La Guardia Civil de la Comandancia de Oviedo ha
recibido en fechas recientes dos denuncias al respecto, una en la localidad
de Grado y otra en Riosa. En ambas denuncias las empresas víctimas
habían sufrido la suplantación de uno de sus proveedores.
MODUS OPERANDI
Consiste en la suplantación de la identidad de altos directivos para conseguir
transferencias por parte de los empleados encargados de las cuestiones
bancarias de la empresa. Existen varias modalidades:
1.- Suplantación empresa proveedora (casuística Asturiana)
La empresa víctima realiza una solicitud de productos a un proveedor de
confianza. El proveedor estudia la solicitud y responde a la empresa
solicitante con la aceptación del pedido.
Posteriormente los estafadores, contactan con la empresa víctima solicitante
del pedido a través del correo electrónico para, haciéndose pasar por el
proveedor cambiar la cuenta de pago de la factura.
En la mayoría de los casos la organización criminal se comunica desde un
correo electrónico con un dominio muy similar, donde muchas veces no se
aprecia la diferencia (p.e. “victima@empresa.com” en lugar de
victima@enpresa.com”).
La empresa víctima, creyendo que el remitente es la compañía real y
pensando que está efectuando la transferencia a su proveedor de confianza,
procede con el envío del pago a la nueva cuenta bancaria que le han
comunicado en el correo.
a2.- La empresa recibe una solicitud de transferencia bancaria
La organización criminal realiza un análisis sobre los cargos ejecutivos de
una compañía, con la intención de localizar un objetivo que tenga capacidad
para manejar información confidencial y emitir determinadas órdenes de
trabajo.
Mediante técnicas de hacking y de ingeniería social acceden a la cuenta
oficial para identificar contactos y patrones de comportamiento. Una vez
observado el flujo de las comunicaciones falsifican la cuenta de correo del
ejecutivo, enviando en su nombre a un empleado capacitado para realizar
transferencias bancarias una solicitud de transferencia bancaria urgente a
una cuenta controlada por los delincuentes.
Empleando de nuevo el engaño, presionan con diferentes pretextos al
trabajador en nombre del directivo (normalmente se intenta aprovechar una
ausencia o circunstancia que tenga problemas de comunicación)
argumentando razones de urgencia.
3.- Correo electrónico de un empleado de la empresa
Los estafadores acceden ilícitamente al correo electrónico de un empleado
de la empresa víctima con capacidad de solicitar los pagos de las facturas a
sus clientes.
El grupo criminal envía diferentes requerimientos de pago de las facturas
pendientes a empresas clientes usurpando el correo electrónico corporativo
del empleado. En el contenido del mensaje aportan un cambio de cuenta
bancaria o de modo de pago en beneficio de los delincuentes.
De esta forma, existe una doble victimización, por un lado la empresa que es
suplantada, y por otro lado la de la compañía cliente que realiza el pago a un
tercer individuo ajeno a toda relación comercial.
RECOMENDACIONES
Desde la Guardia Civil se aconseja adoptar una serie de medidas que sirvan
para evitar o, en su defecto, minimizar el impacto de este tipo de hechos:
• Implementar en las empresas, en lo posible, medidas de seguridad
informáticas.
• Formar a los directivos y responsables, sobre la necesidad de asumir y
prestar especial atención a la cesión de datos sensibles a través de los
sistemas.
• Contactar telefónicamente con el encargado de la empresa para
corroborar los posibles cambios en la forma de abono o cuentas
corrientes.
• Si un empleado recibe una solicitud de transferencia por parte de uno de
sus superiores, a través del email, comprobar que dicha información es
veraz por una tercera vía.
• Si la empresa recibe un correo de su proveedor cambiando el número de
cuenta, es conveniente contactar con dicho proveedor para ratificar el
cambio.
• Prestar atención a posibles fallos en la redacción puesto que pueden
evidenciar traducciones online.
• Notificar a la Guardia Civil cualquier incidencia sospechosa y conservar la
información vinculada por si fuera de utilidad en investigaciones tales
como direcciones de correo, números de teléfono y cuentas de ingreso,
etc.
Ante cualquier duda o si observa cualquier conducta parecida a la descrita
anteriormente lo comunique al 062, o bien en cualquier unidad de la Guardia
Civil.