Capítulo 10: Cómo se elige a las víctimas: perfil y segmentación

Muchas personas que enfrentan las consecuencias de una estafa, al quedar conmocionadas por el descubrimiento de que su cuenta bancaria ha sido vaciada, se hacen la misma pregunta una y otra vez: "¿Por qué a mí? ¿Por qué me eligieron precisamente a mí?". Sienten como si un rayo les hubiera caído en un día despejado, como si se tratara del destino o de una mala racha extrema. Imaginan al estafador como un pescador que lanza una red amplia al mar y espera a ver qué captura. Y, de hecho, en algunos casos —las estafas masivas de "phishing"—, esta es la situación. Pero cuando se trata de estafas sofisticadas, en casos de fraudes significativos donde se sustraen sumas considerables de dinero, la realidad demuestra que, en algunos casos, las víctimas no son elegidas al azar, sino que son marcadas de antemano.

En los capítulos anteriores analizamos los mecanismos psicológicos y los guiones complejos, pero en este capítulo iremos a la raíz del asunto: la fase de "inteligencia". En el mundo del espionaje se le llama OSINT (inteligencia de fuentes abiertas). En el mundo del crimen digital, este es el trabajo de preparación que convierte a un completo extraño en un objetivo. Para entender cómo defenderse, primero debemos entender cómo se puede construir el perfil de una víctima, cómo se identifica la ventana de oportunidad y cómo la información privada puede convertirse en una herramienta en manos de los estafadores.

El siguiente escenario es un ejemplo pedagógico basado en patrones comunes de fraude. Los personajes y eventos son solo para fines ilustrativos.

Ingeniería de objetivos: escenario pedagógico - la historia de Amos y el apartamento en Haifa

Amos (nombre ficticio), de 67 años, estaba lejos de la imagen clásica de la "víctima inocente". Se jubiló después de una extensa carrera como director de operaciones en una gran empresa de logística. Conocía los sistemas informáticos, sabía negociar y siempre se consideró una persona precavida que revisa cada documento. En este escenario, el error de Amos no fue la falta de precaución, sino la suposición de que sus acciones en la red permanecían anónimas.

Todo comenzó cuando se decidió vender un apartamento de inversión para ayudar a la familia. Se publicó un anuncio en un sitio web de ventas, se subieron fotos y se indicaron datos de contacto. Para los actores criminales, un anuncio así puede constituir una señal de objetivo.

Durante dos semanas, se recopiló información. Un estafador puede utilizar el nombre completo para encontrar perfiles en redes sociales, identificar intereses, grupos de pertenencia o antecedentes profesionales. La información se acumula y se convierte en un expediente de inteligencia en toda regla.

En un escenario posible, el teléfono suena y en la pantalla aparece un número que parece oficial. La voz al otro lado de la línea puede presentarse como un representante del departamento de seguridad del banco, con un tono autoritario y tranquilo, e informar sobre un "intento de transferencia sospechosa".

Cuando la víctima reacciona con presión, el estafador puede utilizar la información que recopiló de antemano: "¿Ha publicado recientemente un anuncio inmobiliario? Este es un patrón conocido de hackers que escanean esos sitios". La información precisa genera un nivel de confianza muy alto. Dentro de este "túnel de presión", la víctima puede actuar siguiendo las instrucciones del estafador, transferir fondos a una supuesta "cuenta de protección" y descubrir más tarde que los fondos fueron transferidos a cuentas ficticias y que existe una complejidad significativa en el intento de recuperarlos.

El mito de la aleatoriedad: cómo puede filtrarse la información

El escenario de Amos ilustra un punto crítico: la elección de la víctima es a veces un proceso de filtrado. Los actores de fraude buscan a menudo un "fruto maduro": personas que se encuentran en un momento en el que están realizando grandes transacciones o experimentando cambios de vida.

Existen varias formas en las que la información puede llegar a manos equivocadas:

1. Fugas de datos (Data Breaches)

Cada vez que se vulnera un sitio web donde existe un registro, la información personal puede pasar a manos criminales. Estas listas a veces están segmentadas por edad, tipo de tarjeta de crédito u otras características, lo que permite la creación de una lista de objetivos potenciales.

2. Redes sociales

La sobreexposición en redes sociales puede constituir una invitación para elementos hostiles. Una publicación sobre la venta de un inmueble, una foto de un billete de avión o una actualización sobre una mudanza proporcionan información sobre liquidez financiera o ausencia del país, lo que hace a la persona más vulnerable a estafas dirigidas.

3. Bases de datos

A lo largo de los años se ha informado sobre filtraciones de bases de datos oficiales y públicas. La información que incluye números de identificación, direcciones y vínculos familiares permite a los estafadores crear una apariencia muy creíble en una conversación telefónica, lo que aumenta el nivel de confianza que se les otorga al inicio de la interacción.

Perfil de la víctima: ¿quién podría estar en el punto de mira?

A lo largo de los años de trabajo profesional y el examen de muchos casos, resulta que las víctimas no pertenecen a un solo grupo. Se pueden encontrar entre ellas profesionales independientes, personas del sector tecnológico y personas con una rica experiencia de vida. Sin embargo, hay características que pueden convertir a una persona en un objetivo preferente:

• Personas con liquidez financiera temporal: Personas tras la venta de un inmueble, recepción de una herencia o la apertura de un fondo de ahorro.
• Personas en encrucijadas de decisión o bajo presión: Quienes se encuentran en procesos personales complejos como divorcios o mudanzas, situaciones en las que la atención cognitiva puede estar dividida.
• Autónomos y propietarios de pequeñas empresas: Acostumbrados a realizar numerosas transferencias de fondos y a hablar con números desconocidos.
• Personas de la tercera edad: Individuos que dominan la tecnología pero que pueden tener un gran respeto por la autoridad (como el banco o la policía) y tienden a creer en una voz autoritaria por teléfono.

