Todo comenzó con una llamada telefónica, como ocurre con muchas estafas en Internet.
La voz al otro lado de la línea dijo que era sargento de la oficina del sheriff de donde yo solía vivir. Según él, se me había citado para testificar ante un gran jurado, pero no me había presentado. En ese momento, estaban a punto de dictar una orden de detención contra mí.
Les expliqué que se trataba, sin duda, de un error. No había recibido ninguna citación. De hecho, hacía ya más de cinco años que no vivía en esa dirección.
El sargento Brian dijo que no se preocupara, que se trataba de una «visita de cortesía» antes de que se dictara la orden judicial. Si quisiera evitar tener que dar explicaciones por mi ausencia ante el juez, podría depositar una «fianza» de 1,500 dólares en efectivo y resolver el asunto más tarde en mi comisaría local. A continuación, me pasó con el supervisor de turno, Dave, para que me indicara cómo y dónde debía realizar el pago.
Cuanto más avanzaba la conversación, más crecían mis sospechas. Así que empecé a buscar en Google. Las infracciones del Código Penal que alegaron eran, en mayor o menor medida, correctas. Los nombres que dieron al sargento y al supervisor eran los de agentes de policía reales de ese distrito. Lo mismo ocurre con el juez cuya orden supuestamente había incumplido. Cuando solicité ver una copia de la citación que, según se afirmaba, había firmado, Dave me envió por correo electrónico un archivo PDF de una citación real ante un gran jurado (aunque resultó ser de un distrito de otro estado). , casi , lo he comprobado.
Cuanto más me resistía, más insistentes se mostraban. Tras más de 40 minutos, ya había oído suficiente, colgué y llamé inmediatamente al departamento del sheriff auténtico. La mujer que respondió me confirmó que se trataba de una estafa. Me invitó a presentar una denuncia ante la policía, pero, añadió, no serviría de nada. Me instó a que me pusiera en contacto con el FBI. (Véanse los enlaces que figuran a continuación.)
La cuestión es que llevo casi tres décadas escribiendo sobre estafas en Internet en y . Pensaba que ya lo había visto y oído todo. El hecho de que me lo creyera durante 15 minutos da bastante que pensar.
En definitiva, casi todas las estafas tienen como objetivo a personas físicas, tanto a autónomos como yo como a empleados de empresas que facturan miles de millones de dólares. Una vez que estos atacantes se hayan ganado su confianza, le sacarán a usted —o a su empresa— todo lo que puedan: vaciarán cuentas bancarias; robarán datos personales, de clientes y de empleados de ; y dañarán la reputación y el valor de la marca.
El hecho de que trabaje en el ámbito de la seguridad y crea que conoce todos los trucos no significa que sea inmune. El pequeño secreto que nadie quiere revelar sobre las estafas en línea es que quienes más se exponen a correr riesgo, tanto a sí mismos como a sus empresas, son aquellos que creen que son demasiado inteligentes como para que les engañen.
Debería haberlo sabido
Hay muchas personas que deberían haberlo sabido, pero no lo hicieron. El pasado mes de febrero, el escritor Cory Doctorow —que cuenta entre sus numerosas novelas con un thriller financiero sobre ciberseguridad— escribió sobre cómo unos estafadores que afirmaban pertenecer al departamento de detección de fraudes de su banco le sustrajeron 8,000 dólares.
«. Llevo escribiendo sobre estafas en Internet desde hace casi tres décadas». Pensaba que ya lo había visto y oído todo. El hecho de que me lo creyera durante 15 minutos da bastante que pensar.»
Por esas mismas fechas, Charlotte Cowls, columnista especializada en asesoramiento financiero de The Cut, confesó que había perdido 50,000 dólares a manos de estafadores que se hacían pasar por empleados del servicio de atención al cliente de Amazon, de la FTC y de la CIA.
Pero eso no es nada comparado con el caso de Shan Hanes, antiguo director ejecutivo del Heartland Tri-State Bank de Elkhart (Kansas), quien perdió 47 millones de dólares de los activos del banco a causa de una estafa de inversión en criptomonedas . En este caso, tanto el antiguo director general como los accionistas del banco resultaron ser víctimas. El banco quebró; Hanes fue condenado a 24 años de prisión federal por malversación de fondos.
