As¨ª es un fraude ¡®online¡¯ paso a paso: ¡°Quer¨ªa romperle las piernas, pero ni siquiera era quien dec¨ªa ser¡±

¡°Poca cosa voy a decir, no lo adornar¨¦, que llevo una mala virgen con esto que si s¨¦ qui¨¦n es lo fulmino de un paliz¨®n¡±, dice por tel¨¦fono una v¨ªctima de fraude por internet. No quiere revelar su identidad, m¨¢s all¨¢ de que es propietario de una peque?a empresa de Huesca. Un d¨ªa recibi¨® por correo electr¨®nico una factura real de 14.500 euros de un proveedor suyo. Transfiri¨® el dinero al n¨²mero de cuenta indicado. Al d¨ªa siguiente el proveedor no hab¨ªa recibido nada. ?Qu¨¦ hab¨ªa pasado? La cuenta que pon¨ªa en el e-mail no era la del proveedor. Hab¨ªa ingresado 14.500 euros en la cuenta de un desconocido.

El empresario fue corriendo a la polic¨ªa y a su banco. La denuncia sirvi¨® para bloquear la cuenta de destino, pero ya quedaban solo algo m¨¢s de 3.000 euros. El dinero se hab¨ªa esfumado. Esto ocurri¨® en junio de 2020. Poco despu¨¦s se encarg¨® del caso Carlos Solano, economista que colabora en el despacho local S¨¢ez-Benito & Calvo. ¡°Al principio [mi cliente] quer¨ªa romperle las piernas al que hab¨ªa recibido el dinero. Suerte que le dije que lo m¨¢s probable era que le hubieran suplantado la identidad¡±, dice Solano en conversaci¨®n con EL PA?S en Huesca.

El dinero de Huesca vol¨® a una cuenta abierta con el nombre de un joven de Tarragona, que aparentemente viv¨ªa en Coslada (Madrid), donde el banco mand¨® una tarjeta de cr¨¦dito. Con esa tarjeta se extrajo dinero en Viena (Austria) y el resto se transfiri¨® a otra cuenta, presuntamente de una joven de Castell¨®n. Ah¨ª se pierde casi toda la pista del dinero y de los delincuentes.

Solano ha tirado de todos los hilos para ir sacando informaci¨®n a cuentagotas de polic¨ªa y bancos. Este peri¨®dico ha reconstruido con su ayuda el caso paso a paso para entender la tremenda complejidad del fraude online y por qu¨¦ es una terrible lacra para miles de ciudadanos espa?oles. La p¨¦rdida del DNI, compartirlo por enga?o con un desconocido por internet o caer en una trampa y entregar la contrase?a del correo electr¨®nico de la empresa a un tercero pueden ser el inicio de un calvario mucho peor que el de un robo tradicional.

En 2016 hubo en Espa?a 70.178 casos conocidos de fraude inform¨¢tico, seg¨²n un informe del Ministerio del Interior. En 2020 esa cifra se multiplic¨® casi por cuatro y alcanz¨® los 257.907 casos. Los fraudes son el 90% de los ciberdelitos en Espa?a, que suman casi 288.000. De estos, solo en 11.280 hay alguna persona investigada o detenida.

¡°Me la suda que sea una banda organizada. Si me entero de alg¨²n nombre, lo encontrar¨¦ y lo pagar¨¢ con creces. No conf¨ªo en la justicia¡±, dice la v¨ªctima del fraude. Como prueban las cifras de casos resueltos, es extremadamente improbable que ocurra.

Todo empez¨® un viernes del verano de 2020. Recibi¨® un e-mail real con una factura de 14.500 euros pero con las cifras de la cuenta corriente cambiadas. ?C¨®mo puede ser que alguien tenga un acceso tan directo a una bandeja de entrada? No es nada raro, dicen en el Incibe, el instituto de cibercrimen espa?ol que se ocupa de las pymes. ¡°Es un caso de fraude de BEC [compromiso del correo de la empresa, en sus siglas en ingl¨¦s]¡±, dice Jes¨²s Garc¨ªa, t¨¦cnico en ciberseguridad del Incibe. El delincuente obtiene las contrase?as con ingenier¨ªa social: el t¨ªpico correo falso de ¡°alguien ha entrado a tu correo, cambia las claves¡±. Con ese acceso, observan los correos que entran. Cuando uno es una factura, borran el original, copian y pegan todo id¨¦ntico menos el n¨²mero de cuenta corriente y lo mandan de nuevo copiando incluso el nombre del emisor.

