Agentes de la Policía Nacional han desarticulado hoy una red criminal internacional formada por 64 personas, responsable de estafar más de 4 millones de euros a empresas. Cometían sus estafas recurriendo a la técnica conocida como BEC (Business Email Compromise), en el que el atacante obtiene acceso a una cuenta de e-mail de la empresa o institución atacada recurriendo a su vez a técnicas de phishing o de ingeniería social, o bien comprando credenciales de acceso en la Dark Web.

Una vez se obtiene el acceso a la cuenta de correo corporativa, el atacante se centra en recopilar información confidencial de la empresa atacada, así como de sus clientes y transacciones económicas pendientes de abono. Posteriormente, pueden enfocar su ataque de dos maneras:

• A) Ataque ‘interno’: El atacante se hace pasar por una persona de confianza (frecuentemente, un alto directivo) con el objetivo de engañar a algún miembro de la propia organización con la capacidad de aprobar una solicitud fraudulenta de transferencia bancaria.
• B) Ataque externo: Se aprovecha el acceso al email corporativo para usurpar la identidad de la empresa ante sus clientes, proveedores y entidades financieras, consiguiendo el pago de facturas y transacciones de grandes sumas de dinero a cuentas bancarias controladas por los atacantes. Este es el caso de la red criminal desmantelada hoy.

La denuncia de una empresa española que nunca llegó a recibir una transacción puso en marcha la investigación

De este modo, los miembros de la trama criminal desarticulada fueron capaces de estafar hasta cuatro millones de euros mediante ataques producidos desde Nigeria, país donde se enviaba finalmente el botín de la estafa. Eso no ha impedido detener en nuestro país a 64 personas: 28 en Palma, 3 en Ibiza, 4 en Madrid, 17 en Valencia, 5 en Segovia, 2 en Aranda del Duero, 1 en San Sebastián , 2 en Zaragoza y 2 en Tenerife.

En su mayor parte, los detenidos (que serán imputados por pertenencia a organización criminal, estafa, blanqueo de capitales y acceso informático ilícito) son ‘mulas bancarias’: personas que ponían sus cuentas personales al servicio de la trama (a veces voluntariamente, otras mediante extorsión) y, tras recibir el dinero de las transacciones, se quedaban con el 2% y remitían el resto a la cúpula de la organización.

Según explica el comunicado del Ministerio del Interior, la investigación se inició a raíz de la denuncia de una empresa española, a la que habrían estafado más de 320.000 dólares por una transferencia no recibida correspondiente a los servicios prestados a una empresa de la República Democrática del Congo.

Efectivamente, esa transferencia sí fue realizada por la empresa congoleña, pero fue destinada a la cuenta de un tercero ajeno a la empresa destinataria: eso fue posible porque los atacantes se inmiscuyeron en la conversación vía e-mail entre ambas empresas y lograron sustituir la cuenta de abono real por la de una de sus ‘mula bancarias’.

Gracias al éxito de la operación policial, se han logrado bloquear preventivamente más de 600.000 euros que estaban listos para ser enviados a los líderes de la organización en Nigeria.