Suplantaron el correo electrónico del jefe y ordenaron veinte transferencias. El grupo farmacéutico Zendal, con sede en O Porriño, ha sido víctima de una millonaria estafa con la técnica del phishing. Un responsable de esta compañía realizó transferencias a una cuenta bancaria por más de nueve millones de euros creyendo que lo hacía por orden de su jefe, cuando en realidad se trataba de un delincuente que había suplantado su identidad. La compañía farmacéutica ha presentado una denuncia en la Guardia Civil tras descubrir el engaño

• El grupo farmacéutico Zendal, cuya planta de O Porriño (Pontevedra) producirá una de las vacunas contra el COVID-19, ha denunciado ante la Guardia Civil una estafa mediante la suplantación de su identidad en "unas transacciones financieras" de la compañía.

Los agentes investigan los hechos. Tratan de seguir el rastro del dinero para dar con los autores de esta gran estafa, posiblemente el delito de este tipo con la mayor cuantía económica que se ha registrado hasta el momento en Galicia.

Los hechos ocurrieron la semana pasada. El jefe financiero de la entidad recibió un correo electrónico en el que el jefe de la empresa le avisaba de que iban a establecer contactos con una importante compañía multinacional de un país asiático y que tenía que tener disponible dinero de los fondos propios para podérselos transferir.

El asunto estaba relacionado, supuestamente, con la fabricación de una vacuna contra el covid-19. Al mismo tiempo, el comunicante, que se hacía pasar por un máximo responsable de la entidad, le pidió que actuase con total discreción. El ejecutivo actuó con fe ciega, puesto que el correo electrónico le estaba llegando desde una dirección corporativa. En ningún momento sospechó que estaba siendo víctima de un engaño y se dispuso a obedecer la orden de ingresar todo el dinero que le indicasen desde la supuesta multinacional asiática con la que el grupo farmacéutico Zendal iba a entrar en tratos.

El responsable financiero recibió ese mismo día una solicitud para realizar un primer ingreso de 400.000 euros. A esta transferencia le sucedieron otras más. El empleado llegó a realizar hasta un total de veinte transferencias por diferentes importes en el transcurso de cuatro días, por un importe superior a los nueve millones de euros. Al mismo tiempo, recibía facturas por supuestos servicios prestados que, lógicamente, eran falsas.

Víctimas de un engaño

La demanda de capital llegó hasta el punto de que la empresa empezó a tener problemas de liquidez. Fue en ese momento cuando el jefe financiero se puso en contacto con su superior para hablar personalmente con él de las tensiones de tesorería que se estaban generando con los nuevos socios. Ahí fue cuando se dieron cuenta de que habían sido víctimas de un engaño. Comprobaron que la dirección de correo electrónico desde la que habían actuado los delincuentes tenía alguna pequeña variación respecto de la original.

Producción de vacunas

El grupo Zendal es una de las compañías farmacéuticas más importantes del país. Recientemente recibió la visita del presidente de la Xunta, Alberto Núñez Feijoo, así como del ministro de Sanidad, Salvador Illa, que pusieron en valor su posición estratégica internacional como grupo biotecnológico cualificado para la producción de vacunas.

Una parte de la plantilla está inmersa en la transferencia tecnológica necesaria para poder fabricar la vacuna contra el covid de la multinacional Novavax, cuyo inicio de producción se prevé para antes de final de año. Su filial Biofabri ha sido elegida por la americana Novavax para producir su vacuna para luchar contra la pandemia.

Fuente:

https://www.lavozdegalicia.es/noticia/galicia/2020/12/01/estafan-9-millones-euros-farmaceutica-zendal-porrino/00031606859793345268851.htm

Business Email Compromise (BEC) 

• ¿Qué es el "fraude del CEO"? con el delincuentes que han robado US$26.000 millones de empresas desde 2016

4 millones euros estafados a EMT Valencia

El objetivo es engañar a empleados con acceso a los recursos económicos para que paguen una factura falsa o hagan una transferencia desde la cuenta de la compañía. Para ello el estafador llama o envía correos electrónicos haciéndose pasar por un alto cargo de la compañía». Así describe Interpol la esencia del fraude del CEO (así conocido por la denominación anglosajona del director ejecutivo), la picaresca que ha puesto cuatro millones de la EMT en manos de delincuentes casi de un plumazo. Con este fraude del CEO se estafó por 4 millones de euros a la EMT de Valencia.

Este es un ejemplo de la vida real de un ciberataque conocido como fraude del CEO o email corporativo comprometido o BEC, las siglas en inglés de Business Email Compromise.

Los ataques relativamente poco sofisticados y dependen más de la ingeniería social y del engaño que del hackeo tradicional. Los cibercriminales simplemente imitan la dirección del correo electrónico de un ejecutivo de una empresa y envían un pedido convincente a un empleado incauto.

El mensaje parece como si proviniera del jefe, pero fue enviado por un impostor. A grandes rasgos, es una modalidad más avanzada de 'phishing': el envío de correos electrónicos en busca de claves secretas de las víctimas para saquear dinero de sus cuentas. En este caso, el objetivo es toda una empresa, lo que requiere una mayor elaboración.

En el fraude del CEO los estafadores juegan con una baza: la obediencia, a veces ciega, de un empleado hacia el 'jefazo'. Aunque la petición escape a los protocolos habituales. Es aquello de 'si me lo pide el jefe, tendré que obedecer'. Por esto la clave es "la concienciación y advertencia a directivos y empleados sobre los mecanismos de estafa para que se detecten a tiempo". 

A menudo hay una cierta urgencia en el mensaje y empleado simplemente hace lo que le dicen, quizás enviando grandes sumas de dinero a criminales por error.