Capítulo 26: El espejo doble — Sitios web fraudulentos y aplicaciones falsas

En el mundo físico, si alguien intentara montar una sucursal bancaria falsa en el centro de Tel Aviv, necesitaría recursos inmensos: contrato de alquiler, renovación masiva, mobiliario de oficina, cajas fuertes pesadas y todo un equipo de actores que se hicieran pasar por empleados. Esta es una operación logística casi imposible que sería descubierta en minutos. Sin embargo, en el espacio digital, el establecimiento de dicha "sucursal" es cuestión de pocos minutos y con un coste nulo. Todo lo que se requiere es copiar el código fuente de un sitio web existente, adquirir un dominio (dirección web) que parezca casi idéntico al original y esperar a que la víctima entre por su propia voluntad.

Vivimos a través de pantallas. Nuestra confianza en la realidad digital se basa en la memoria visual y en los hábitos. Identificamos el logotipo azul del banco, el campo de inicio de sesión familiar, los colores de la compañía de seguros. Nuestro cerebro realiza atajos; no comprueba cada vez la barra de direcciones del navegador ni la firma de seguridad de la aplicación. Sobre esta pequeña brecha —entre lo que esperamos ver y lo que se nos muestra realmente— se construye una de las industrias criminales más sofisticadas del siglo XXI.

En este capítulo profundizaremos detrás del espejo. Entenderemos cómo los sitios web fraudulentos logran engañar incluso a los más experimentados entre nosotros, cómo las aplicaciones maliciosas convierten nuestro teléfono inteligente en un "caballo de Troya" dentro del bolsillo, y cuáles son las consecuencias legales cuando el dinero desaparece tras una acción que nosotros, supuestamente, realizamos por nuestra propia cuenta.

El siguiente escenario es un ejemplo educativo basado en patrones de fraude comunes. Los personajes y eventos tienen fines ilustrativos solamente.

La historia de Yair: la trampa en la punta del dedo

Yair (42), diseñador gráfico independiente y tecnólogo de corazón, siempre se consideró "inmune a las estafas". Utiliza autenticación de doble factor en cada cuenta posible, cambia contraseñas con frecuencia y regaña a sus padres cuando hacen clic en enlaces sospechosos en WhatsApp. "A mí eso no me pasará", solía decirse a sí mismo con una sonrisa de confianza.

Ocurrió un martes lluvioso, a las 22:30. Yair estaba cansado tras un día de trabajo agotador frente a las pantallas. Su teléfono vibró. Un mensaje SMS del "banco": "Estimado cliente, se ha detectado un inicio de sesión inusual en su cuenta desde un dispositivo desconocido en el extranjero. Para proteger su dinero, debe confirmar su identidad urgentemente en el siguiente enlace, de lo contrario la cuenta será bloqueada temporalmente."

Bajo la presión del tiempo y el cansancio, Yair no se detuvo a pensar. Hizo clic en el enlace. El navegador se abrió y mostró la página de inicio conocida de su banco. Todo estaba ahí: el logotipo exacto, la imagen de fondo estacional, incluso el mensaje sobre el horario de atención al cliente. Yair introdujo su nombre de usuario y contraseña. La siguiente pantalla le solicitó una "actualización de seguridad": "Para garantizar la protección de la cuenta, debe descargar la aplicación oficial 'SafeGuard-Bank' desde la tienda de aplicaciones o mediante un enlace directo si la tienda no está disponible."

"Esto es nuevo", pensó Yair, pero la sensación de urgencia superó a la duda. Hizo clic en la descarga del archivo. El teléfono mostró una advertencia de que el archivo podría ser dañino, pero el sitio (que parecía exactamente el del banco) lo tranquilizó: "Presione 'Aceptar de todos modos' para completar el proceso de protección". Instaló la aplicación.