No es banal, pero no hay que ser un hacker para hacer esto. ¡°Tienes que saber algo de espa?ol y debes hacer un an¨¢lisis de los correos, lleva trabajo¡±, dice Garc¨ªa. A la v¨ªctima de este caso intentaron estafarle en otro correo, pero los delincuentes se dejaron el nombre del titular de la cuenta corriente, que no coincid¨ªa con el proveedor. Es una prueba de su falta de sofisticaci¨®n.

De Huesca a Tarragona

Mientras esto ocurr¨ªa en Huesca, otra v¨ªctima ca¨ªa en las redes de esta banda. Un joven repartidor de pizza de 25 a?os en Tarragona respond¨ªa a un anuncio en la p¨¢gina Jobandtalent. La oferta era un caramelo: 2.000-2.500 euros al mes, coche cedido, horas trabajadas en fin de semana pagadas el doble. Aparte de una oferta tan extraordinaria, hab¨ªa otros elementos que pod¨ªan despertar sospechas: el e-mail era del tipo nombre.apellido2015(@)gmail.com, el nombre de la empresa no aparec¨ªa y la ciudad donde repartir, tampoco. Pero era la ¨¦poca posterior al confinamiento y las ofertas de empleo escaseaban.

Cuando el joven dio su DNI por las dos caras y su n¨²mero de cuenta corriente, la ¡°empresa¡± dej¨® de responder a sus mensajes. Acababan de robarle la identidad. Con esos datos, los delincuentes le suplantaron la identidad y crearon cuentas online en tres bancos. El dinero de la empresa de Huesca pas¨® por una de ellas.

Al cabo de unos meses, lo siguiente que supo el joven de Tarragona de aquella oferta fue una llamada de la Guardia Civil. Deb¨ªa ir a la comandancia y quedarse detenido. Solo sus abogados lograron sacarle de ah¨ª. En el casi a?o y medio que ha pasado, seg¨²n sus abogados H¨¦ctor Calero y Alejandro Caballero, este joven ha tenido dos procesos en Madrid y uno en Gandesa, Huesca, Pamplona y Guadalajara. Excepto el caso de Huesca, todos fueron por estafas de falsos alquileres vacacionales, donde las v¨ªctimas pagan por adelantado una cantidad a modo de reserva. La cantidad de Huesca fue la m¨¢s alta, con diferencia.

¡°A quien le toca enfrentarse a procedimientos por toda Espa?a teniendo un sueldo de 800 euros como repartidor de pizza con la moto, no le hace ninguna gracia¡±, dice Calero. Eso sin contar que la v¨ªctima de Huesca buscaba a alguien a quien partir las piernas y el ¨²nico candidato que hab¨ªa era su nombre, hasta que qued¨® claro que su identidad hab¨ªa sido suplantada.

Solano pidi¨® el n¨²mero de tel¨¦fono con el que el banco ratific¨® la cuenta donde acab¨® el dinero de su cliente. Le dieron un n¨²mero. La polic¨ªa le confirm¨® que en el m¨®vil desde el que se hab¨ªa usado tambi¨¦n hab¨ªa otros ocho. La polic¨ªa encontr¨® que eran ciudadanos que usaban documentos rumanos, pero la polic¨ªa de Rumania dijo que eran numeraciones falsas. Solano introdujo los n¨²meros de tel¨¦fono en su WhatsApp. Tres n¨²meros segu¨ªan activos, alguno con el estado de WhatsApp en espa?ol. Cuando Solano escribi¨® a uno de ellos, le bloquearon. La jueza dijo que la polic¨ªa hab¨ªa dicho que era imposible encontrarles. Ah¨ª mor¨ªa otro hilo.

