Noticia destacada

Caso real. Finales de marzo de 2024. El hijo mayor de un ciudadano literano se cansa de su moto de gran cilindrada y decide comprarse un coche con lo que tiene ahorrado en su nuevo trabajo. Cuenta para comprarlo con el dinero de la venta de su motocicleta y para ello, su padre decide ayudarle y cuelga en el famoso portal de compraventa de productos de segunda www.wallapop.com la foto de la motocicleta, sus datos de contacto, (mayormente el número de móvil) y un precio de venta de aproximadamente 5.000 € pues la moto es de gran cilindrada y está en buen estado.

Así se inicia una complicada estafa que empieza con la salida de dos transferencias BIZUM de más de 2.500 euros cada uno desde la cuenta bancaria del literano y que totalizan un importe de 5.179,55 euros y acaba en la compra fraudulenta de 2 teléfonos de alta gama en una web leridana de informática por parte de una red de estafadores.

El engaño en Wallapop. A las pocas horas de colgar el anuncio, el móvil de Manel (que así llamaremos al literano estafado, aunque no es su verdadero nombre) recibe una llamada de un joven encantador que se muestra muy receptivo a comprarle la moto de su hijo. Pregunta por las características de la moto, kilometraje, cilindrada, y tras diez minutos de conversación, en el que para que Manel no desconfíe llega incluso a enviarle su DNI escaneado, le dice a Manel que retire el anuncio, que se queda la moto y que le hace un Bizum a su móvil por la mitad del valor acordado (2.500 euros) y que el resto se lo dará en mano cuando vaya a recoger la moto y hacer los papeles del cambio de titularidad.

Mientras hablan el comprador le pregunta a Manel si ha recibido un mensaje PUSH en su móvil indicándole que hay una operación de BIZUM en curso. Manel y su hijo comprueban que efectivamente justo en ese momento les entra un mensaje PUSH y así se lo confirman al comprador.

• “OK, entra a tu aplicación y verás el ingreso de mis 2.500 euros en tu cuenta”, le dice el comprador a Manel

Manel accede a su banca digital de su banco a través de la APP de su móvil, en el que por precaución tiene activada el doble factor de autenticación, siendo el segundo de ellos la biometría de su huella digital para que nadie que no sea él pueda acceder a su teléfono ni a su cuenta bancaria, y con sorpresa ve que, efectivamente, hay un movimiento de BIZUM en su cuenta bancaria de 2.454,10 euros, pero de salida, y no de entrada en su cuenta, por lo que el saldo de su cuenta bancaria se ha reducido en esa cantidad.

• ¡Oye, noi, aquí pasa algo raro… ! ¡Que en vez de entrar el dinero ha salido!
•  Tranquilo, Manel es un protocolo de los bancos cuando usas BIZUM, si sales y vuelves a entrar verás que se ha arreglado y te aparecen los 2.454,10 euros.

Algo mosqueado Manel desconecta y vuelve a acceder a su aplicación, mientras otro mensaje PUSH le entraba a su móvil, y resulta que al acceder de nuevo se encuentra, no solo con que no se ha retrocedido el BIZUM de 2.454,10 euros  sino que le aparece otro cargo de 2.725,45 euros.

• ¡Oye, noi, me has jxdxdx, esto es una estafa !
• Que no, que no, Manel que esto lo arregla el banco enseguida… Sal y vuelve a entrar.
• ¿Pero tú te crees que soy idiota? ¡Yo no vuelvo a entrar y ahora mismo voy a denunciarte ante el cuartelillo de la Guardia Civil!

• El engaño en IELECTRO. Al día siguiente, Manel se acerca al puesto de la Benemérita más cercano a su domicilio y presenta una denuncia que acaba siendo investigada por el equipo @Huesca de la Guardia Civil especializado en delitos tecnológicos cometidos en la provincia.

  Sin más que tirar del hilo de las transferencias al ver que en el concepto del extracto aparece el nombre de COMPRA BIZUM IELECTRO y que en los justificantes de las transferencias se menciona un nº de pedido para cada compra, los beneméritos investigadores se pusieron en contacto con una tienda de productos electrónicos leridana, la cual resultó que en su web tiene BIZUM como modalidad de pago, comprobando que dichos pedidos correspondían con compras de teléfonos de alta gama que iban a ser enviados a una dirección postal por mensajería.