Es posible que las criptomonedas también formaran parte del modus operandi de mis estafadores. «Si hubiera seguido al otro lado de la línea, es probable que “Dave” me hubiera enviado a un cajero automático de criptomonedas y, a continuación, me hubiera pedido que ingresara el dinero y lo transfiriera a una cuenta de bitcoin con nombre seudónimo», afirma Mason Wilder, director de investigación de la Asociación de Examinadores de Fraude Certificados ( ).
«Y si hubiera sido tan estúpido como para hacerlo, es probable que los estafadores volvieran a ir a por mí con otra estafa, aumentando la cantidad cada vez hasta que no quedara nada que llevarse», afirma Wilder. Añade que los fraudes dirigidos a particulares han alcanzado su nivel más alto de la historia, especialmente las «estafas de tipo “pig butchering”» relacionadas con inversiones falsas en criptomonedas, que pueden suponer pérdidas de millones de dólares para las víctimas.
e Sue-Lin Wong, de la revista «The Economist», describe cómo funcionan estas estafas:
En primer lugar, los estafadores montan una trampa mediante perfiles falsos en las redes sociales. A continuación, eligen al cerdo, identificando a una víctima; lo crían, dedicando semanas o meses a ganarse su confianza; lo preparan, tentándolos para que inviertan; y lo sacrifican, exprimiéndoles «hasta la última gota» a ellos, a sus familiares y a sus amigos.
Y, por último, dejan a sus víctimas gritando.
El creciente arsenal de herramientas de los estafadores en línea
Gracias a los «recursos» de Internet, como los kits de herramientas para aspirantes a estafadores e incluso el «fraude como servicio» (FaaS) para ciberdelincuentes perezosos, la tasa de estafas es más alta que nunca. En 2024, los consumidores estadounidenses perdieron 12.5 .000 millones de dólares a manos de los estafadores —lo que supone un aumento del 25 % con respecto al año anterior—, y casi la mitad de las pérdidas se debieron a estafas relacionadas con inversiones. Dado que muchas víctimas nunca denuncian a las autoridades que han sido estafadas, es probable que las pérdidas reales sean mucho mayores.
«. La creación de un efecto de red animará a más personas a alzar la voz cuando perciban que algo no está bien y les permitirá obtener el apoyo de los demás.»Katalin Parti, profesora asociada de sociología en Virginia Tech
«La tecnología ha eliminado las barreras de entrada incluso para los planes más sofisticados», afirma Wilder. «Lo único que necesita es una conexión a Internet para disponer de una gran variedad de herramientas».
Si bien Internet ha facilitado exponencialmente la comisión de fraudes, la inteligencia artificial ha complicado aún más la detección de las estafas, al eliminar muchas de las señales de alerta habituales.
Es posible que, en alguna ocasión, haya recibido una llamada de alguien que intentara convencerle de que su ordenador está plagado de virus, pero su marcado acento extranjero y su escaso dominio del inglés podrían delatarle. «Hoy en día, la inteligencia artificial es capaz de generar un guion y una voz que suenan como si procedieran de alguien que vive en la localidad vecina a la suya», afirma Wilder.
Con los rápidos avances en la tecnología de deepfakes y, los estafadores pueden tener el mismo aspecto y la misma voz que alguien a quien usted conoce de verdad. Pregúntele al desafortunado empleado de la empresa británica de ingeniería Arup, que transfirió 25 millones de dólares a unos estafadores en January 2024 durante una videollamada en la que se utilizaron «deep fakes» de cuatro directivos de la empresa.
«Bastan tres segundos de la voz de una persona para falsificarla», afirma Katalin Parti, profesora asociada de sociología en Virginia Tech, cuya investigación, titulada « » ( ), se centra en la ciberdelincuencia y la manipulación en Internet. «Cualquier vídeo o archivo de audio que esté disponible en Internet puede ser objeto de uso indebido por parte de los estafadores».
La curiosidad mata
Tanto para las personas como para las organizaciones, ser plenamente conscientes del mayor riesgo de fraude es la mejor forma de evitar ser estafados. Las empresas están tomando nota; según Cybersecurity Ventures, editores de la revista y el podcast «Cybercrime», el mercado mundial de la formación en concienciación sobre seguridad crecerá pasando de 5.6 000 millones de dólares en 2023 a más de 10 000 millones de dólares en 2027.
