Esta es la técnica que han usado los ciberdelincuentes para robar un millón de euros al Ayuntamiento de Sevilla

La noticia la avanzó la prensa localesta semana. Un grupo de ciberdelincuentes logró sustraer del Ayuntamiento de Sevilla todo un millón de euros sin que nadie se hubiese dado cuenta. Esa cantidad desapareció de las arcas municipales por el pago del contrato que instaló las emblemáticas luces de Navidad en la capital andaluza en 2020 y 2021.

Sin embargo, la compañía que había logrado el contrato para la instalación de estas iluminaciones jamás recibió el dinero. La Gerencia Municipal de Urbanismo sevillana ha interpuesto una demanda ante la Policía Nacional después de que el servicio técnico de Consistorio haya recabado información y sospechen haber sido víctimas de una estafa cibernética cada vez más común.

La investigación ahora está en manos de la policía, por lo que no han trascendido muchos más detalles. La cuantía que se habría estafado asciende en concreto a 962.797 euros. Nadie en el Ayuntamiento sospechó nada después de realizar el pago, hasta que el Banco de España emitió un aviso a finales de agosto alertando de este fenómeno criminal.

Un fenómeno que se conoce como 'Man in the Middle' (el hombre en medio es su traducción literal del inglés), y que al español se ha adaptado como la estafa del intermediario. Es una práctica muy habitual de criminales informáticos y no es, ni mucho menos, un incidente informático tan sofisticado como un ataque con ransomwareo por denegación de servicio (DDoS).

La UE es "especialmente vulnerable" al ciberespionaje y debe articular ya una política común contra las injerencias externas, según esta experta

Los ciberdelincuentes suelen asaltar sus botines y financiarse con ataques como los antes descritos. Cifran los archivos y equipos de sus víctimas o bloquean el acceso a sus páginas web para dejarlas sin servicio. Si las víctimas quieren recobrar la normalidad se verán obligadas, en el peor de los casos, a pagar un cuantioso rescate en criptomonedas para que el atacante cese su operación.

Pero la estafa del intermediario es una práctica muy habitual en el ámbito empresarial. Mucho más sibilina y en ocasiones puede no ser detectada a tiempo.

Los criminales informáticos hacen uso de OSINT, inteligencia de fuentes abiertas. Para determinar quiénes serán sus objetivos primero los estudian a fondo gracias a toda la ingente información que ciudadanos y negocios vuelcan consciente o inconscientemente en sus redes sociales. De esta manera se puede saber si una persona está esperando una cita médica o una comunicación de su banco.

De esta manera, muchas bandas de estafadores en línea se aprovechan de situaciones de vulnerabilidad para hacerse pasar por ese centro médico o esa entidad bancaria. Aquí entran en juego dos fenómenos: el phishing y el spoofing. El primero es sobra conocido y apenas necesita presentación: un formulario o web falsa, en apariencia idéntica a la original.

Mediante el phishing los criminales logran que sus víctimas registren sus credenciales, como DNI o contraseña, en un formulario que en realidad acaba en manos de los estafadores. De esta manera luego pueden tener acceso a, por ejemplo, la cuenta corriente.

"Los ciberdelincuentes ya atacan a empresas a través de pulseras inteligentes": Europa prepara una ley para impulsar la seguridad en los dispositivos conectados

El spoofing es un fenómeno algo más sofisticado y se produce cuando los estafadores tienen las herramientas informáticas necesarias para poder suplantar eficazmente la identidad de una persona. Esto es posible gracias a que una ingente mayoría de los dominios que pueblan la red no tienen activados unos filtros específicos de seguridad, como reveló en una investigación este hacker español.

Gracias al spoofing suceden ataques como el conocido fraude del CEO, bautizado así porque los estafadores se dirigen a un empleado de una empresa haciéndose pasar por el propietario o director de la misma y urgiéndoles a remitir un pago en calidad de un acuerdo comercial inminente.

En el caso del Ayuntamiento de Sevilla, la estafa del intermediario ha permitido que mediante el spoofing los cibercriminales hayan podido hacer creer al consistorio andaluz que ellos eran su verdadero proveedor.

No es la primera vez que ocurre. Las administraciones municipales llevan en la diana de los criminales informáticos años. Ya Jerez marcó un punto de inflexión cuando fue víctima en 2019 de un ransomware, el primero de una oleada de ataques tanto a administraciones como empresas en España por parte de distintas bandas organizadas que se encargan de estas operaciones.

En Córdoba, en verano del año pasado, se registró un intento de estafa similar. En ese caso, la Gerencia de Urbanismo de Córdoba denunció un intento de estafa de hasta 600.000 euros, que lograron detectar a tiempo. Los criminales suplantaron a una proveedora con certificados simulados y una de las primeras personas en ser imputadas fue una joven de unos 20 años de edad.

La joven era la titular de la cuenta bancaria en la que los criminales animaban a depositar el dinero. Los criminales suplantaron a la compañía proveedora de la Gerencia de Urbanismo alegando que habían cambiado de número de cuenta corriente. La joven, por su parte, alegó ser modelo y no tener nada que ver con los hechos que se le imputaron.