Capítulo 73: Suplantación de identidad del director general: Cuando el jefe solicita una transferencia urgente

A lo largo de los años de trabajo profesional de un abogado que representa a víctimas de fraudes complejos, se pueden observar muchos patrones, pero parece que no hay ninguno más sofisticado y humillante que el "Fraude del CEO" (CEO Fraud). Si en los capítulos anteriores tratamos sobre intrusiones tecnológicas o fraudes al consumidor, aquí entramos en el ámbito de la psicología organizacional. Este es el lugar donde la jerarquía de oficina, el respeto al superior y el deseo de demostrar eficiencia se convierten en armas en manos de un estafador experto.

El fraude del CEO no requiere necesariamente un código de piratería sofisticado. Se basa en una profunda comprensión de la naturaleza humana. Los estafadores no solo "hackean" el ordenador; intentan "hackear" la mente del empleado. Aprovechan la presión, la urgencia artificial y la autoridad para lograr que una persona realice una acción que podría costar a la empresa sumas astronómicas. En conversaciones con directores financieros después de un incidente de este tipo, la primera frase que se escucha suele ser: "Parecía tan real, no tenía motivos para sospechar".

El siguiente escenario es un ejemplo educativo basado en patrones de fraude comunes. Los personajes y eventos están destinados únicamente a la ilustración.

La mañana en que el cielo cayó sobre "Future Technologies"

Jueves, 16:30 horas. Dana, contable en la empresa "Future Technologies" –una empresa mediana que fabrica componentes para la industria automotriz– ya había comenzado a cerrar la semana. Las oficinas comenzaban a vaciarse y ella planeaba salir temprano. Dana es una empleada minuciosa y aguda, que conoce bien la actividad financiera de la empresa.

El sonido de "ding" del correo interrumpió sus pensamientos. El remitente: "Eitan - CEO". Eitan es el fundador y director general de la empresa. Esa semana se encontraba en una conferencia profesional en Alemania.

Asunto: Confidencial y urgente – adquisición estratégica.

"Dana", decía el correo, "estoy en medio de una negociación muy delicada aquí en Alemania. Estamos a punto de cerrar la compra de una patente de una pequeña empresa local antes de que nuestros competidores pongan sus manos sobre ella. El asunto debe permanecer bajo absoluta confidencialidad hasta el domingo, ni siquiera los vicepresidentes lo saben. Necesito que realices una transferencia urgente de 280.000 euros a la cuenta de fideicomiso de los abogados alemanes. Tiene que salir hoy mismo para que el trato no se malogre. No me llames, estoy en reuniones a puerta cerrada con su junta directiva. Confírmame cuando se haya realizado".

Dana dudó. Por un lado, Eitan nunca le había pedido algo así por correo. Por otro lado, sonaba acorde con su estilo: conciso y autoritario. El correo provenía de una dirección que parecía idéntica a la suya, y los detalles sobre la conferencia en Alemania eran precisos. Quiso llamarlo, pero él escribió explícitamente "no me llames".

Introdujo los detalles de la cuenta alemana en el sistema bancario. El banco pidió confirmación. Miró el correo de nuevo y vio el logotipo familiar de la empresa. Hizo clic en "Aceptar".

El domingo por la mañana, Eitan entró en la oficina. "¿Qué tal estuvo Alemania?", preguntó Dana, "¿salió todo bien con la adquisición?". Eitan la miró con cara de confusión. "¿Qué adquisición, Dana? La conferencia era puramente profesional".

En ese momento quedó claro el fraude. "Ese no es mi correo", dijo él. La dirección era casi idéntica, pero le faltaba una letra. La firma era una captura de pantalla. La suma de dinero había desaparecido.

La anatomía del fraude: ¿Por qué funciona?

El análisis de tales casos muestra una combinación de ingeniería social y tecnología simple. A veces, los estafadores realizan una recopilación de información previa: siguen las redes sociales de los ejecutivos, aprenden sus fechas de viaje, su estilo de escritura y adquieren un dominio (dirección web) casi idéntico al de la empresa. Una diferencia de una sola letra que un ojo humano estresado podría no detectar.

El componente crítico es la autoridad y la urgencia. Los análisis psicológicos muestran que los seres humanos pueden suspender su juicio crítico cuando reciben una orden de alguien percibido como una figura de autoridad. Cuando un CEO pide algo "urgente y confidencial", el empleado puede sentirse partícipe del secreto y temer decepcionar o retrasar una transacción importante.

El momento del fraude suele ser los jueves por la tarde o vísperas de festivos. Son momentos en los que la concentración disminuye y hay presión para terminar las tareas. Además, las transferencias internacionales durante el fin de semana pueden otorgar a los estafadores un tiempo valioso antes de que la empresa descubra la estafa.

La responsabilidad legal: Análisis de las opciones

Cuando se produce un daño económico, surge la cuestión de la responsabilidad legal entre las partes involucradas: la empresa, el banco y el empleado.

1. Responsabilidad del banco: El deber de diligencia

En el Estado de Israel, los bancos tienen un deber de diligencia hacia sus clientes. En un análisis legal general, cuando se realiza una operación inusualmente drástica en una cuenta –por ejemplo, una transferencia de una gran suma a una cuenta en el extranjero que no era conocida anteriormente– se puede evaluar si el banco debería haber detectado "señales de alerta".

