Esta semana se conoció una nueva forma de estafas mediante el vaciado de cuentas bancarias utilizando el intercambio de chips telefónicos o unidad SIM para robar la línea de celular. Pero esta modalidad -o SIM swapping- necesita de un paso previo, como el robo de los datos de datos bancarios, como lo son el nombre de usuario y la contraseña de acceso.
Los tres detenidos en Córdoba en los últimos días por efectivos de la Unidad de Delitos Económicos, al mando del comisario mayor Alberto Bietti, completaron en buena medida la banda que tiene al menos ocho integrantes. Los otros cinco, de mayor jerarquía, habían sido capturados meses atrás y el pasado 9 de mayo se confirmó su prisión preventiva.
La investigación que suma pasos firmes en el esclarecimiento de los hechos está a cargo del fiscal Cibercrimen de Córdoba, Franco Pilnik Erramouspe, quien recibió el reciente aval del juez de Control Milton Peralta, que confirmó todas sus actuaciones.
Las fuentes judiciales sostienen que los ocho miembros de esta banda -detenidos en Córdoba- trabajan con métodos tan sofisticados como efectivos. Si bien hacen el SIM swapping (intercambio de la tarjeta SIM) con la que se adueñan de la línea de celular de la víctima, también necesitan haber robado previamente sus datos bancarios para que el vaciado de la cuenta sea totalmente efectivo.
Maniobra en dos pasos
Los técnicos que participan en la investigación que descubrió a los responsables de esta maniobra señalan que es una operación de dos pasos, lo que requiere a su vez de dos diferentes engaños al usuario.
La primera es para lograr el robo de los datos bancarios de la persona, como el nombre de usuario y la contraseña de acceso de home banking. ¿Cómo lo hacen? Se valen de los diferentes métodos de robo de datos, como por ejemplo a través de correos electrónicos en los que piden que uno ingrese los datos que les hacen falta, como si estuviera operando con los responsables de la entidad bancaria. No es otra cosa que una nueva versión del phishing o pesca de datos.
Pero para completar esta maniobra, particularmente para validar las transferencias (si no, no se autorizan), necesitan algo más: recibir esos mensajes de validación, sea por SMS o la clave Tokken (código único y aleatorio para cada operación).
Esa segunda etapa consiste en apropiarse del celular del dueño de esa cuenta bancaria a través de otro fraude. ¿Cómo lo hacen? Engañan a las compañías telefónicas para que les otorguen un chip, haciéndose pasar por el dueño. Sea telefónicamente (simulando identidad en un call center) o personalmente (con uso de DNI falsificados).
Cuando son requeridos datos telefónicos, responden a las preguntas de seguridad, como una dirección de una casa que se habitó en el pasado. También se puede pedir si algún familiar tiene un adicional de tarjeta de crédito, entre otros.
Según los investigadores, si los delincuentes erran en la respuesta, anotan el fallo y vuelven a llamar hasta que van asentando los datos correctos. Tienen tiempo de cortar y volver a llamar muchas veces a los diferentes operadores de un call center. Un acierto, es un dato de oro y los habilita para seguir probando, cada vez con mayores posibilidades.
Cuando superan esas preguntas, les dan el nuevo chip telefónico o SIM para utilizarlo en un nuevo aparato. A partir de ese momento, queda todo listo para comenzar la estafa a pleno. El usuario auténtico pierde el control de su línea, mientras el delincuente puede hacer lo que quiera porque ya tiene todo lo necesario para vaciar sus cuentas. Como si fuera el dueño del dinero.
El desvío de fondos
La persona que ya tiene un intruso en su cuenta bancaria -hasta el momento sin sospecharlo- de repente se queda sin línea de celular.
En ese instante, el estafador entra a la cuenta bancaria con los datos que habían robado en el primer paso, pide hacer una transferencia a una de las cuentas que manejan y el banco le solicita que valide esa transacción con el código que le mandan a través de un mensaje al celular... que ahora manejan los estafadores.
Con ese código del SMS o el Tokken que les llegó al aparato “pirata”, confirman la operación y la transferencia está hecha.
Pero no es tan sencillo enviar dinero a una cuenta sin que pueda ser rastreada. ¿Qué estaban haciendo los miembros de la banda? Diversificaban las transferencias a varias cuentas por cantidades menores, de manera que el rastreo de fondos se hace más complicado. Luego, la pasaban a segundas y terceras cuentas, en varias etapas, cruzando y triangulando operaciones que se tornan más difíciles de seguir.
Al final, desde esas cuentas, se adquieren criptoactivos, cuyo rastreo es casi imposible. Con esto, terminan de manera formidable una maniobra tan sofisticada como efectiva.
Prevención
A esta altura, el lector puede sospechar que sus cuentas bancarias son fácilmente vulnerables. La idea es tratar de hacerles más difícil la tarea a los estafadores que siempre van codo a codo con el avance de las medidas de seguridad.
Entre las contramedidas que el usuario puede tomar, el mejor consejo es no responder a pedidos de datos, claves, nombres de usuario que terminan facilitando el robo de esa información. Los bancos siguen haciendo publicidad en la que aclaran que nunca piden ese tipo de datos a través de correos electrónicos o por teléfono. Aun personalmente, esa información, siempre la tiene el usuario y no la comparte con un agente de la entidad crediticia aunque esté de cuerpo presente.
De igual modo, siempre es conveniente cambiar de manera frecuente las claves de seguridad. También se puede usar una contraseña adicional o la doble autentificación, o pedir una autentificación en dos pasos cuando se ingresa desde un dispositivo nuevo. Existen formas tecnológicas más avanzadas como el reconocimiento facial, por voz y el PIN adicional.
Otro consejo, nunca responder a la “estrategia de la ilusión”: cuando nos ofrecen algo demasiado tentador que sirve para que terminen por pedirnos datos de nuestra intimidad bancaria.
De igual modo, no publicar datos personales en redes sociales o en cualquier sitio de Internet. Los estafadores se la pasan “peinando” esa información para conocer de nosotros y así estafarnos.
Además de no poner claves que tienen que ver con algo relacionado con nuestra vida (fechas de nacimiento, nombres de familiares), está bueno que la contraseña contenga más de ocho dígitos, entre letras, números y un signo.
Otro consejo que dan los expertos es que, apenas se detecte que la cuenta bancaria ha sido tomada por un extraño, debe hacerse contacto urgente con el call center del banco.
Lo mismo, si se pierde el control de la línea telefónica, hablar de inmediato a la compañía y al banco ante la posibilidad de que la cuenta esté siendo usada por un extraño.
En esos casos, si se actúa con rapidez, muchas veces es posible rastrear el movimiento de dinero entre cuentas y parar su circulación.
