Capítulo 63: Suplantación de identidad de la Agencia Tributaria y de instituciones gubernamentales: cuando el Estado se convierte en un arma en manos del estafador

A lo largo de mis años de ejercicio profesional como abogado y notario, he acompañado a muchas personas en sus momentos más difíciles. He encontrado numerosos casos de víctimas de delitos que perdieron sus bienes, su confianza en los demás y, a veces, incluso el deseo de seguir luchando. Pero existe un tipo específico de fraude que despierta una indignación particular, uno que va más allá de la conmoción habitual ante el hecho delictivo. Se trata de estafas en las que el delincuente se reviste con la toga del soberano: el Estado.

Cuando una persona recibe un mensaje del banco, puede sospechar. Cuando recibe una oferta de inversión «prometedora», puede dudar. Pero cuando recibe una comunicación de la Agencia Tributaria, de la Seguridad Social o de un ministerio, algo en su mecanismo natural de defensa se bloquea. Se trata de un «contrato social» no escrito: tememos al Estado, respetamos su autoridad y, sobre todo, tememos tener problemas con él. El estafador digital lo sabe. No solo roba dinero; roba la autoridad institucional para paralizar el criterio de la víctima.

En este capítulo analizaremos las profundidades de una de las estafas más comunes y crueles de la era digital: la suplantación de identidad de instituciones públicas. Entenderemos cómo la psicología de la obediencia actúa a favor del criminal, examinaremos el marco legal de la responsabilidad de los bancos y de las emisoras de tarjetas de crédito, y aprenderemos a distinguir entre una solicitud de pago legítima y una sofisticada trampa de miel (o trampa de miedo).

El "pequeño ciudadano" frente al aparato burocrático

¿Por qué la suplantación de identidad de la Agencia Tributaria tiene tanto éxito? La respuesta reside en la compleja relación entre el ciudadano y el Estado. Para la mayoría de nosotros, el encuentro con las autoridades fiscales es un evento que provoca ansiedad. Las leyes fiscales son complejas, los términos son técnicos y ajenos, y las sanciones por incumplimiento se perciben como particularmente intimidantes. El estafador se introduce precisamente en ese vacío de incertidumbre y miedo.

Existen dos formas principales en las que opera el suplantador gubernamental: el «palo» y la «zanahoria». El «palo» llega en forma de aviso sobre una deuda urgente, un embargo inminente o una multa por falta de declaración. Aquí, el motor es la presión. La «zanahoria» es más sofisticada: un mensaje sobre una «devolución de impuestos» que espera al ciudadano. La euforia de una pequeña «victoria» sobre el sistema puede llevar a veces a una acción menos meditada, y la víctima se apresura a ingresar datos personales y detalles de su tarjeta de crédito para «recibir el dinero».

Precisamente, los esfuerzos del Estado por hacer accesibles sus servicios digitalmente (la iniciativa "Israel Digital", el portal Gov.il y las plataformas de pago) son los que han proporcionado a los estafadores la infraestructura visual perfecta. Copian el logotipo, los colores y las fuentes exactas, creando una apariencia engañosa que es muy difícil de desmentir con un vistazo rápido a la pantalla del teléfono.

El siguiente escenario es un ejemplo didáctico basado en patrones de fraude comunes. Los personajes y eventos son solo para fines ilustrativos.

El caso de Dalia: un sueño sobre un reembolso convertido en pesadilla económica

Dalia (nombre ficticio), propietaria de un pequeño estudio de flores, estaba en medio de un día de trabajo intenso. Su teléfono vibró sobre la mesa y en la pantalla apareció un mensaje SMS cuyo remitente aparecía identificado como "IL-TAX".

"Hola Dalia, se ha determinado que tienes derecho a una devolución de impuestos por un total de 2,450 NIS por el año fiscal anterior. Para recibir el reembolso directamente en tu cuenta, por favor actualiza los detalles de tu medio de pago en el enlace adjunto: https://gov-il-tax-refund.top/login"

"Por fin algo me sale bien", pensó Dalia. Recordaba haber oído hablar anteriormente sobre el derecho a devoluciones, y la cifra le pareció razonable. Hizo clic en el enlace. La página que se abrió parecía idéntica al sitio web gubernamental. Tenía el emblema del Estado, enlaces a "Contáctenos" e "Información al ciudadano", y una sensación de total fiabilidad.