No se fíe de las apariencias, sobre todo en Internet, aconseja Parti, e intente resistir la tentación de hacer clic en algo que sabe que no debería. (En una estafa muy sonada, unos ciberdelincuentes norcoreanos se hicieron pasar por ingenieros de la cadena de bloques , y convencieron a otros ingenieros para que descargaran malware creyendo que se trataba de bots o de software que les ayudaría a obtener beneficios de las diferencias entre los tipos de cambio de las criptomonedas en diversas plataformas.) Si es usted víctima de una estafa, esté dispuesto a dejar a un lado su orgullo y a compartir su experiencia con otras personas para que puedan estar más atentas.
«Necesitamos una comunidad bien informada en la que las personas se escuchen unas a otras y compartan noticias sobre las estafas que se producen en la zona», añade. «La creación de un efecto de red animará a más personas a dar un paso al frente cuando perciban que algo no cuadra y les permitirá contar con el apoyo de los demás».
En el ámbito laboral, donde las posibles pérdidas económicas y de reputación son mucho mayores, los empleados deben extremar las precauciones para evitar exponer a su empresa a ataques fraudulentos. Los trabajadores deben desconfiar de las solicitudes urgentes que se realizan en el último momento —por ejemplo, en 4:30 un viernes por la tarde— o de aquellas que requieran cambios en los procedimientos habituales de pago, afirma Wilder. Es posible que las organizaciones deseen revisar sus protocolos de transferencias bancarias e implantar la separación de funciones, con el fin de evitar que una sola persona pueda autorizar pagos que superen un determinado importe en dólares.
Además de la formación en materia de concienciación sobre , y la realización de pruebas periódicas, las empresas deben animar a sus empleados a que informen a sus superiores de cualquier solicitud de contacto inusual, correos electrónicos sospechosos o videollamadas sospechosas que reciban. Asimismo, deben evitar castigar a los empleados que hayan sido víctimas de abusos, para que ello no disuada a otros de dar un paso al frente en el futuro.
«Pero el mejor control es la verificación independiente», añade Wilder. «Si cree que está siendo víctima de una estafa mediante un deepfake, cuelgue y vuelva a llamar utilizando la información de contacto que sabe que es correcta».
A medida que la inteligencia artificial se vaya incorporando a las herramientas de los estafadores, las estafas se volverán aún más sofisticadas y difíciles de detectar. Incluso las personas con conocimientos tecnológicos pueden ser engañadas.
Recuerde: el hecho de que aún no haya caído en una estafa en línea no significa que nunca vaya a hacerlo. Confíe en mí en esto.
PARA DENUNCIAR UN DELITO U OBTENER MÁS INFORMACIÓN:
Consulte estos recursos para obtener más información sobre las formas más habituales de ciberdelincuencia y las medidas que pueden adoptar las empresas para combatirla.
- Si ha sido víctima de un delito cibernético o sospecha que puede haber sido objeto de uno, visite . Presente una denuncia lo antes posible ante el Centro de Denuncias de Delitos en Internet (IC3) del Departamento de Seguridad Nacional de EE. UU. ( ) (IC3). Gestionado por el FBI, el IC3 es el centro de coordinación para la denuncia de todo tipo de delitos cometidos a través de Internet.
- Para denunciar un delito cibernético en curso o una amenaza para la seguridad nacional: . Presente una denuncia en , tips.fbi.gov o , o póngase en contacto con su oficina local del FBI .
- Más información sobre el ransomware: . A pesar de la tregua temporal en el caso 2023, los ataques de ransomware contra el sector público y privado están repuntando de nuevo. Aquí tiene su clase «Raas»: Una guía defensiva frente a los ataques de ransomware como servicio.
- Obtenga más información sobre el suplantación de identidad en el correo electrónico empresarial (BEC), la amenaza más costosa: . Aunque el ransomware acapara los titulares, el BEC provoca pérdidas económicas significativamente mayores para las empresas. Eche un vistazo a este artículo explicativo sobre el BEC de para obtener consejos sobre cómo detectarlo y protegerse contra él.
- Obtenga más información sobre el phishing: . Se trata de una de las formas más notorias y extendidas de ataques de ingeniería social y, actualmente, resulta más difícil de detectar gracias a la inteligencia artificial. Aquí tiene nuestra guía explicativa de « » sobre los tipos de phishing, sus riesgos y cómo prevenirlo:.
- Para adelantarse a las amenazas cibernéticas – Considere la posibilidad de convertirse en un «socio del sector privado» del FBI en el marco del programa «
». Puede informarse sobre cómo colaboran las empresas con el FBI aquí:.
