En febrero de 2022, el digital h50 publicaba una intervención de agentes de la Policía Nacional donde se efectuaban varias detenciones en Valencia. Concretamente, seis “muleros” por estafar en importes de más de ciento cincuenta y cinco mil (155.000) euros, con la estafa conocida como “Man in the Middle” o CEO. Los detenidos eran personas jóvenes de entre veinticuatro (24) y treintaiuno (31) años, a los cuales se les informaba de sus derechos como presuntos autores de un delito de estafa. Otros tres individuos eran investigados aunque en aquel momento no se concluyó su detención.
Las investigaciones se iniciaron por parte de los agentes al recibir una denuncia en diciembre del año dos mil veinte (2020) en el que una empresa denunciaba haber sido víctima de una estafa en la modalidad “Man in the Middle” por importe de veinticuatro mil seiscientos veintiuno (24.621) euros. Posteriormente, se recibió otra denuncia por parte de otra empresa cliente de la primera, en la que denunciaban que se habían interceptado comunicaciones por correo electrónico entre ambas empresas.
¿En que consiste esta modalidad delictiva?
La Estafa “Man in the Middle” o CEO. Es un tipo de fraude que persigue la obtención de información secreta mediante técnicas de ingeniería social, obteniendo de forma más o menos directo beneficio patrimonial. Se caracteriza en que la víctima del fraude es un empleado con poder y acceso a los recursos económicos de una empresa. Los atacantes realizan un proceso de recopilación de información y de datos de los empleados con el objetivo de localizar a la persona que les pueda ser más útil para ser engañada dentro de la organización empresarial.
Modus operandi
El engaño consiste en que un empleado, normalmente de alto rango, con capacidad de realizar transferencias recibe un correo fraudulento, supuestamente de su jefe, en que le pide ayuda para realizar una operación financiera confidencial y urgente. Si el trabajador no se percatarse de la falsedad del mensaje podría convertirse en una víctima del engaño. Los atacantes en los casos más sofisticados pueden previamente haber espiado, mediante un malware, los correos electrónicos para imitar el estilo de escritura del jefe y robar sus credenciales de acceso a sus cuentas para enviar los mensajes desde su propio e-mail.
Durante las investigaciones efectuadas en el caso expuesto, los agentes comprobaron los movimientos bancarios y descubrieron que habían modificado la cuenta de cargo de una factura entre ambas empresas, desviando dinero a la cuenta bancaria de una “mula”. Al comprobar los movimientos de la cuenta receptora, detectaron que parte del dinero pivotaba a otras seis (6) cuentas.
Además, durante el desarrollo del operativo, identificaron varios “muleros” que, a cambio de un porcentaje, accedían a abrir cuentas bancarias y facilitarlas a los responsables del grupo. Se continúan con las investigaciones para el total esclarecimiento de los hechos y la detención de más implicados. Finalmente, los agentes detuvieron a seis personas, titulares de las cuentas a las se desviaban las cantidades defraudadas, tras investigar diecisiete (17) cuentas diferentes. Los detenidos, dos con antecedentes policiales, han pasado a disposición judicial.
Operación Lucus
En agosto de 2020, la policía Nacional desarticuló una organización criminal dedicada a estafar mediante el metodo “Man in the Middle”. Agentes de la Policía Nacional detenían en la provincia de Sevilla España, a siete personas e investigado a otras tres por su presunta pertenencia a una organización criminal dedicada a estafar empresas y autónomos mediante el metodo “man in the middle”. El importe de dinero estafado se acercó a los dos millones (2.000.000) de euros.
Esta estafa consiste en la interceptación por parte de los ciberdelincuentes, de las comunicaciones electrónicas entre proveedores y clientes, con la finalidad de acceder a la documentación que estos intercambiaban. Una vez consiguen la documentación, habitualmente facturas, simulan ser el proveedor para reclamar al cliente el importe adecuado, si bien indican que el pago de la factura debe efectuarse en una cuenta bancaria distinta de la habitual. Cuando el dinero es ingresado en la cuenta fraudulenta, es de inmediato transferido a segundas y terceras cuentas, o extraído en efectivo, perdiéndose su rastro en escasos días.