En el momento en que se abrió la aplicación, solicitó permisos de acceso a SMS y contactos. "Lógico", murmuró Yair, "después de todo, el banco envía códigos por SMS". Aprobó todo. La pantalla mostró una rueda giratoria: "Realizando sincronización de seguridad... por favor espere".

Lo que Yair no sabía es que en esos mismos momentos, la aplicación falsa —que en realidad era un software de control remoto y un "secuestrador" de mensajes— transmitía sus datos de acceso a un hacker sentado a miles de kilómetros de distancia. El hacker entró en la cuenta real de Yair. Cuando el banco envió un código de verificación por SMS para realizar una transferencia bancaria de 45.000 NIS, la aplicación falsa interceptó el mensaje, lo ocultó a Yair y lo reenvió automáticamente al hacker. Yair solo vio una pantalla de "carga".

Tras dos minutos, la aplicación se cerró por sí sola. Yair intentó entrar de nuevo, pero el sitio ya no estaba disponible. "Fallo en el servidor", pensó y se fue a dormir. Por la mañana, cuando abrió la aplicación real del banco, descubrió un saldo de solo 12 NIS. Todos sus ahorros, el dinero destinado al pago del anticipo de la vivienda, habían desaparecido como si nunca hubieran existido.

Cuando se dirigió al banco, la respuesta recibida presentó el argumento de que dado que el cliente introdujo los datos en un sitio externo, descargó una aplicación no oficial y aprobó las transferencias, se trata de una negligencia grave que exime al banco de responsabilidad. En tal escenario, la víctima puede encontrarse no solo sin su dinero, sino también en una lucha frente al sistema que argumenta su responsabilidad personal por el evento.

Anatomía de la suplantación: ¿cómo funciona?

Para entender la complejidad legal y tecnológica, debemos desglosar el modo de operación de los estafadores. Los sitios web fraudulentos (Phishing Sites) no son solo páginas estáticas. Son sistemas dinámicos diseñados para salvar la brecha entre el usuario y la institución financiera real.

1. El método de la URL: la dirección en la pared

Los estafadores utilizan un método llamado Typosquatting. Adquieren dominios muy similares al original. Por ejemplo, en lugar de bankleumi.co.il, usarán bankleumi-security.com o bankleumi-login.net. Un ojo inexperto, especialmente en la pequeña pantalla de un teléfono móvil, tendrá dificultades para distinguir el cambio. En casos más sofisticados se utilizan "caracteres Unicode" —letras de otros idiomas que se ven exactamente como letras latinas (por ejemplo, la letra 'a' en cirílico que se ve idéntica a la 'a' en inglés), lo que crea una dirección que parece totalmente idéntica a la original en la barra de direcciones.

2. Ingeniería social y sentido de urgencia

El sitio fraudulento es solo la segunda etapa. La primera etapa es siempre crear una "situación de emergencia". El miedo es el mayor enemigo del juicio. Los mensajes sobre "bloqueo de cuenta", "embargo inminente" o "devolución de impuestos que espera solo por usted" hacen que las personas actúen desde el instinto y no desde la razón. Cuando estamos bajo estrés, nuestro sistema cognitivo se enfoca en resolver el problema inmediato (hacer clic en el enlace) e ignora las señales de advertencia periféricas.

3. La aplicación falsa: el caballo de Troya moderno

Esta es la etapa más peligrosa. Mientras que un sitio web fraudulento puede "solo" robar contraseñas, una aplicación maliciosa (Malicious App) obtiene control sobre el dispositivo. En sistemas Android, la instalación de archivos APK fuera de la tienda oficial abre la puerta a lo que se llama "Overlay Attack". La aplicación maliciosa sabe cuándo el usuario abre la aplicación bancaria real y superpone una "capa" transparente que captura sus pulsaciones. Además, obtiene acceso a los SMS, lo que le permite eludir el mecanismo de OTP (One Time Password) —esa contraseña de un solo uso que los bancos envían para autorizar operaciones.

