Más de 300 malagueños estafados por una red de timadores que se hacían pasar por el banco

Los autores identificados por la Guardia Civil son en su mayoría jóvenes de entre 18 y 25 años de edad que residen en 39 provincias españolas y que actuaban suplantando a las entidades bancarias de las víctimas para conseguir engañarlas y apoderarse del dinero de sus cuentas. Solo en Málaga han sido estafados cerca de 1,2 millones de euros a las víctimas, que se reparten por toda la provincia.

Según las pesquisas policiales, los implicados habrían adquirido listados de datos de potenciales víctimas -se venden con total impunidad en Telegram- que habrían sido obtenidos previamente por grupos de hackers aprovechándose de alguna brecha de seguridad del sistema. Con esa información, que incluye nombres, apellidos, entidad bancaria y teléfono, los detenidos lograban perpetrar las estafas.

En Barcelona, la operación se ha saldado con 79 detenidos y 46 investigados. En el caso de Madrid, los investigadores han detenido a 17 estafadores e investigan a otros 17 implicados en los hechos. Entre las provincias implicadas también destacan Girona -11 investigados-, Málaga, Tarragona y Lleida, con ocho investigados en cada una.

La investigación se ha cerrado tras dos años de análisis de numerosas denuncias por estafa interpuestas por toda la provincia de Málaga. Los agentes de la Guardia Civil descubrieron que entre todas ellas existía un mismo nexo de unión.

Los delincuentes suplantaban el número de teléfono de una entidad bancaria concreta –mediante la técnica del 'spoofing', que significa maquillaje-, desde el que enviaban SMS a clientes de la misma –se conoce como 'smishing'- y posteriormente realizaban llamadas telefónicas haciéndose pasar por empleados del banco –'vishing' y caller ID- al objeto de acceder a la cuenta bancaria de los perjudicados para después realizar compras y transferencias de dinero sin su consentimiento.

Aunque el perfil técnico de los miembros de la organización no era especialmente elevado, para sus miembros ha resultado fundamental el engaño efectuado a las víctimas, de las cuales no habrían obtenido las credenciales de acceso a sus cuentas online sin su consentimiento explícito. A la capacidad para embaucar a los perjudicados se le conoce como ingeniería social.

Los delincuentes accedían a las cuentas de las víctimas siguiendo dos pasos. En el primero, los afectados recibían un SMS con un enlace falso que suplantaba a la página web de su entidad bancaria. Las víctimas accedían a este enlace que realmente daba entrada a una web fraudulenta –phising y smishing-, pero que guardaba una enorme similitud con la auténtica.

Como segundo paso, tras un tiempo prudencial, las víctimas que habían accedido al enlace fraudulento recibían una llamada telefónica desde un número modificado que hacía pensar que pertenecía a la entidad bancaria.

El interlocutor se hacía pasar por un empleado de la entidad y, tras ganarse la confianza de la víctima con la excusa de solucionarle los problemas de seguridad que le hacían creer que tenía, les solicitaba los códigos de verificación necesarios para realizar transferencias, consumando la estafa.

El grupo poseía una estructura con personas con diferentes labores, desde las mulas encargas de recibir las primeras transferencias de las víctimas mediante creación de cuentas bancarias, hasta los miembros encargados de captar colaboradores, gestionar las comisiones y organizar el movimiento del dinero estafado hasta blanquearlo. El dinero usurpado terminaba en cuentas en el extranjero o invertido en criptoactivos.

En total se han analizado 472 cuentas bancarias y 708 líneas telefónicas, en su gran mayoría líneas dadas de alta con datos falsos o con identidades usurpadas.