Ciberdelincuentes aprovechan la publicidad de los procesos de licitación para recabar información y atacar a las empresas y administraciones usurpando identidades. Europol activa la operación Sentinel para prevenir delitos con los 'Next Generation'

Las administraciones y empresas no son los únicos que esperan con expectación los fondos europeos para la recuperación económica tras la pandemia. Agazapados, tras sus ordenadores, se encuentra una legión de ciberdelincuentes dispuestos a sacar tajada de esos aproximadamente 140.000 millones que la Unión Europea destinará a España. Un objetivo a su alcance a través de los contratos de licitación y cuya vía es una modalidad de estafa con múltiples variantes

Si las compañías no adoptan medidas de precaución, para estos delincuentes expertos en la infección de dispositivos, suplantación e ingeniería social será como pescar en una piscifactoría. El riesgo es tan real que Europol anunció a mediados de octubre un operativo para proteger estas partidas. Se llama Sentinel y promoverá el intercambio de información entre 19 países para prevenir cualquier fraude y ciberdelito en torno a los 'Next Generation', así como para coordinar investigaciones internacionales derivadas de actitudes corruptas, evasión de impuestos y blanqueo de capitales. 

 El principal peligro que han detectado "Consiste en suplantar a una de las dos partes que están llevando a cabo una transacción económica habitualmente derivada de la prestación de un servicio". Existe un emisor y un receptor, que se comunican a través de un dispositivo tecnológico y que desconocen que hay un tercero que está espiando y que finalmente se interpone. Y cómo lo hace es la clave de este delito que tiene en la llamada 'estafa al CEO' su variante más extendida, según explica el inspector jefe del Grupo de Ciberdelincuencia de la Comisaría Provincial de Málaga, Andrés Román, que sostiene sin ninguna duda que "es la principal estafa contra las empresas y los organismos públicos".

A pesar de que "no tenemos una buena radiografía de su incidencia" porque las víctimas no siempre denuncian al considerar que puede afectar a su "imagen y reputación", los datos recabados permiten establecer —en estos momentos— tres "técnicas de usurpación" que varían según el nivel de control que se obtenga. 

El primer paso es acceder a las conversaciones entre la compañía y la administración después de que el ciberdelincuente realice un barrido por Internet recopilando datos de posibles víctimas. Hay que tener en cuenta que en las "fuentes abiertas" de la Red hay acumulada mucha información sobre los procesos de licitación y adjudicación de los contratos públicos en los que se detallan cantidades económicas, nombres de empresa, vías de contacto y hasta nombres del personal.

Los delincuentes monitorizan las conversaciones como paso previo a la usurpación e identidad

Una vez elegidos los objetivos, porque los autores de estos fraudes suelen hacer constantes ataques, deben entrar en sus sistemas para espiar las conversaciones —habitualmente— mantenidas a través de correos electrónicos. Román explica que hay dos formas: "Por infección", con la introducción de un 'malware' —un programa malicioso— que una de las partes descarga sin ser consciente; o "utilizando la ingeniería social" para engañar.

Cuando logran monitorizar las comunicaciones y tienen conocimiento de la existencia de un pago pendiente, intervienen suplantando la identidad de una de las partes. La forma más habitual es crear una dirección de correo electrónico muy similar al de la parte que reclama el abono de la cantidad adeudada y que únicamente se suele diferenciar de la original por una palabra. El ciberdelincuente llega a clonar la imagen corporativa de la compañía, así como sus datos, pero introduce una cuenta corriente bajo su dominio para que realicen la transferencia. "Para evitar cualquier sospecha, utilizan excusas como que el número que tenían era muy antiguo", señala el mando policial, que explica que la segunda modalidad es prácticamente igual, aunque técnicamente es algo más compleja porque el estafador consigue ocultar su verdadera dirección de email con una "técnica de ofuscación". En la tercera y última tipología detectada, se hace con el "control absoluto": tiene acceso total al sistema, a las cuentas de correo y puede enviar comunicaciones reales.

En la ingeniería social el delincuente se hace pasar por algún funcionario para reclamar a la empresa adjudicataria las facturas pendientes de pagar. Una vez las tiene a su disposición, sabe las cantidades que puede estafar e inicia el proceso de suplantación.

Acción coral

Estas opciones, no obstante, pueden variar, ya que una de las principales características de la ciberdelincuencia es que está en constante evolución y cada una de sus modalidades muta con cierta rapidez. Incluso se están detectando casos en los que se utilizan plataformas de gestión de pagos y otros en los que se produce una combinación de ingeniería social y doble usurpación que llegan a incluir un "maquillaje telefónico". Rizar el rizo. "Es una simbiosis entre arte y táctica que produce una sinergia para vencer a la más escéptica de las víctimas".

Pero en lo que coinciden todas es que ocasionan "pufos espectaculares". Y más elevados pueden ser cuando estos delincuentes especializados se lancen a por los fondos 'Next Generation' que van a comenzar a fluir entre las administraciones y las empresas. 

La estafa del CEO: el timo millonario del que se avergüenzan las empresas

Andrés Román explica que ha investigado denuncias que ascienden hasta los 350.000 euros y recuerda el caso concreto de un empresario al que los ciberdelincuentes llegaron a engañar en tres ocasiones. También conoce denuncias en los que la víctima es alguna administración, pero prefiere reservar los detalles. Lo que sí apunta es que estas estafas suelen ser el resultado de una acción coral donde alguien crea el 'troyano' que contagia el sistema, otras realizan la suplantación y hay quien mueve el dinero para difuminar su huella. Y al contrario que ocurre con las 'sextorsiones', donde se producen ataques supuestamente procedentes de África o países del Este de Europa, el perfecto castellano que utilizan algunos de los integrantes hace pensar que son españoles. "Profesionales, gente preparada, diría que incluso universitarios", que utilizan sus buenas maneras para convencer a sus víctimas.

La posibilidad de recuperar el dinero es "remota", confiesa el inspector jefe, que explica que estos estafadores aprovechan la laxitud de la banca 'online' para mover con rapidez el dinero obtenido y situarlo fuera del alcance de la víctima y las fuerzas de seguridad. "En el momento que lo tienen, compran criptomoneda y se pierde su rastro", señala, para añadir que los sistemas de control sobre la apertura de cuentas que tienen estas entidades son muy mejorables y eso es aprovechado por estos delincuentes para la captación de 'mulas'. Personas que, en ocasiones, saben que están facilitando una acción delictiva, como un matrimonio que circuló un millón de euros; y otras que, sin querer, se ven envueltas en un entramado de este tipo cuando pensaban que habían tenido suerte en una oferta laboral.

Escapar al timo es relativamente fácil, aclara este experto, que afirma que es tan sencillo como aplicar a cada transacción la "doble autentificación". "Si nos llaman de la empresa o la administración 'X' reclamándonos un pago pendiente. No ingresar sin más. Llamar por teléfono y confirmar la veracidad de esa comunicación". Una gestión que no supone ningún esfuerzo y que puede evitar millonarios quebraderos de cabeza.

 Fuentes:
https://www.elconfidencial.com/espana/andalucia/2022-03-19/ciberestafas-fondos-europeos-policia-nacional-europol_3393923/