El aspecto legal: la responsabilidad y la carga de la prueba

Cuando un cliente descubre que su cuenta ha sido vaciada en un escenario similar al de Yair, la pregunta legal central es: ¿quién es responsable? La respuesta requiere un análisis legal profundo de las circunstancias.

Ley de Servicios de Pago, 2019

Esta ley es la "ley fundamental" del mundo de los pagos digitales en Israel. Reemplazó la antigua Ley de Tarjetas de Crédito y amplió las protecciones al consumidor. El artículo 20 de la ley establece que en caso de "uso indebido" de un medio de pago (como el acceso a una cuenta bancaria digital), el proveedor del servicio (el banco) debe reembolsar al cliente la cantidad de dinero sustraída.

Sin embargo, el artículo 24 de la ley establece una excepción significativa: el cliente será responsable del daño total si entregó el medio de pago o los datos de acceso a otra persona en circunstancias en las que podría haber previsto el uso indebido, o si el daño fue causado por "negligencia grave" del cliente.

¿Qué es "negligencia grave"?

Este es el núcleo de la controversia legal. A veces se argumenta que introducir datos en un sitio de phishing o instalar una aplicación externa constituye "negligencia grave". Sin embargo, en un análisis general de las posibilidades legales, la negligencia grave se percibe como una conducta que se desvía de manera extrema del estándar de cuidado razonable. Se puede examinar si un cliente razonable, que recibe un mensaje que parece oficial, es redirigido a un sitio que parece idéntico al original y se le pide actuar bajo presión, realmente será considerado como alguien con negligencia grave o si se trata de una víctima de un fraude sofisticado.

En algunos casos, se puede examinar la responsabilidad del banco si se demuestra que los sistemas de monitoreo fallaron. Existe una opinión legal según la cual los bancos tienen la obligación de identificar actividades inusuales. Si en una cuenta que se gestiona de cierta manera se realiza de repente una operación inusual en su volumen a un destino nuevo sin que el banco realice una verificación adicional, se puede examinar la cuestión de la responsabilidad de la institución financiera.

El deber de divulgación y advertencia

Un análisis legal también puede examinar si la institución financiera proporcionó advertencias adecuadas sobre el tipo de fraude específico. Si el banco era consciente de una ola de ataques específica y no actuó para informar a sus clientes, o si la interfaz de usuario no incluye medios de verificación suficientes (tales como verificación biométrica), pueden surgir argumentos sobre la distribución de la responsabilidad en el daño.

El punto de quiebre: la confrontación legal

Volvamos al escenario educativo de Yair. En casos similares que llegan a examen legal, las víctimas presentan a menudo el mensaje SMS que recibieron, el cual parece idéntico a mensajes legítimos anteriores, e incluso aparece en el mismo hilo de mensajes.

El punto que surge en tales casos es crítico. La tecnología que permite la falsificación del nombre del remitente provoca que el teléfono inteligente coloque el mensaje falso dentro de un hilo real. Para muchos usuarios, esto puede considerarse como la prueba de autenticidad más engañosa.

En el marco de un análisis legal de estos casos, se examina la posibilidad de argumentar que el banco falló en varios círculos de defensa:

1. Sistema de monitoreo de riesgos: ¿Debería el sistema haber detenido una operación inusual en su naturaleza en la cuenta?
2. Mecanismo de verificación: ¿Es suficiente la dependencia de un código SMS solamente, dada la capacidad conocida de los programas maliciosos para interceptar estos códigos?
3. Deber de cuidado y lealtad: ¿Actuó la institución financiera como un guardián razonable frente a intentos conocidos de suplantación?

Por otro lado, las instituciones financieras pueden argumentar que las operaciones fueron aprobadas mediante los códigos correctos y desde el dispositivo del cliente. En un escenario posible, tras examinar las pruebas, las partes pueden llegar a un acuerdo que equilibre los diferentes argumentos. Es importante enfatizar que cada caso se examina por sus propios méritos según sus circunstancias únicas, y la posibilidad de recuperar los fondos depende de la infraestructura probatoria que se presente.

