La Policía Nacional descubre un grupo que, con phishing, imitaba a un banco en España para robar mucho dinero: así lo hacía

La Policía Nacional de España ha anunciado la detención de 13 personas que viven en A Coruña, Córdoba, Huelva, Madrid, Málaga, Murcia, Palma de Mallorca y Terrassa (Barcelona) por robar dinero a través de técnicas de phishing. Hay otras 7 investigadas no detenidas.

Los investigados suplantaban la identidad de una "conocida entidad bancaria" (como explica la Policía, que no ha especificado cuál exactamente) y obtenían las credenciales de sus víctimas mediante phishing. Tras conocer esta información realizaban compras online, transferencias o pedían préstamos personales no autorizados.

Cómo era la estafa

La forma en la que conseguían robar iba de acorde a muchos casos de phishing por mail que conocemos a menudo. Los investigados usaban la imagen corporativa de una entidad bancaria y enviaban de forma masiva correos electrónicos falsos en su nombre. Las personas que recibían dicho correo, se encontraban con un aviso sobre una supuesta “alerta de seguridad” que afectaba a sus tarjetas y cuentas bancarias. El mail tenía un enlace o link donde la víctima podía introducir sus credenciales de banca online para solucionarlo.

Pero como hace un buen phishing, los emails no habían sido remitidos por el banco y los links redirigían a páginas web falsas controladas por miembros de la organización. Además, los correos “cebo” eran modificados y actualizados para parecer más realistas. Este tipo de prácticas es común. No es raro que resibamos mails o SMS en nombre de entidades muy reconocidas como el Banco Santander, Caixabank, ING o BBVA.

Las ganancias que obtenían eran luego diseminadas a través de cuentas bancarias de “mulas de dinero”. A estas "mulas" se las captaba a través de páginas de contactos sentimentales. Estas personas, engañadas por una supuesta pareja sentimental, enviaban dinero a través de empresas money-transfer a Costa de Marfil, lo que permitía burlar controles que establece ley.

Posteriormente con las credenciales obtenidas los detenidos accedían a la banca online de las víctimas y cambiaban el número de móvil registrado por el cliente legítimo por otro número controlado por ellos. Así podían completar las compras o transferencias, con la autenticación en dos pasos, pero usando sus móviles.

Con todo esto también podían acceder a los datos bancarios de las víctimas, y recibir las Claves de Comercio Electrónico Seguro (CES) necesarias para finalizar operaciones. Realizaban las compras fraudulentas a través de comercios electrónicos ubicados en países extranjeros (sobre todo Francia) y usando VPN para despistar sobre su ubicación.

La investigación

Se conoce que en total hay 146 personas que han sido estafadas. La cantidad defraudada asciende a 443.600 euros. La investigación policial comenzó a finales de 2018 cuando los agentes detectaron numerosas denuncias en todo el territorio nacional (realizadas tanto por particulares, como por una entidad bancaria) de operaciones fraudulentas a través de compras en comercios electrónicos, así como de transferencias bancarias y petición de créditos personales no autorizados. Ha finalizado con la detención de 13 personas.

La complejidad de la investigación radica en que se trata de un delito trasfronterizo: las víctimas cuyos datos bancarios han sido comprometidos así como las entidades bancarias afectadas son de un país (en este caso España), el comercio online que sufre el fraude es otro diferente, y el producto o servicio adquirido se consume o entrega en un tercer país.