El ámbito legal: examen de la responsabilidad de la entidad financiera

En este punto se examina la compleja cuestión jurídica. La pregunta central en estos casos no es solo cómo se llevó a cabo el fraude, sino cuál fue el grado de precaución ejercido por los "guardianes". En Israel, la relación entre el banco y el cliente se basa en un deber de lealtad y cuidado.

La Ley de Servicios de Pago, 2019, regula la cuestión de la responsabilidad. Por lo general, en caso de una transacción no autorizada, existe un deber de restitución. La complejidad aumenta en los casos de "ingeniería social", donde es el cliente quien autorizó la operación debido a una falsa representación. Aquí se evalúa el equilibrio entre la "negligencia contribuyente" y el deber de cuidado del banco.

En el marco del análisis de las opciones legales, surge la pregunta de si el banco debe identificar patrones de fraude inusuales. Si un cliente realiza una operación que difiere radicalmente de sus hábitos de gestión normales, puede existir la expectativa de que los sistemas de monitoreo del banco detengan la operación o realicen una verificación adicional.

La experiencia profesional enseña que las entidades financieras pueden intentar eximirse de responsabilidad argumentando que el cliente actuó por voluntad propia. Sin embargo, se puede examinar si, en las circunstancias del caso, el banco estaba obligado a identificar "luces rojas". En algunos casos, puede existir una causa de demanda por negligencia en la gestión de riesgos.

Es importante enfatizar: no existe una garantía absoluta de devolución de dinero. Cada caso se analiza individualmente de acuerdo con sus circunstancias únicas. Los tribunales examinan si la conducta del cliente constituyó una "negligencia grave". Entregar un código personal contraviniendo advertencias explícitas dificulta la situación legal, pero no bloquea necesariamente la posibilidad de examinar las fallas del banco en proporcionar una protección integral.

Análisis de caso: ¿por qué se eligió el objetivo?

Volviendo al escenario pedagógico, se puede ver que el trabajo de inteligencia se basó en herramientas accesibles:

1. Recopilación de información: Un anuncio de venta pública que proporciona nombre, teléfono y ubicación.
2. Cruce de datos: Uso de motores de búsqueda y redes sociales para identificar antecedentes profesionales y edad.
3. Verificación de identidad: Uso de aplicaciones de identificación de llamadas para confirmar la identidad del objetivo.
4. Sincronización: Selección de un momento en el que la víctima pueda estar ocupada pero disponible.
5. Creación de autoridad: Uso de terminología profesional adaptada a los antecedentes de la víctima.

Señales de advertencia: ¿cuándo surge el temor de ser un "objetivo"?

La identificación temprana de señales de advertencia puede evitar daños financieros:

• Llamadas iniciadas por el banco sobre una operación que usted no reconoció: Es importante recordar que los bancos no piden transferir dinero a "cuentas de protección".
• Conocimiento previo de detalles personales: Cuando el interlocutor conoce detalles sobre propiedades, familiares o acciones recientes, no es necesariamente una señal de fiabilidad, sino una evidencia de una recopilación de inteligencia previa.
• Generación de urgencia: El uso de presión de tiempo ("hay que actuar ahora") está destinado a evitar el pensamiento racional o la consulta.
• Solicitud de confidencialidad: Una instrucción de no colgar la llamada o no contarle a nadie lo que está ocurriendo.

Pasos inmediatos en caso de sospecha

1. Cortar la comunicación: En caso de duda, se debe finalizar la llamada de inmediato.
2. Establecer contacto independiente: Se debe marcar el número oficial del centro de atención del banco o de la compañía de tarjeta de crédito, y no volver al número del que se recibió la llamada.
3. Verificación independiente de la cuenta: Acceso a la cuenta desde un dispositivo seguro y revisión de los movimientos.
4. Documentación: Guardar números de teléfono, mensajes y horas de llamadas como material probatorio potencial.
5. Denuncia a las autoridades: Presentar una declaración jurada ante la policía.

Aspecto legal: resumen de responsabilidad

En casos de "ingeniería social", la situación legal es compleja y está en evolución. La Ley de Servicios de Pago establece la responsabilidad del cliente si actuó con intención fraudulenta o con "negligencia grave".

La interpretación legal del término "negligencia grave" se analiza a la luz del hecho de que los estafadores utilizan técnicas avanzadas. Existe una tendencia a reconocer que el cliente promedio puede encontrarse en una posición de inferioridad frente a sistemas de fraude bien organizados.

Junto a esto, los bancos tienen obligaciones de prevención de fraudes. En determinadas circunstancias, si se puede demostrar que la entidad financiera falló en la identificación de un patrón de fraude conocido o no evitó una operación extremadamente inusual sin explicación, podría surgir una responsabilidad legal.

En conclusión, la protección de la información personal y la reducción de las huellas digitales son la primera capa de defensa. En caso de sufrir un daño, existen opciones legales que pueden ser evaluadas, entendiendo que el resultado depende de las circunstancias específicas de cada caso.