La sensaci¨®n del economista Solano y el abogado Calvo de Huesca y Calero y Caballero de Tarragona es que estos casos no paran de crecer. Los tribunales los conocen bien pero por la dificultad de esclarecer los hechos y las cantidades, lograr algo es complicado.

Hay, sin embargo, algo que chirr¨ªa a todos: ?c¨®mo puede ser tan sencillo abrir una cuenta online en un banco grande? Solano hizo la prueba en febrero de 2021. Necesit¨® un DNI, un tel¨¦fono y una cuenta en otro banco a su nombre. Nada m¨¢s. Era un coladero. En el caso del joven de Tarragona, con su n¨²mero de cuenta y DNI, que le pidieron en la falsa oferta de trabajo, los criminales ya ten¨ªan todo lo que necesitaban. Con esa informaci¨®n pod¨ªan suplantar la identidad en otros bancos. Los abogados del joven de Tarragona han pedido al Banco de Espa?a que les diga si hay m¨¢s cuentas a nombre de su cliente que no hayan localizado. No han recibido respuesta por ahora.

Solano ha calculado las comisiones que recibi¨® un banco y la entidad de cr¨¦dito en una de las cuentas suplantadas: ¡°Sacaron 18.500 euros en efectivo. Hubo cargos por 19.300. La diferencia es el 4,5% de comisiones: 832 euros generados en comisiones para el banco por extracciones a repartir entre ambas compa?¨ªas. En una cuenta con nada domiciliado, solo de meter y sacar dinero. Solo con eso, 832 euros de negocio bancario¡±, explica.

En verano de 2021, el Servicio Ejecutivo de la Comisi¨®n de Prevenci¨®n del Blanqueo de Capitales e Infracciones Monetarias (Sepblac) advirti¨® sobre el fraude en estas cuentas online. El BBVA, consultado por este peri¨®dico, elimin¨® la opci¨®n de abrir una cuenta por internet solo por tener otra en otro banco. Ahora exige un selfie o una videollamada. El OpenBank, tambi¨¦n consultado, permite a¨²n abrir una cuenta en su entidad a partir de una cuenta en otra, pero exige que se demuestre acceso a ella: el banco manda un c¨®digo en el concepto de una transferencia para comprobar si el usuario puede entrar y verlo. Es similar al sistema de ING, que manda una transferencia de c¨¦ntimos y el cliente debe decir de cu¨¢nto es.

Son medidas necesarias para disminuir una lacra que afecta sobre todo a ciudadanos que por alg¨²n motivo han clicado sin querer en un enlace o han dado unos documentos innecesarios tras ser enga?ados. Tanto la administraci¨®n como los bancos exigen m¨¢s concienciaci¨®n y controles a la ciudadan¨ªa, pero los malos suelen ir alg¨²n paso por delante: su trabajo es buscar agujeros en el sistema. ¡°Los bancos dicen que la culpa es de sus clientes, que es lo que me dec¨ªa a m¨ª la directora de la entidad de mi cliente, que ellos no ten¨ªan la culpa de que le hubieran estafado¡±, explica Solano. ¡°Y yo le dec¨ªa, cierto, pero que hayan usado su negligente infraestructura bancaria respecto a verificaci¨®n de identidades no es culpa de mi cliente, sino vuestra¡±, a?ade.

Su cliente, sin embargo, tiene tiempo para pocas historias. ¡°Hay tantos casos que no les prestan la atenci¨®n que deber¨ªan, los bancos pasan, queda la justicia por tu mano¡±, dice. El caso de Huesca sigue en la v¨ªa penal. Luego llegar¨¢ a la v¨ªa civil, donde esperan ganar y recuperar el dinero por la negligencia bancaria.

Si tienes m¨¢s informaci¨®n sobre este tema, puedes escribir a jordipc@elpais.es.

Puedes seguir a EL PA?S TECNOLOG?A en Facebook y Twitter o apuntarte aqu¨ª para recibir nuestra newsletter semanal.