'Man in the middle', el método de estafa que amenaza a empresas granadinas

La Policía Nacional ha detectado un repunte en los casos de estafas cometidos contra empresas usando el método conocido como 'Man in the middle', consistente en interceptar las comunicaciones entre entre empresas y proveedores para introducir correos con facturas falsificadas. Una vez realizado el pago mediante transferencia bancaria el dinero estafado es derivado rápidamente hacia bancos virtuales ubicados en el extranjero, dificultando extraordinariamente su recuperación.

Los agentes especializados en delitos tecnológicos de la Policía Nacional en Granada han detectado, coincidiendo con la llegada del verano, un repunte en un tipo de estafa cuyas víctimas no son particulares sino empresas, caracterizada por el uso de la técnica conocida en el mundo hacker como 'Man in the middle'. Esta denominación hace referencia a la habilidad de interceptar las comunicaciones de correo electrónico entre dos partes, consiguiendo manipular las comunicaciones en beneficio propio, principalmente logrando que se realicen movimientos de capital hacia cuentas fraudulentas.

La forma de ejecutar esta estafa, dirigida a pequeñas y medianas empresas que no disponen de un sistema de facturación diario, se inicia captando las credenciales de algún usuario que haga uso del correo de la empresa, pero sin conocimiento del mismo, generalmente mediante phising. Una vez que se consigue el acceso al correo corporativo éste es modificado de tal manera que los correos entrantes son redireccionados a otro creado por los estafadores, pasando este hecho inadvertido a los gestores del correo. El siguiente paso es elaborar un correo electrónico, a partir de uno legítimo u otro muy parecido en su forma y contenido, en el que se adjunta un documento pdf con los datos de una empresa, con la que normalmente trabaja la entidad que va a ser estafada. En dicho correo se solicita el ingreso de cierta cantidad de dinero por transferencia, a una cuenta fraudulenta, en concepto de pago por bienes o servicios contratados. Finalmente, el empleado de la empresa realiza dicha transferencia en la creencia de que todo está correcto, sin pararse a comprobar el número de cuenta aportada. Por último, el dinero acaba en una cuenta española a nombre de una “mula”, siendo transferido rápidamente hacia bancos virtuales instalados en otros países, acabando el capital en cuentas en el extranjero a nombre de empresas.

Normalmente, las empresas engañadas suelen tardar tiempo en darse cuenta de esta estafa, para entonces el dinero ya ha llegado al extranjero, resultando inútil la petición del bloqueo de la cuenta fraudulenta originaria porque el dinero ya no está allí. La consecuencia de todo esto es que la recuperación de dicho dinero se hace muy difícil.

Consejos de la Policía Nacional a las empresas

• Comprobar por vía telefónica con los contactos ya existentes con las empresas que prestan servicios o venden bienes, si el correo recibido es genuino así como la cuenta de abono que consta en el documento pdf.
• Comprobar los certificados de la firma del documento pdf en el que consta la factura y la domiciliación bancaria.
• Implementar con el departamento de Informática o con el responsable de la gestión del servidor de correo y las cuentas que haya un protocolo actualizado y continuo de revisión de privilegios, accesos y las reglas de dirección que hayan sido creadas, así como del cortafuegos y los permisos otorgados.
• Concienciar a los empleados de la empresa para que sean cautelosos a la hora de abrir o descargar los adjuntos de un correo, sepan reconocer patrones en el envío de enlaces o cabeceras que puedan ser susceptibles de phishing.