Sala de premsa

Els investigadors d'aquest tipus de delictes estan observant un augment dels casos en els quals, d'una forma o una altra, un organisme oficial apareix involucrat en alguna temptativa d'aquest tipus de frau, ja sigui com a víctima o com a part involuntària de l'engany per haver estat suplantat. El major increment s'està donant en els fraus BEC, en el qual l'esquer “” emprat és un canvi imprevist en el compte bancari de pagament a proveïdors.

En el cas de les Administracions Públiques, les organitzacions criminals defraudador poden obtenir, via online i sense rastre algun, informació detallada sobre contractes establerts per l'Administració Pública i els alts càrrecs públics responsables de la seva tramitació. L'ús generalitzat en l'Administració General de l'Estat del Punt General d'Entrada de Factures Electròniques de la A.G.I., així com el control exhaustiu que es realitzada sobre el pagament a proveïdors, fa més difícil que aquesta administració sigui víctima d'aquest tipus de fraus, en el sentit de la realització d'un pagament a un proveïdor suplantat. 

Es considera, sobre la base de les temptatives de fraus reportades a la Policia Nacional per diferents organismes de l'Administració Pública, que la dinàmica delictiva que s'està estenent és la suplantació per les organitzacions criminals de responsables públics de contractes específics. Per a ells, els ciberdelinqüents desenvolupen un engany a través de correus electrònics basat en dades precises i detallats de contractacions reals, enfocant-se en les empreses proveïdores com a víctimes, tant en la modalitat de pagaments fraudulents a un organisme públic suplantat, com a pagaments fraudulents entre contractista i subcontractista. 

BEC, el tipus d'intent de frau que ha augmentat recentment

En els casos de fraus BEC, en l'escenari apareixen petites empreses o persones físiques que, ja sigui de forma regular o de forma ocasional, participen en una operació de compravenda o de prestació de serveis. Els termes de la transacció es negocien entre les parts legítimes mitjançant correus electrònics fonamentalment i, en alguns casos, també mitjançant aplicacions de missatgeria instantània. 

En aquest tipus de fraus, s'aconsegueix l'accés il·legítim a una o a ambdues comptes de correu implicades i s'obté informació sobre els pagaments esperats, dates, quantitats, persones implicades, mercaderia o serveis amb els quals es comercia i estil de llenguatge utilitzat, entre uns altres.

Amb aquesta informació, l'organització criminal defraudador normalment registrarà una adreça de correu amb un aspecte visual molt similar al de l'adreça autèntica utilitzada per les parts legítimes per suplantar la identitat d'una d'elles, normalment la del venedor o proveïdor del servei. Posteriorment sol·licitaven un deute econòmic pendent en un compte bancari controlat per l'organització criminal, argumentant amb qualsevol excusa que s'ha produït un canvi en el compte bancari habitual on es venien rebent els pagaments legítims amb anterioritat.

Els fraus afecten a tot tipus d'entitats, empreses de tots els sectors i grandàries, clubs de futbol, autònoms, immobiliàries, productores de cinema i teatre, i, també recentment, a organismes públics.

CEO, el frau mitjançant el qual se suplanta a un alt directiu

Els fraus al CEO (Chief Executive Officer) tenen en comú als fraus BEC (Business Email Compromise) la suplantació de la identitat d'una persona amb capacitat per ordenar o sol·licitar pagaments a una altra part implicada en una transacció econòmica a fi d'aconseguir un transvasament de fons a un compte bancari controlat pel defraudador.

En tots dos casos és necessari disposar d'informació sobre la víctima i el seu entorn per construir un relat amb suficients dades objectives i certs que permetin generar en la víctima la creença que està tractant amb la persona que està sent suplantada.

En els casos de fraus al CEO, la persona suplantada és un alt directiu de l'empresa. La víctima, a més de la pròpia empresa, que serà la que en última instància sofreixi el perjudici patrimonial, és un empleat del departament de finances autoritzat per realitzar pagaments a entitats externes. En aquest tipus de fraus, l'escenari ideat per propiciar la transferència de diners cap al compte del defraudador és el d'una “operació estratègica” de la màxima importància per a la viabilitat de la companyia.

Es crea un entorn tancat en el qual només tenen cabuda el defraudador i el seu interlocutor dins de l'empresa, insistint des dels primers missatges en la importància de no compartir la informació fora d'aquest cercle exclusiu que formen el supòsit directiu i el seu empleat. S'insisteix a mantenir les comunicacions restringides a l'àmbit del correu electrònic a fi d'evitar que l'empleat identifiqui que la veu que s'escolta a l'altre costat del telèfon no és la del directiu real amb el qual creu estar tractant. 

Se sol·licita informació sobre els saldos i liquiditat de l'empresa, atès que aquesta informació no sol estar a l'abast de persones alienes a la companyia. A fi de donar major versemblança a la fal·làcia es fan al·lusions a entitats com la CNMV, que suposadament estaria recolzant l'operació, i se sol·licitaran documents signats pel directiu suplantat, que serviran per falsificar la seva signatura i plasmar-la en documents falsos aportats pel defraudador per reforçar la idea que és l'autèntic CEO de l'empresa el que està darrere de l'operació.

Una vegada s'aconsegueix doblegar la voluntat de la víctima, se succeeixen contínues sol·licituds de transferències de fons que només finalitzaran quan aquella decideixi que s'ha sobrepassat el límit del raonable. En cap cas el defraudador es donarà per satisfet amb l'aconseguit. L'engany continuarà fins que la víctima ho pari.

Extremar les precaucions i avisar a la Policia Nacional

Per evitar que aquests fraus arribin a cometre's, resulta necessari que tant els responsables públics dels departaments de contractació com les empreses adjudicatàries i subcontractades de contractes públics extremin les seves precaucions. La detecció de qualsevol temptativa d'aquests tipus de fraus ha de ser posada en coneixement, al més aviat possible, de la Policia Nacional per procedir a la recerca dels fets ocorreguts i el descobriment de les organitzacions cibercriminales dedicades a aquesta modalitat delictiva.