Roban 4.300€ a una empresa gallega de forma invisible ¿Qué ha pasado?

Ya está pasando, en España una empresa de Vigo acaba de denunciar la pérdida de 4.300 euros tras sufrir un sofisticado ciberataque conocido como "Man in the Middle" (Hombre en el medio). Los ciberdelincuentes consiguieron infiltrarse en las comunicaciones por correo electrónico de la compañía y desviar una transferencia bancaria sin que nadie se diera cuenta hasta que fue demasiado tarde.

Este tipo de estafas están multiplicándose en Galicia, donde tener ya empiezan a ser consciente de que es necesario contar con el mejor antivirus para protegerse de estas técnicas cada vez más sofisticadas.

¿Cómo les robaron 4.300 euros sin que se enteraran?

El ataque fue ejecutado con una precisión quirúrgica. Los estafadores lograron suplantar la identidad de un proveedor en una conversación que la empresa viguesa mantenía por correo electrónico para el pago de facturas.

El proceso fue el siguiente:

1. Interceptaron las comunicaciones entre la empresa y su proveedor legítimo.
2. Se hicieron pasar por el proveedor enviando un correo aparentemente normal.
3. Modificaron los datos bancarios de la factura por una cuenta controlada por ellos.
4. La empresa transfirió los 4.300 euros creyendo que pagaba al proveedor real.
5. Solo se dieron cuenta del engaño cuando el proveedor auténtico les reclamó el pago pendiente.

Lo más inquietante es que la comunicación parecía completamente normal para ambas partes. La empresa creyó estar pagando correctamente, y el proveedor real no sabía que alguien se estaba haciendo pasar por él.

¿Qué es exactamente un ataque "Man in the Middle"?

Según el Instituto Nacional de Ciberseguridad (INCIBE), este tipo de ataque consiste en interceptar la comunicación entre dos interlocutores sin que ninguno se dé cuenta. Es como si alguien estuviera escuchando y modificando tus conversaciones telefónicas sin que lo supieras.

Los ciberdelincuentes pueden:

• Ver toda la información que se intercambia entre las dos partes.
• Modificar los mensajes antes de que lleguen al destinatario.
• Suplantar la identidad de cualquiera de los dos interlocutores.
• Decidir qué información pasa y cuál bloquean.

Estos ataques son extremadamente difíciles de detectar porque la comunicación transcurre aparentemente normal para ambas partes, hasta que el daño ya está hecho.

El problema se extiende por toda España

El caso de Vigo no es aislado. En Pontevedra, las ciberestafas de este tipo alcanzaron los 3.235.679 euros durante 2023, afectando a 117 personas. Solo en mayo de 2024, la Guardia Civil detuvo a 30 personas que habían estafado más de un millón de euros utilizando esta técnica.

Los puntos de acceso WiFi públicos son especialmente peligrosos para este tipo de ataques. Muchos delincuentes crean redes WiFi falsas que imitan nombres conocidos para que los dispositivos se conecten automáticamente.

¿Era posible evitar este ataque?

La respuesta es sí, pero requiere cambiar la forma en que las empresas gestionan sus pagos. Existen ciertas medidas que podrían haber salvado los 4.300 euros de la empresa viguesa:

Verificación obligatoria:

• Acordar previamente las cuentas bancarias con todos los proveedores.
• Llamar por teléfono para confirmar cualquier cambio en los datos de pago.
• Nunca modificar cuentas bancarias basándose únicamente en un email.

Protocolos de seguridad:

• Usar contraseñas robustas y cambiar las que vienen por defecto.
• Cifrar los correos que contengan información financiera.
• Evitar redes WiFi públicas para operaciones comerciales.

Formación del equipo:

• Entrenar a los empleados para detectar emails sospechosos.
• Establecer protocolos claros para verificar cambios bancarios.

Una amenaza que va cada vez a más

El subdelegado del Gobierno en Pontevedra ya había advertido sobre el peligro de estas estafas, especialmente tras el aumento de casos en la provincia. Los ciberdelincuentes han perfeccionado esta técnica hasta convertirla en un método casi infalible si las víctimas no toman precauciones.

La empresa viguesa ya ha interpuesto la denuncia correspondiente, pero recuperar el dinero será complicado. Los 4.300 euros perdidos sirven como un recordatorio caro de que la ciberseguridad ya no es opcional para ninguna empresa, por pequeña que sea.

Este caso demuestra que cualquier empresa puede convertirse en víctima de estos ataques sofisticados. La clave está en estar preparado antes de que sea demasiado tarde.