El hacker sexagenario que ha estafado 88.000 € a la cárcel de Algeciras haciéndose pasar por adjudicatario: 'Falsificó un mail' 1b6yn

En el verano de 2021 la víctima fue el Ayuntamiento de Sevilla: le estafaron casi un millón de euros, correspondientes al pago del contrato de las luces navideñas a la empresa Iluminaciones Elecfes. Cuatro meses antes, fue al Ayuntamiento de Córdoba al que le sisaron 400.000.

¿El método? Man in the middle (hombre en medio), por el que el estafador suplanta a una empresa y cambia -mediante alteración propia o inducida- la cuenta bancaria de la empresa que debe cobrar, por una suya.

Y esto es lo que ha pasado en estos días en la prisión de Botafuegos (Algeciras). El estafador, un sexagenario de Girona y de nacionalidad española. Como reza el dicho, literalmente fue a robar a la cárcel. Se hizo con dos transferencias bancarias por un total de 88.000 euros. Ya ha sido detenido y cuenta, según las fuentes consultadas "con numerosos antecedentes por estafa".

Gracias a esta manipulación, el individuo logró acceder, por inducción, a la banca online vinculada al centro penitenciario y logró que se modificara la cuenta beneficiaria de determinadas transferencias periódicas para sustituirla por una propia.

Fuentes de la Policía Nacional detallan a EL ESPAÑOL que es el método de estafa cibernética "que más afecta a empresas y istraciones públicas", y que consiste, en un nivel tan básico como efectivo, en "hacerse con el correo electrónico de un proveedor habitual, y enviar un correo al pagador suplantando la identidad de la empresa". Es decir, falsificar un mail.

Estafan 7.000 euros al Ayuntamiento de Castroverde de Campos con un método ya conocido en Zamora

En ese correo falso "indican que el número de cuenta ha cambiado y que procedan a modificarlo en el banco" para las órdenes de pagos periódicos. "Hay empresas muy grandes que tienen tantos pagos que se dan cuenta al año y medio" de que no reciben el dinero. "Pero es que el pagador está abonando, con lo que tampoco se da cuenta".

La queja 571f6b

A la prisión algecireña llegó la reclamación. La queja. "No nos han llegado dos transferencias". Y la istración de Botafuegos respondió que sí, que la habían hecho en dos ocasiones, al número de cuenta, indicado mediante un correo electrónico.

Fue ahí cuando detectaron que el correo era falso, pues el sexagenario había suplantado la identidad de la compañía. La cuenta indicada no era la legítima y la empresa no había dado orden alguna de cambiarla.

Nada más constatar lo sucedido, representantes de la institución penitenciaria algecireña presentaron una denuncia ante la Policía Nacional. Las transferencias eran "habituales" y lo único que había variado era el número de cuenta, y por tanto, el destinatario.

De ahí que su detección dependa de cuando se queja la empresa que no recibe el dinero. Algo que en ocasiones "puede tardar entre 4 o 5 meses. Y hasta el año y medio", matizan desde Policía Nacional, puesto que depende del volumen de abonos que reciba la compañía suplantada.

A partir de aquí, las pesquisas quedaron en manos del Grupo de Investigación Tecnológica de la Policía Nacional de Algeciras, que tuvo claro que era un 'man in the middle' clarísimo. "Se sigue la IP y a partir de ahí el rastro del dinero", cuentan fuentes policiales, además de aplicar otros métodos de investigación tecnológica.

La Guardia Civil frustra una estafa de 40.000 € a dos empresas que desconocían que habían sido hackeadas

El consistorio hispalense abonó en 2022 el casi millón de euros a Iluminaciones Elecfes, y en paralelo, demandó al banco. Porque no fue posible recuperar el dinero. Los servicios jurídicos municipales consideraron que la entidad bancaria no había sido diligente. En este caso, la estafa se perpetró, según las pesquisas policiales, mediante un virus informático.

Posteriormente se sabría que los ciberdelincuentes monitorizaron la correspondencia digital entre el Ayuntamiento y la contratista para poder suplantar la identidad de esta última y cobrar los tres plazos del contrato de las luces de Navidad.

El caso de Valencia 6j6b5k

Pero si hay una istración pública que se lleve la palma, en cuanto a ciberestafas por este método, es el Ayuntamiento de Valencia: de 2019 a 2024 perdió más de 4 millones de euros en tres estafas.

La más destacada fue en septiembre del 2019. La Empresa Municipal de Transportes (EMT) de Valencia perdió 4,2 millones de euros mediante el envío de correos electrónicos, con las firmas falsificadas de dos apoderados de la compañía, además de la suplantación de la identidad del entonces presidente.

Con este método consiguieron que desde la istración de la EMT se hicieran ocho transferencias, por esos 4,2 millones de euros, con destino a una cuenta de un banco de Hong Kong.

En el verano de 2024 fue el Palacio de Congresos la víctima de un man in the middle. Los estafadores suplantaron a un proveedor e informaron de que había cambiado de cuenta corriente, reclamando los pagos a partir de entonces. En total, 194.000 euros, que se suman a los 21.000 que ya les fueron escamoteados en 2021 con el mismo modus operandi.