Sala de premsa

Los investigadores de este tipo de delitos están observando un aumento de los casos en los que, de una forma u otra, un organismo oficial aparece involucrado en alguna tentativa de este tipo de fraude, ya sea como víctima o como parte involuntaria del engaño por haber sido suplantado. El mayor incremento se está dando en los fraudes BEC, en el que el “cebo” empleado es un cambio imprevisto en la cuenta bancaria de pago a proveedores.

En el caso de las Administraciones Públicas, las organizaciones criminales defraudadoras pueden obtener, vía online y sin rastro alguno, información pormenorizada sobre contratos establecidos por la Administración Pública y los altos cargos públicos responsables de su tramitación. El uso generalizado en la Administración General del Estado del Punto General de Entrada de Facturas Electrónicas de la A.G.E., así como el control exhaustivo que se realizada sobre el pago a proveedores, hace más difícil que esta administración sea víctima de este tipo de fraudes, en el sentido de la realización de un pago a un proveedor suplantado. 

Es considera, sobre la base de les temptatives de fraus reportades a la Policia Nacional per diferents organismes de l'Administració Pública, que la dinàmica delictiva que s'està estenent és la suplantació per les organitzacions criminals de responsables públics de contractes específics. Per a ells, els ciberdelinqüents desenvolupen un engany a través de correus electrònics basat en dades precises i detallats de contractacions reals, enfocant-se en les empreses proveïdores com a víctimes, tant en la modalitat de pagaments fraudulents a un organisme públic suplantat, com a pagaments fraudulents entre contractista i subcontractista. 

BEC, el tipo de intento de fraude que ha aumentado recientemente

En els casos de fraus BEC, en l'escenari apareixen petit empreses o persones físiques que, ja siga de forma regular o de forma ocasional, participen en una operació de compravenda o de prestació de servicis. Els termes de la transacció es negocien entre les parts legítimes mitjançant correus electrònics fonamentalment i, en alguns casos, també mitjançant aplicacions de missatgeria instantània. 

En este tipus de fraus, s'aconseguix l'accés il·legítim a una o a les dos comptes de correu implicades i s'obté informació sobre els pagaments esperats, dates, quantitats, persones implicades, mercaderia o servicis amb els quals es comercia i estil de llenguatge utilitzat, entre uns altres.

Con esta información, la organización criminal defraudadora normalmente registrará una dirección de correo con un aspecto visual muy similar al de la dirección auténtica utilizada por las partes legítimas para suplantar la identidad de una de ellas, normalmente la del vendedor o proveedor del servicio. Posteriormente solicitaban un adeudo económico pendiente en una cuenta bancaria controlada por la organización criminal, argumentando con cualquier excusa que se ha producido un cambio en la cuenta bancaria habitual donde se venían recibiendo los pagos legítimos con anterioridad.

Els fraus afecten a tot tipus d'entitats, empreses de tots els sectors i grandàries, clubs de futbol, autònoms, immobiliàries, productores de cinema i teatre, i, també recentment, a organismes públics.

CEO, el fraude mediante el que se suplanta a un alto directivo

Los fraudes al CEO (Chief Executive Officer) tienen en común a los fraudes BEC (Business Email Compromise) la suplantación de la identidad de una persona con capacidad para ordenar o solicitar pagos a otra parte implicada en una transacción económica a fin de conseguir un trasvase de fondos a una cuenta bancaria controlada por el defraudador.

En tots dos casos és necessari disposar d'informació sobre la víctima i el seu entorn per a construir un relat amb suficients dades objectives i certs que permeten generar en la víctima la creença que està tractant amb la persona que està sent suplantada.

En los casos de fraudes al CEO, la persona suplantada es un alto directivo de la empresa. La víctima, además de la propia empresa, que será la que en última instancia sufra el perjuicio patrimonial, es un empleado del departamento de finanzas autorizado para realizar pagos a entidades externas. En este tipo de fraudes, el escenario ideado para propiciar la transferencia de dinero hacia la cuenta del defraudador es el de una “operación estratégica” de la máxima importancia para la viabilidad de la compañía.

Es crea un entorn tancat en el qual només tenen cabuda el defraudador i el seu interlocutor dins de l'empresa, insistint des dels primers missatges en la importància de no compartir la informació fora d'eixe cercle exclusiu que formen el supòsit directiu i el seu empleat. S'insistix a mantindre les comunicacions restringides a l'àmbit del correu electrònic a fi d'evitar que l'empleat identifique que la veu que s'escolta a l'altre costat del telèfon no és la del directiu real amb el qual creu estar tractant. 

Se solicita información sobre los saldos y liquidez de la empresa, dado que esta información no suele estar al alcance de personas ajenas a la compañía. Al objeto de dar mayor verosimilitud a la falacia se hacen alusiones a entidades como la CNMV, que supuestamente estaría respaldando la operación, y se solicitarán documentos firmados por el directivo suplantado, que servirán para falsificar su firma y plasmarla en documentos falsos aportados por el defraudador para reforzar la idea de que es el auténtico CEO de la empresa el que está detrás de la operación.

Una vez se consigue doblegar la voluntad de la víctima, se suceden continuas solicitudes de transferencias de fondos que sólo finalizarán cuando aquella decida que se ha sobrepasado el límite de lo razonable. En ningún caso el defraudador se dará por satisfecho con lo conseguido. El engaño continuará hasta que la víctima lo pare.

Extremar les precaucions i avisar a la Policia Nacional

Per a evitar que estos fraus arriben a cometre's, resulta necessari que tant els responsables públics dels departaments de contractació com les empreses adjudicatàries i subcontractades de contractes públics extremen les seues precaucions. La detecció de qualsevol temptativa d'estos tipus de fraus ha de ser posada en coneixement, al més prompte possible, de la Policia Nacional per a procedir a la investigació dels fets ocorreguts i el descobriment de les organitzacions cibercriminales dedicades a esta modalitat delictiva.