Siete investigados por una red que estafó 243.000 euros por email

La Guardia Civil ha investigado a siete personas —tres hombres y cuatro mujeres, con edades comprendidas entre los 24 y los 36 años y de distintas nacionalidades— como presuntas autoras de delitos de estafa y blanqueo de capitales tras desarticular una organización criminal que utilizó el método conocido como Business Email Compromise (BEC) para sustraer 243.718 euros a una empresa y una entidad religiosa en La Rioja. Las actuaciones, desarrolladas por especialistas del Equipo de Delitos Tecnológicos y del Equipo @ del instituto armado en esa comunidad, han concluido con la recuperación total de los fondos y la puesta a disposición judicial de los investigados.

Los implicados residen en seis provincias españolas: Ávila, Ciudad Real, Jaén, Málaga, Santa Cruz de Tenerife y Valencia. La investigación se inició a raíz de las denuncias presentadas por las dos víctimas, que describieron cómo habían transferido importantes sumas de dinero convencidas de que estaban cumpliendo con sus obligaciones comerciales habituales.

El modus operandi de la BEC

El BEC es una modalidad de ciberestafa que se distingue por su sofisticación técnica y su capacidad para pasar inadvertida durante semanas. A diferencia de los ataques de phishing masivo, que buscan víctimas al azar, el BEC se dirige específicamente a empresas y organizaciones con relaciones comerciales activas y facturas de elevado importe.

En este caso, los autores accedieron sin autorización a las cuentas de correo corporativas de las víctimas y de sus proveedores habituales, comprometiendo las credenciales de acceso para infiltrarse en el flujo de comunicaciones. Una vez dentro, rastrearon de forma silenciosa los mensajes para estudiar los procesos de facturación y los calendarios de pago sin levantar ninguna alerta.

Cuando detectaron el envío de una factura legítima, actuaron con rapidez: interceptaron el documento y sustituyeron el número de cuenta bancaria original por uno controlado por la organización criminal. Las víctimas, que recibieron lo que aparentaba ser un correo y una factura auténticos de un proveedor de confianza, procedieron al pago sin sospechar el engaño.

Dos transferencias por un total de 243.718 euros

Mediante esta técnica, los ciberdelincuentes consiguieron que las víctimas realizaran dos transferencias por un importe de 124.868 y 118.850 euros, respectivamente, que fueron a parar a cuentas gestionadas por la red criminal. Ambas cantidades sumaban un total de 243.718 euros, una cifra que sitúa este caso entre las estafas BEC de mayor cuantía detectadas recientemente en España.

La investigación permitió a los agentes analizar en profundidad la huella digital de los autores, incluyendo accesos, direcciones IP y patrones de comportamiento, así como realizar un exhaustivo seguimiento del dinero a través de la red financiera utilizada por la organización. Ese rastreo reveló una compleja estructura de cuentas bancarias diseñada para canalizar y blanquear los fondos sustraídos.

Recuperación íntegra del dinero

La combinación de análisis técnico avanzado, inteligencia financiera y la colaboración con las entidades bancarias implicadas resultó determinante para bloquear los movimientos de capital y lograr la recuperación íntegra de los 243.718 euros, evitando así un grave perjuicio económico para las víctimas.

Las actuaciones, junto con los siete investigados, han sido puestas a disposición de la autoridad judicial, que deberá determinar el grado de responsabilidad de cada uno de los implicados en la comisión de los delitos de estafa y blanqueo de capitales.

El método BEC ha experimentado un crecimiento sostenido en Europa durante los últimos años y se ha convertido en una de las principales amenazas para pymes, organizaciones del tercer sector y entidades religiosas, cuyos sistemas de seguridad informática son con frecuencia menos robustos que los de las grandes corporaciones. La Guardia Civil y el resto de cuerpos de seguridad del Estado recomiendan verificar siempre por teléfono cualquier cambio en los datos bancarios de un proveedor, aunque el correo que lo notifica parezca legítimo.