A Dalia se le pidió que ingresara su número de identificación, fecha de nacimiento y, posteriormente, los detalles de su tarjeta de crédito, incluido el código CVV del reverso de la tarjeta, "para fines de verificación y transferencia del abono". Escribió los datos rápidamente, confirmó y recibió el mensaje: "Tu solicitud ha sido recibida y será procesada en un plazo de 3 días hábiles. Gracias".

La sonrisa de Dalia desapareció dos horas después. Mientras trabajaba, comenzaron a llegar mensajes SMS de la compañía de tarjeta de crédito sobre compras y retiros de efectivo significativos realizados en su cuenta. El corazón de Dalia se desplomó. Intentó llamar a la compañía de crédito, pero con cada minuto que pasaba, se realizaban más operaciones en la cuenta. Para cuando se bloqueó la tarjeta, se había causado un grave daño financiero de decenas de miles de shekels, fondos destinados al funcionamiento cotidiano de su negocio.

En un escenario así, una persona puede sentir una gran culpa y preguntarse cómo cayó en una trampa aparentemente tan clara. Sin embargo, es importante entender que no se trata de un simple error, sino del resultado de la ingeniería social en su máxima expresión. Los estafadores aprovecharon la carga de trabajo diaria, la confianza en las instituciones del Estado y el deseo humano básico de recibir lo que le corresponde al ciudadano.

El análisis jurídico: ¿Es posible explorar opciones para la recuperación de fondos?

En tales casos, la lucha legal puede llevarse a cabo en dos frentes: contra los criminales (a quienes suele ser difícil localizar) y contra la institución financiera: el banco o la compañía de crédito. Aquí es donde entra en juego la Ley de Servicios de Pago, 2019.

La pregunta central es si el evento se considera un "uso indebido" del medio de pago. La ley establece que si una persona no autorizada utilizó el medio de pago, el cliente puede obtener una protección significativa. Sin embargo, hay una excepción: si se determina que el cliente entregó sus datos con "negligencia grave", la responsabilidad puede recaer sobre él.

En escenarios similares, las compañías de crédito pueden argumentar que proporcionar los detalles en un sitio web falso constituye negligencia grave. Por otro lado, se puede examinar si la institución financiera cumplió con el deber de diligencia reforzado que se le impone. ¿Detectaron los sistemas un patrón de compra inusual? ¿Se realizó una autenticación doble (Autenticación Reforzada de Cliente) antes de compras significativas? El resultado legal depende de las circunstancias específicas de cada caso.

La anatomía de la estafa gubernamental

Para protegerse, debemos entender la técnica. Las estafas de suplantación de autoridades gubernamentales suelen construirse a partir de etapas definidas:

1. Elección de la "marca" gubernamental

Los estafadores eligen instituciones que tienen un contacto financiero directo con el ciudadano:

• Agencia Tributaria: Devoluciones de impuestos, multas o deudas.
• Seguridad Social: Pensiones o actualización de datos para fines de pago.
• Correos de Israel: Avisos sobre paquetes que esperan en aduana y requieren el pago de una tasa.
• Ministerio de Transporte: Avisos sobre multas de tráfico urgentes.

2. Creación de urgencia

El elemento psicológico más crítico es el tiempo. Un mensaje que establece una fecha límite muy corta, como "la cuenta será embargada mañana", hace que la víctima actúe bajo presión y sensación de emergencia, lo que altera el juicio crítico.

3. La falsificación tecnológica - Phishing

Los estafadores utilizan la técnica de Phishing (suplantación de identidad). Construyen un sitio web que imita a Gov.il. A veces utilizan una dirección de dominio muy similar a la original, pero que contiene un pequeño cambio difícil de notar con un vistazo rápido a la pantalla del teléfono.

4. Recolección de información (Harvesting)

El objetivo es una amplia recolección de datos: número de tarjeta de crédito, número de identificación y detalles adicionales. Esta información puede permitir en el futuro realizar acciones adicionales en nombre de la víctima.

La responsabilidad legal: entre la negligencia del cliente y el deber de diligencia del banco

En casos en los que las víctimas de estafas buscan examinar sus opciones, surge a debate la estructura legal que protege al consumidor en Israel.

Ley de Servicios de Pago y la definición de "uso indebido"

La ley limita en cierta medida la responsabilidad del cliente por el uso realizado de su medio de pago sin su autorización. Sin embargo, el emisor puede intentar probar que existió negligencia por parte del cliente para eximirse de la responsabilidad de reembolsar los fondos.

En estas disputas legales, se puede argumentar que, en un mundo de ingeniería social sofisticada, no siempre se puede esperar que el ciudadano identifique cada intento de estafa. La jurisprudencia examina el "deber de diligencia reforzado" de las instituciones financieras: si deberían haber detectado una actividad inusual y detenerla en tiempo real. Si la institución financiera falló en la identificación de patrones sospechosos, es posible que se encuentre una causa para atribuirle responsabilidad.