Sin embargo, la batalla legal contra el banco en estos casos es compleja. El banco puede argumentar que el cliente autorizó la transferencia voluntariamente, utilizando medios de identificación válidos. Para evaluar la posibilidad de atribuir responsabilidad al banco, se debe examinar si hubo circunstancias sospechosas que el banco ignoró. El análisis legal de casos similares muestra que el banco tiene la obligación de intervenir cuando hay un temor real de fraude, pero el estándar de prueba de negligencia en casos de autorización explícita es un asunto legal de gran peso y el resultado depende de las circunstancias del caso.

2. Responsabilidad del empleado

En muchos casos, surge la pregunta de si es posible atribuir responsabilidad al empleado que realizó la transferencia. El enfoque prevaleciente en la legislación laboral es la protección de los empleados contra errores cometidos de buena fe durante el trabajo. Un empleador generalmente no puede deducir del salario de un empleado sumas de dinero por negligencia, a menos que se demuestre que el empleado actuó con malicia o mala fe extrema. En casos de fraude donde el empleado fue engañado, generalmente se le percibe como otra víctima del incidente.

El trato con la compañía de seguros

Durante el manejo legal de tales casos, se examinan las pólizas de seguro de la empresa, tales como el seguro de "responsabilidad profesional" o "riesgos cibernéticos". Las compañías de seguros a veces pueden argumentar que se trata de un error humano y no de un evento cibernético cubierto por la póliza. Existen pólizas que incluyen una cláusula explícita de "Fraude de Ingeniería Social". La capacidad de obtener una indemnización depende en gran medida de la redacción precisa de la póliza y de las circunstancias tecnológicas de la suplantación.

¿Qué se puede hacer en el momento del descubrimiento? (Acciones posibles)

En caso de sospecha de fraude, cada segundo puede ser significativo:

1. Contactar al banco emisor

Se puede intentar solicitar una cancelación (Recall) de la transferencia. Si el dinero aún no ha pasado por toda la cadena de bancos intermediarios, existe cierta posibilidad de detenerlo.

2. Denuncia ante las autoridades

Presentar una denuncia ante la policía es un paso necesario para el manejo ante los bancos y las compañías de seguros.

3. Contactar al banco receptor en el extranjero

En algunos casos, dirigirse directamente al departamento de cumplimiento del banco receptor en el extranjero y alertar sobre el fraude puede conducir a una congelación temporal de la cuenta.

4. Documentación

Es importante guardar el correo electrónico, sus encabezados (Headers) y cualquier otra información digital que pueda servir para una investigación o proceso judicial.

Medidas de prevención recomendadas

Para reducir el riesgo de ser víctima de estos fraudes, se recomienda adoptar procedimientos claros en la organización:

• Procedimiento de "confirmación de voz": Establecer una regla según la cual cualquier transferencia superior a una suma determinada, o cualquier cambio en los datos de la cuenta, requiere una verificación telefónica mediante una llamada de vuelta al número conocido del solicitante.
• Firma mancomunada: Definir el requisito de aprobación por parte de dos autorizados de firma diferentes para cada transferencia bancaria.
• Marcado de correos externos: Configurar el sistema de correo electrónico para que alerte sobre correos que provienen del exterior de la organización.
• Capacitación y simulacros: Aumentar la conciencia entre los empleados sobre los tipos de fraude y realizar simulacros periódicos.

Resumen y perspectiva legal

La estafa del CEO ilustra cómo la manipulación psicológica utiliza la tecnología para lograr resultados criminales. En los procedimientos legales en esta área, surge a menudo la cuestión de la "culpa concurrente". Los tribunales evalúan si la empresa adoptó un nivel de diligencia razonable y si las instituciones financieras actuaron según los estándares esperados de ellas.

En muchos casos, la recuperación total de los fondos es un desafío significativo, especialmente en fraudes internacionales. La mejor protección es una combinación de procedimientos organizacionales estrictos, un seguro adecuado y una conciencia constante. En el próximo capítulo, continuaremos examinando el entorno empresarial y nos centraremos en otras amenazas a los sistemas de correo y pagos de las empresas.

Señales de alerta (Red Flags)

• Urgencia extrema: Presión para realizar una acción de forma inmediata.
• Solicitud de confidencialidad: Orden de no compartir con otros factores dentro de la empresa.
• Desviación del procedimiento: Petición directa que omite la cadena de mando aceptada.
• Dirección de correo con cambio mínimo: Pequeños cambios difíciles de detectar en la dirección del remitente.
• Momento especial: Petición que ocurre cuando el gerente se encuentra fuera de la oficina o en el extranjero.

¿Qué hacer de inmediato?

1. Detener el proceso: No responder al correo sospechoso.
2. Verificación de voz: Establecer contacto telefónico proactivo con el gerente al número conocido.
3. Reporte interno: Actualizar a los factores de seguridad, TI y finanzas de la organización.

Aspecto legal

Desde el punto de vista legal, se puede evaluar el deber de diligencia de la institución financiera y la cobertura del seguro de la empresa. En algunos casos, se puede evaluar una combinación de procesos legales ante el banco y la compañía de seguros con el fin de agotar las posibilidades de recuperación del daño, de acuerdo con las circunstancias específicas del caso.