Señales de advertencia: ¿cómo identificar al "doble" antes de que ataque?

A pesar de la sofisticación, hay grietas en el espejo. La identificación temprana de las señales de advertencia puede ayudar a prevenir daños:

• Solicitud de instalación de una aplicación fuera de la tienda: Un banco oficial no suele pedir la descarga de archivos (como un archivo con extensión APK) directamente desde el sitio. Las aplicaciones oficiales se instalan a través de las tiendas de aplicaciones conocidas.
• Cambios diminutos en la dirección del sitio: Busquen caracteres innecesarios, guiones o terminaciones inusuales. Se recomienda asegurarse de que la dirección del sitio coincida exactamente con la dirección conocida de la institución.
• Exigencia de datos de identificación completos: Si se le pide ingresar los datos completos de la tarjeta de crédito (incluido el CVV) para "asegurar" la cuenta corriente, se trata de una luz roja.
• Idioma y redacción: Errores lingüísticos, redacciones poco naturales o el uso de fuentes que no coinciden con la marca habitual pueden indicar una falsificación.
• Creación de pánico: Una exigencia de acción inmediata bajo amenazas de bloqueo o un ultimátum de poco tiempo es un patrón de acción común en los fraudes.

¿Qué hacer inmediatamente cuando se descubre sospecha de estafa?

Si surge sospecha de que se introdujeron datos en un sitio fraudulento o que se instaló una aplicación sospechosa, la velocidad de respuesta tiene gran importancia:

1. Desconexión y aislamiento

Se recomienda desconectar inmediatamente la conexión a Internet en el dispositivo. En casos de instalación de una aplicación sospechosa, se puede considerar consultar con un experto técnico sobre la necesidad de restablecer el dispositivo tras realizar una copia de seguridad de los datos.

2. Contacto urgente con la institución financiera

Se debe contactar inmediatamente con las líneas de emergencia de los bancos y las compañías de tarjetas de crédito, solicitar el bloqueo de la actividad y la cancelación del acceso digital. En algunos casos, se pueden examinar opciones para detener transferencias antes de que se completen, aunque es una posibilidad que depende de circunstancias técnicas.

3. Cambio de contraseñas

Es importante cambiar las contraseñas de todas las cuentas sensibles (correo electrónico, redes sociales, etc.) desde otro dispositivo que no esté infectado.

4. Documentación

Se recomienda guardar y documentar (capturas de pantalla) los mensajes SMS, los enlaces y el historial de navegación. Esta documentación puede ser esencial en una futura evaluación legal del caso.

5. Presentación de una denuncia policial

Se debe presentar una denuncia en la policía y obtener una confirmación de la misma. Este es a menudo un paso necesario para el proceso de investigación frente a entidades financieras y aseguradoras.

Aspecto legal y resumen

La cuestión de los sitios web fraudulentos y las aplicaciones falsas es una de las más complejas en la ley bancaria moderna. La lucha legal examina a menudo el equilibrio entre los deberes de seguridad de la institución y la responsabilidad del usuario.

Es importante saber: se pueden examinar opciones legales para la recuperación de fondos, y la posibilidad de ello depende en gran medida de las circunstancias específicas de cada caso. La pregunta central será a menudo si el sistema proporcionó protección suficiente frente a la sofisticación de los estafadores.

Durante sus años de trabajo profesional, el abogado Zion Bahloul ha encontrado casos diversos en los que la pérdida financiera se acompañó de sentimientos difíciles. El objetivo es convertir la impotencia en conocimiento legal y conciencia. La protección digital combina la vigilancia ante las señales de advertencia junto con la defensa de los derechos legales a su disposición.

En el próximo capítulo, examinaremos el mundo del Deepfake —cuando los estafadores ya no solo falsifican sitios web, sino la voz y el rostro de las personas en las que más confía.