¿Existe responsabilidad de la autoridad gubernamental?

Esta pregunta surge a menudo. Por regla general, el Estado no asume la responsabilidad por los actos de los estafadores que falsifican su nombre. Sin embargo, se puede examinar si la autoridad cumplió con su deber de advertir al público adecuadamente sobre oleadas de fraude conocidas. Se trata de un análisis jurídico complejo sobre los deberes de diligencia de las autoridades gubernamentales.

¿Cómo actúa el Estado realmente? La diferencia entre la verdad y la falsificación

Comprender los procedimientos de trabajo de las instituciones gubernamentales es una herramienta de defensa central:

1. Extensión del dominio

Un sitio web gubernamental oficial en Israel terminará siempre con la extensión .gov.il. Las direcciones que terminen en otras extensiones deberían despertar sospechas inmediatas.

2. Solicitud de detalles de tarjeta de crédito

Autoridades como la Agencia Tributaria o la Seguridad Social no suelen solicitar detalles de tarjeta de crédito por SMS para fines de "recepción de un reembolso". Los abonos se realizan usualmente de forma directa a la cuenta bancaria registrada en el sistema. La actualización de datos sensibles se realiza por lo general a través del área personal segura que requiere una identificación gubernamental oficial.

3. Comunicación personalizada

Los mensajes oficiales tienden a incluir una comunicación con nombre completo, aunque debe recordarse que los estafadores también pueden obtener esta información en ciertos casos.

4. El área personal gubernamental

Ante cualquier duda, se recomienda no hacer clic en enlaces en los mensajes, sino ingresar de forma independiente al sitio web www.gov.il y verificar los detalles en el área personal segura. Allí aparecerán las solicitudes de pago o los derechos reales.

¿Qué hacer cuando surge una sospecha de estafa?

En caso de caer en una trampa, la velocidad de reacción es de importancia crucial:

1. Cancelación inmediata: Llamada urgente al centro de atención de la compañía de tarjeta de crédito o del banco para la cancelación del medio de pago.
2. Documentación: Guardar capturas de pantalla del mensaje, el sitio web y los movimientos sospechosos en la cuenta para fines probatorios.
3. Denuncia policial: Presentación de una denuncia (se puede hacer también de forma online), que constituye una etapa esencial en la aclaración ante las instituciones financieras.
4. Seguridad de la información: Cambio de contraseñas en sitios sensibles si se proporcionó información identificativa.
5. Examen de opciones legales: En caso de haberse causado un daño significativo y la institución financiera se niega a restituir los fondos, se recomienda examinar las herramientas legales existentes según las circunstancias.

Resumen: vigilancia frente a la suplantación

La estafa de suplantación de autoridades es una explotación cínica de la confianza en el sistema gubernamental. A medida que los servicios públicos se vuelven más digitales, se requiere una mayor vigilancia. Es importante recordar que el Estado suele operar a través de vías reguladas y permite un tiempo de respuesta adecuado, y no requiere detalles sensibles por vías no seguras.

El mejor arma es el conocimiento y la posposición de la respuesta inmediata a la presión creada por los estafadores. En el próximo capítulo analizaremos otros patrones de acción basados en la creación de una sensación de urgencia artificial.

Señales de advertencia (Red Flags)

• Mensaje de una entidad gubernamental que incluye un enlace directo para ingresar detalles de pago.
• Dirección de sitio web que no termina en .gov.il.
• Uso de lenguaje amenazante o promesa de reembolso de dinero rápido a cambio de la entrega de datos.
• Solicitud de código de seguridad (CVV) para la recepción de un abono financiero.
• Redacciones que no son oficiales o errores lingüísticos.

Qué hacer de inmediato

• Evitar hacer clic en el enlace o ingresar datos.
• Verificación independiente en el área personal del sitio web gubernamental oficial.
• En caso de divulgación de datos: bloqueo del medio de pago y reporte al centro de seguridad del banco.
• Presentación de una denuncia oficial ante la policía.

Aspecto legal

• Ley de Servicios de Pago: Constituye un marco para la protección del cliente en casos de uso indebido.
• Deber de diligencia: Examen de la capacidad de la institución financiera para evitar el daño mediante herramientas de monitoreo.
• Limitación de responsabilidad: Examen del derecho del cliente al reembolso de fondos según las circunstancias del caso y el cumplimiento del deber de notificación.