Detenidos dos ciberdelincuentes por estafar 55.000 euros a un empresario burgalés

Efectivos de la Guardia Civil, en el marco de la Operación ‘MITMBUR’, detuvieron a dos personas, cuyas iniciales son M.F.A., de 23 años de edad, y a A.R.L., de 26, por una presunta estafa de 55.000 euros a un empresario burgalés, según informaron fuentes de la Subdelegación del Gobierno en Burgos.

Ambos, en connivencia, utilizaron el método ‘Man in the Middle’ en su versión BEC (Business Email Compromise) para secuestrar un email, suplantar la identidad de la empresa emisora y cambiar el número de cuenta obrante en una factura, obteniendo fraudulentamente el dinero transferido.

Los hechos ocurrieron en diciembre del pasado año. Una determinada empresa contrató los servicios de otra compañía, realizado el trabajo ésta emitió una factura por importe de 55.272 euros, documento que envió por correo electrónico para su abono. La parte contratante recibió el email -que ya había sido manipulado y por tanto era fraudulento- con la factura y transfirió la cantidad solicitada al número de cuenta que figuraba plasmado.

Al momento, recibió un segundo correo electrónico de la misma compañía aportando idéntica factura, pero esta vez variaba el número de cuenta reseñado. En esta ocasión, la víctima no ingresó ningún dinero y contrastó con la parte contraria la duplicidad del envío. Ambos empresarios se dieron cuenta entonces de que todo había sido un fraude, ya que los números de cuenta no correspondían con el real de la empresa contratada que, por otra parte, no había recibido cantidad alguna.

Presentada la consiguiente denuncia, se inició una complicada investigación y se verificó que todo había sido un engaño. La “rápida y eficaz” respuesta de los investigadores, que se centraron desde el primer instante en el seguimiento y trazabilidad del dinero enviado, permitió localizarlo, pero ya en una segunda cuenta a la que había sido transferido, con la intención de dificultar su seguimiento. A la vez bloquearon policialmente la cuenta y consiguieron recuperar todo el dinero entregado.

Se comprobó que la sociedad emisora había enviado un único email y adjuntado una sola factura; también se comprobó que el número de cuenta de esta empresa no coincidía con ninguno de los obrantes en sendos correos electrónicos fraudulentos recibidos por la víctima. Ambas partes cayeron en la trampa: una empresa había sido suplantada y la otra estafada.

El estudio y análisis de la ‘huella digital’ dejado por los autores, que actuaron en connivencia, permitió su identificación y localización, por lo que fueron detenidos en Valladolid y Madrid. La investigación corrió a cargo del Equipo ‘@’ de la Comandancia de Burgos, que instruyeron diligencias entregadas los Juzgados de la capital.

Modus operandi

Los ahora detenidos habían captado el email auténtico, suplantado la identidad de la empresa y cambiado el número de cuenta bancaria que figuraba en la factura original, siendo sustituido éste por los fraudulentos incorporados por los autores, con la intención de beneficiarse del dinero. Además, reiteraron la factura con el propósito de obtener un lucro ilegal doble, aunque no lo consiguieron.

Un ataque por el método conocido como ‘Man in the Middle’ (MITM) se produce cuando un hacker interviene en la transmisión de datos entre dos partes que realizan una comunicación electrónica. Éste se hace pasar por una de ellas o por las dos, ‘secuestra’ la información, la manipula y hace creer de esta forma a los implicados que se están mensajeando entre ellos.

Las características de estas acciones es que se realiza sobre la transmisión de tráfico o datos entre dos partes, ya sean dos usuarios o un usuario y un prestador de servicios. Cuando se desarrolla entre empresas se denomina BEC (Business Email Compromise).El atacante actúa como intermediario en la comunicación, suplanta la identidad de una o de ambas partes, de forma que los datos siempre pasan por él antes de ser reenviados al contrario.

Aunque el contenido viaje cifrado el ciberdelincuente lo descifra, manipula y transmite de nuevo al destinatario; usuario y prestador de servicios son ajenos al ataque y al engaño. Para este tipo de conductas relativas a las estafas el Código Penal contempla penas que aplicadas en su grado máximo pueden suponer multa de tres meses y prisión de tres años, que no obstante pueden verse agravadas si concurren otras circunstancias o el concurso de otros hechos delictivos.