación posterior». Pero tiene límites: queda excluida cuando conoces al autor, cuando hay testigos, cuando quien denuncia es menor de edad o cuando el hecho es violento o sexual.

Qué cambia para ti: si sospechas quién ha usado tus datos, un familiar, alguien de tu entorno, la vía electrónica no sirve y hay que ir a comisaría o cuartel. La Policía Nacional tiene su propia oficina de denuncias virtuales, con condiciones propias que no siempre coinciden con las de la Guardia Civil; no conviene aplicar las de una a la otra.

El paso concreto: si no conoces al autor, no hay testigos y eres mayor de edad, esa vía electrónica es la más rápida; en cualquier otro caso, toca ir en persona.

Cómo reconocer un «casino» que no es un casino

Antes de llegar a cualquier protocolo, conviene saber distinguir un casino real de uno que solo lo parece. INCIBE enumera señales que suelen delatar un phishing: un remitente ajeno a la empresa que dice representar, errores gramaticales, la petición de datos que un operador real no pide por correo (contraseñas, PIN, tarjeta completa), enlaces a páginas que imitan la original y un tono de urgencia.

Estas señales ayudan, pero no sustituyen a una comprobación dura: que el operador figure en el Buscador de operadores con licencia en España de la DGOJ y que juegues en el dominio «.es» asociado a su nombre. El logo de un regulador es una imagen que cualquiera copia y pega; no lo es la comprobación en el buscador. Un operador con licencia debe tener además una sección de «Juego autorizado», separada de «Juego más seguro».

Ninguna comprobación permite afirmar que una marca es «falsa» o «ilegal», solo que no figura en el Buscador de la DGOJ a fecha de tu consulta.

Qué cambia para ti: dos minutos en el buscador de la DGOJ y una mirada al dominio valen más que cualquier sello visual de la propia web.

Contraseñas, banco y AEPD: qué hacer ya

Si ya has enviado una contraseña, un número de tarjeta o tu DNI a una web falsa, INCIBE recomienda este orden:

  • Cambia de inmediato las contraseñas afectadas.
  • Avisa a tu banco si había datos bancarios de por medio.
  • Revisa el dispositivo por si hay algún programa sin tu permiso.
  • Vigila dónde reaparecen tus datos personales.
  • Ejerce tus derechos ante la Agencia Española de Protección de Datos (AEPD).

Para el problema técnico está INCIBE, con su servicio «Tu Ayuda en Ciberseguridad» en el 017, gratuito y confidencial. Para el dinero de un operador que retiene una retirada por el medio de pago, hay un procedimiento propio dentro de bonos, publicidad y fraude en el juego en línea; y si el operador no está registrado en España, la reclamación ante la DGOJ no es posible.

Nada de esto sustituye la ayuda de un abogado si el caso se complica. Y si el problema no es de dinero sino con el propio juego, el teléfono de la Federación Española de Jugadores de Azar Rehabilitados (FEJAR) es el 900 200 225. En resumen: la suplantación de identidad en un casino y el phishing piden pasos distintos, y ambos empiezan por saber a qué puerta llamar.

Preguntas frecuentes

¿Qué hago si sospecho una suplantación de identidad en un casino y en mis datos fiscales aparecen ganancias que no son mías?

Escribe a dgoj.pacs@ordenacionjuego.gob.es, el correo del protocolo PACS. Desde ahí te indicarán los pasos para aclarar los hechos y regularizar la situación ante la Agencia Tributaria.

¿Qué es el servicio PhishingAlert y cuánto tarda en activarse?

Es un servicio voluntario de la DGOJ que avisa si alguien intenta abrir una cuenta con tus datos. Por sede electrónica con certificado, el alta es inmediata; en papel, hasta tres días.

¿A qué dirección se comunica una suplantación de identidad casino o en el juego en línea?

Al correo dgoj.pacs@ordenacionjuego.gob.es, habilitado dentro del protocolo PACS de la DGOJ. Es un canal distinto del de INCIBE, que está reservado al phishing y no gestiona este tipo de casos en un casino.

¿Tengo que poner una denuncia en la policía además de avisar a la DGOJ?

No está confirmado si es un requisito obligatorio dentro del protocolo PACS. Lo que sí es seguro es que el protocolo está coordinado con la Policía Nacional y la Guardia Civil, así que lo más seguro es seguir las indicaciones que te dé la DGOJ en tu caso concreto antes de decidir por tu cuenta.

¿Cómo compruebo si un casino en línea tiene licencia en España?

Búscalo en el Buscador de operadores con licencia de la DGOJ y comprueba que juegas en el dominio «.es» asociado. Un logo o sello en la propia web no es una comprobación válida por sí solo.

¿Qué hago si ya he enviado mi DNI o mis claves a una web falsa?

Cambia de inmediato las contraseñas afectadas, avisa a tu banco si diste datos bancarios, revisa tu dispositivo y contacta con INCIBE en el 017. Si tus datos personales siguen circulando, puedes ejercer tus derechos ante la AEPD; esto es distinto de que alguien use tu identidad en un casino, que se gestiona por el protocolo PACS de la DGOJ, no por INCIBE.

Fuentes