El origen de las investigaciones se remontó hasta hace casi dos años, cuando una conocida cadena de perfumerías con tiendas en todo el territorio nacional, denunciaba una estafa de casi doscientos mil (200.000) euros mediante esta tipología delictiva. Tras múltiples y complejas investigaciones, la Policía Nacional consiguió identificar a los autores de los hechos, vinculándolos con numerosas estafas realizadas con el mismo modus operandi y localizando a víctimas en España y en el extranjero.
En esta intervención policial se detuvieron a siete personas e investigado a otras tres a los que se les imputa los delitos de:
- Capítulo VI De las Organizaciones y Grupos Criminales- Artículo 570 Bis CP Español. Pertenencia a organización criminal,
- Capítulo VI De las defraudaciones Articulo Sección 1° de las Estafas Articulo 248.2 CP Estafa informática.
- Título XVIII. Capítulo II De las falsedades documentales Articulo 390 CP falsedad documental.
- Acceso ilegal informático.
- Capítulo XIV De la receptación y el blanqueo de capitales Articulo 301 CP Blanqueo de capitales.
Se practicaron hasta cuatro entradas y registros de domicilios (Articulo 551 LECrim, artículo 18.2 CE) en las localidades de Coria del Rio. Se incautaron un ordenador, 8 teléfonos móviles, documentación y dos mil ($2.000) euros en efectivo. La investigación pasó por diferentes fases, la última de ellas finalizó el pasado mes de junio, estimando los investigadores, que la organización criminal defraudó a diferentes empresas y negocios la cantidad de unos dos millones ($.000.000) de euros.
Conclusiones
Considero relevante enunciar un caso a nivel internacional donde el cliente recuperó todo el importe estafado. Un suceso particularmente curioso que fue llevado en SMK Abogados, el de la Empresa Plasmiddleast FZE de Dubái, que les encargó la recuperación de aproximadamente quinientos once mil ($511.000) euros.
En una operación de compra venta de determinados productos con una empresa italiana, el gerente de Plasmiddleast FZE, engañado, había transferido dicho importe desde de su cuenta en Dubái a una cuenta en Málaga bajo control del “man in the middle”. La táctica fue seguir rápidamente el rastro de dichas transferencias para bloquear las cuentas de destino extranjero.
Pudieron localizar y bloquear una cuenta en Hong Kong y recuperar doscientos treintaisiete mil (237.000) euros que habían transferido. En cuanto al resto del dinero defraudado, consiguieron localizar y detener el autor de la estafa, quien fue juzgado y condenado por la Audiencia Provincial de Málaga por delito de estafa agravada a la pena de cinco (5) años de prisión, así como reintegrar a su cliente los doscientos setentaicuatro mil (274.000) euros defraudados restantes.
Consejos para evitar ser víctimas.
- Debe darse especial importancia a las medidas de seguridad informática de la empresa, mediante el uso de antivirus, la continua actualización de software de los equipos informáticos y protegiendo la red wifi con contraseñas robustas.
- Se recomienda advertir al personal de la empresa, en especial al área que se encarga de la contabilidad blindar y encriptar la información, de las estafas que pueden producirse para que se mantengan en continua alerta.
- Antes de realizar cualquier pago, confirmar con las empresas que lo solicita la veracidad de dicha transacción, vía telefónica, videoconferencia, etc.
Recomendaciones
- Se recomienda sospechar de cualquier correo electrónico que contenga errores ortográficos que nos llame la atención, o que contengan enlaces que nos deriven a una factura o algo similar.
- Si ya han realizado un pago y piensan que han podido ser estafados con este método o cualquier otro, se debe informar e interponer una denuncia inmediatamente a la policía.
Autor: Edgar Hernando Jiménez Moreno
Referencia Bibliográficas
https://incibe.es/aprendeciberseguridad/man-in-the-middle
https://smk.abogados.com/estafa-informática-transferencia/