Afortunadamente, la rápida denuncia ante la Guardia Civil y la acertada intervención del equipo @huesca frustró el que esos teléfonos acabaran en manos de los estafadores, pues en un último engaño, el estafador tenía previsto desplazarse el día acordado para la entrega hasta el portal de la dirección de entrega de los paquetes mandados por mensajería, suplantando al receptor y engañando al repartidor de paquetes al fingir salir de casa justo en el momento de la entrega, ya que al no pedir adecuadamente la identificación al comprador, el estafador recepcionaba de tal manera los teléfonos comprados fraudulentamente a través de la web, completándose así la estafa.

Dado que la tienda leridana ya había sido víctima de esta modalidad de compra fraudulenta ésta había extremado las precauciones antes del envío de compras, y en este caso sospechó de la compra no enviando los paquetes, si bien tampoco se atreve a devolver el dinero a nadie, pues ya no sabe quién es el comprador legítimo y quién el estafador, por lo que ha indicado a la víctima que si no es por orden judicial ellos no devuelven nada a nadie, tal es su grado de desconfianza generado por esta estafa y que posiblemente le haya costado tener que devolver mucho dinero por teléfonos entregados a estafadores procedente de compradores estafados.

Además, según parece el DNI enviado a Manel del supuesto comprador es un DNI falsificado con Inteligencia Artificial en lo que parece una identidad sintética, mezcla de datos reales con falsos lo que hace muy difícil distinguirlo de un DNI auténtico.

El engaño al Banco. Además de la denuncia ante la Guardia Civil, Manel presentó una reclamación ante la agencia de su banco en Tamarite, ya que él no había autorizado ninguno de los dos cargos, pero a los pocos días le contestaron por escrito desde su entidad bancaria diciendo que las dos transferencias se habían completado con el sistema de doble verificación, siendo la segunda verificación a través de biometría, y que por tanto dado que él había sido negligente en la custodia de sus claves y en la gestión de sus pagos, el banco no se hacía responsable de que las dos transferencias se hubieran completado.

¿Pero cómo es posible que los dos BIZUM se completaran mágicamente si en ningún momento la víctima de la estafa ha autorizado esas transferencias?

Pues la respuesta detectada por ardiCiber es que, en marzo de este año, los ciberestafadores detectaron un fallo en el proceso de verificación de pagos por BIZUM a través de las APP en ciertas entidades bancarias. ¿Y en qué consistía dicho fallo? Pues en que, paradójicamente, si el cliente estaba preocupado por su ciberseguridad y hacía caso a los consejos de la banca activando el sistema de doble verificación con biometría, resultaba que si alguien daba su número de móvil para hacer una compra por BIZUM, al acceder a su APP del Banco, automáticamente se validaba esa compra completándose la transferencia BIZUM.

Parece que ese agujero en la seguridad en los procesos de pago BIZUM que ocurría en varias entidades financieras ya ha sido arreglada por dichas entidades, pero en todo caso no parece que los bancos involucrados vayan a devolver el dinero estafado a sus clientes debido al fallo de seguridad de sus propias APP.

En todo caso, los consejos que recomienda ARDICIBER en casos como éstos son:

1.- Si compras o vendes productos en plataformas, utiliza el canal de pagos/cobros de la plataforma. No te salgas de ahí para realizar pagos, ni para recibir cobros. Puedes ser estafado y la plataforma no se hará cargo de la estafa.

2.- Denuncia ante Guardia Civil o Policía Nacional cualquier estafa de la que seas víctima, independientemente del importe estafado.

3.- Revisa cuidadosamente tus extractos bancarios en busca de cargos indeseados.

4.- No compartas tu DNI escaneado (podrías ser suplantado), ni te fíes de los que te lleguen (podrían ser falsos).

5.- Ponte en manos de profesionales que te asesorarán en el proceso de denuncia y en el de recuperación del dinero ciberestafado.

6.- Sé prudente en tu vida real, y aún más en la digital.

Carlos Solano Lahora.

Consultor en ardiCiber.

Agencia Recuperadora Dinero Ciberestafado.