¿Qué es el fraude del CEO? La nueva estafa con la que han robado 600.000 euros a dos Ayuntamientos

La Policía Nacional le ha detenido en pantalón corto y chanclas. Tiene solo 20 años y los agentes le consideran ya el cabecilla de una organización criminal capaz de estafar 600.000 euros a dos Ayuntamientos. Lo ha hecho, supuestamente, suplantando la identidad de una empresa de limpieza. O, más que la identidad, las cuentas bancarias. Toda una estafa sin necesidad de salir de su casa y con un teléfono móvil como única arma. Es el conocido como 'fraude del CEO'.

La investigación comenzó por una denuncia del ayuntamiento de Palma, en Mallorca, a finales de abril de 2022. Su departamento financiero había transferido más de 300.000 euros como pago de sus servicios a la empresa de mantenimiento y limpieza que tenían contratada, pero, días después, la empresa reclamó nuevamente al consistorio esa cantidad: ellos no habían recibido el pago. ¿Dónde estaba el dinero?

Poco antes del pago, el Ayuntamiento balear había recibido un correo electrónico en nombre de esa empresa de servicios comunicándole un cambio en el número de cuenta bancaria. Ahí es donde se habían enviado los 300.000 euros, pero esa cuenta no pertenecía a la empresa. Habían sido estafados con el llamado 'fraude del CEO'.

¿En qué consiste el 'fraude del CEO'?

El 'fraude del CEO' es una estafa también conocida como BEC (Business Email Compromise) y, como buena parte de los timos clásicos, su funcionamiento es aparentemente sencillo. Una tercera persona, el estafador, conocido como 'man in the middle' (el hombre en el medio), interfiere en las conversaciones mantenidas mediante correo electrónico entre dos empresas o corporaciones para sus relaciones comerciales o de servicios.

El estafador suplanta la identidad de una de las empresas y envía un correo electrónico falso, simulando los logotipos y el estilo de los originales, comunicando un cambio de cuenta bancaria donde realizar los pagos. Si la empresa pagadora no confirma directamente con la otra parte ese cambio de número, a partir de ese momento realizará los pagos a una cuenta corriente controlada por el timador. Así, el dinero nunca llega a su perceptor legítimo.

'Mulas' bancarias

Para ello, el cabecilla se vale de una nueva figura delictiva que toma su nombre de las prácticas del narcotráfico: las 'mulas' bancarias. Son personas que aceptan abrir cuentas bancarias a su nombre para desviar el efectivo defraudado a cambio de una pequeña compensación económica.

En este caso, la Policía Nacional ha detenido a cinco 'mulas' con las que el cabecilla de la estafa había contactado a través de redes sociales. Les ofrecía una cantidad nimia, en torno a 50 euros, por abrir esas cuentas corrientes que, en realidad, manejaba él mismo. En algunos casos ni siquiera llegó a abonarles esos 50 euros.

El supuesto cabecilla es español y de 20 años

Pese a que en este caso las víctimas han sido los Ayuntamientos de Palma, en Mallorca, y de un pequeño pueblo de Girona, la investigación la han llevado agentes especializados de la Unidad de Delincuencia Económica y Fiscal (UDEF) de la Brigada de Policía Judicial de Madrid, porque las pistas apuntaban a que el cabecilla residía en esta última ciudad. Se llegó a él después de identificar a dos de las 'mulas'. Los agentes de la UDEF entraron en el domicilio del supuesto estafador a finales de febrero y se incautaron de tres teléfonos móviles con los que, supuestamente, establecía los contactos a través de redes sociales con aquellos que harían de 'mulas' e interfería en las correos electrónicos de sus potenciales víctimas.

Durante el registro, el sospechoso, de nacionalidad española y de tan solo 20 años, fue detenido. A través del análisis de las cuentas bancarias, los agentes han podido detectar otra supuesta estafa a un Ayuntamiento catalán de 314.000 euros. El botín total ascendería, de esta forma, a 614.000 euros.

Dos semanas después de la operación Bongo

Hace dos semanas, la Policía Nacional ya detuvo a 64 personas en otra operación, llamada Bongo, contra una red que habría estafado, con el mismo método, más de 4.000.000 de euros a empresarios. Los agentes consiguieron bloquear otros 600.000 euros antes de que llegaran a las cuentas fraudulentas. Las 'mulas' bancarias recibían como pago el dos por ciento de la transacción.

En este caso, se detuvo a las 'mulas' y a los cabecillas en España, aunque la matriz de la organización delictiva estaba en Nigeria. Desde el país africano se producían las intromisiones en los correos corporativos de las empresas y allí llegaba finalmente el dinero.

Una llamada habría evitado la estafa

Tras la nueva operación, la Policía Nacional insiste a las empresas y organismos públicos en tomarse en serio la ciberseguridad. En el 'fraude del CEO', una simple llamada telefónica a la empresa a la que debe realizarse el pago para confirmar el cambio de cuenta bancaria habría evitado la estafa. Pero tener esa mínima precaución dentro de una multitud de operaciones bancarias puede ser complicado, ya que las empresas tendrían que estar permanentemente en alerta. A los delincuentes les basta con acertar una sola vez.

Detenida una menor tras apuñalar a otra en un instituto de Bilbao

-