La Guardia Civil de Segovia, en el marco de la denominada 'Operación ITUBEC', ha detenido a una persona e investigado a otra como presuntas autoras de cinco delitos de estafa, acceso sin autorización a datos o programas informáticos, falsedad documental y pertenencia a grupo criminal. Dos personas más han sido encausadas judicialmente.

La investigación comenzó tras la interposición de una denuncia el pasado mes de marzo por parte del Ayuntamiento de una localidad de Segovia, denunciando haber sido víctima de una estafa realizada mediante la utilización de internet y nuevas tecnologías, ya que habrían accedido a los servidores de correo de los proveedores, modificando las facturas destinadas a los clientes, introduciendo un nuevo número de cuenta con la intención de que estos hicieran efectivo el pago de las facturas pendientes en la cuenta fraudulenta.

Los ciberdelincuentes se dirigían a empresas empleando el método conocido como 'Man in the middle' o 'BEC (Business email Compromise)'. Este tipo de estafa consiste en seleccionar a la víctima estudiando su información a través de datos obtenidos en internet. A continuación, por medio de la utilización de programas maliciosos (malware), acceden al sistema para el posterior ciberataque. Aunque los intentos de BEC a menudo emplean trucos similares al phishing, el ataque es un tanto más sofisticado, pues entraña una parte de dominio tecnológico y otra de ingeniería social.

Una vez dentro, modifican los ajustes o reglas de los buzones de correo de la empresa. De esa forma suplantan a la empresa proveedora y modifican el contenido de los mensajes de los correos electrónicos, cambiando el número de cuenta de los beneficiarios de las transacciones, para así inducir a error a la empresa pagadora. Finalmente, la víctima, inconscientemente, realiza las transferencias económicas a la cuenta de los delincuentes, creyendo que las dirige a las empresas con las que tiene la relación contractual.

Tras el posterior análisis de las transacciones financieras, se observó que existían más víctimas de estafa, tratándose de empresas situadas en las provincias de Salamanca, Toledo, Burgos, Madrid y Tenerife. El total del dinero estafado ascendía a 106.000 euros. Esta operación ha sido llevada a cabo por el Equipo de Delitos Tecnológicos de la Unidad de Policía Judicial de Segovia (EDITE) y el Equipo @ de Segovia que, tras numerosas labores operativas y de obtención de información, lograron identificar a los cuatro presuntos responsables de estos hechos. Se trataba de cuatro hombres de entre 25 y 35 años de edad, de diferentes nacionalidades, todos ellos residentes en A Coruña.

Una vez identificados y acreditada su participación en estos hechos, el Instituto Armado procedió a su detención e investigación como presuntos autores de los delitos de estafa, acceso sin autorización a datos o programas informáticos, falsedad documental y pertenencia a grupo criminal, dando cuenta de estos hechos al Juzgado de Instrucción número uno de Santa María la Real de Nieva.

Con esta investigación se ha conseguido desarticular un grupo criminal especializado en cometer este tipo de estafas, se han conseguido esclarecer más de siete hechos delictivos relacionados con estas cinco estafas y se han recuperado cerca de 80.000 euros. El Instituto Nacional de Ciberseguridad en el año 2021 gestionó cerca de 110.000 casos de ciberataques. Este tipo de vulneraciones de seguridad, afirman, que no afecta solo a grandes o medianas empresas sino también a pequeñas. Otro informe afirma que un 44 por ciento de las pymes españolas sufrieron al menos un ciberataque el año pasado.

La Guardia Civil recomienda la aplicación de medidas tanto para la prevención de los ciberataques como para una mejor respuesta a ellos:

- La instalación de software para defenderse de correspondencia interna falsa.

- Cambio periódico de las contraseñas de acceso a los diferentes programas informáticos o correos.

- Verificar todos los pagos y transacciones en persona o a través de un número de teléfono conocido.

- No permitir el reenvío automático de correos electrónicos a direcciones externas.

- Formar al personal de forma periódica para que puedan detectar este tipo de ingeniería social.

- Utilización de soluciones de seguridad con tecnología especializada antiBEC.