Control remoto: cuando el estafador toma el mando

Su pantalla es su último bastión. En muchos sentidos, es una extensión moderna de su mente y de su privacidad. Sobre ese cristal iluminado gestiona su vida sentimental, la relación con sus hijos, su salud y, por supuesto, todo su sistema financiero. Cuando permitimos que alguien más "entre" en nuestra pantalla, no solo le estamos dando acceso a nuestros archivos; le estamos entregando la llave maestra de nuestra alma digital. En capítulos anteriores tratamos llamadas telefónicas y mensajes de texto sofisticados, pero aquí, en el capítulo 14, pasamos a otro nivel de intrusión: el acceso remoto. Es la etapa en la que el estafador deja de pedirle que realice acciones y comienza a ejecutarlas él mismo, ante sus ojos atónitos.

El control remoto es el "caballo de Troya" de la era digital. No aprovecha una debilidad en los servidores del banco ni una brecha en los sistemas de la entidad emisora de tarjetas de crédito. Aprovecha la disposición humana más básica: la confianza en una figura de autoridad que ofrece ayuda técnica. En este capítulo entenderemos cómo funciona esta magia negra, por qué es tan efectiva y qué dice la ley israelí sobre el momento en que pulsó el botón de "Permitir" (Allow).

El siguiente escenario es un ejemplo educativo basado en patrones de fraude comunes. Los personajes y eventos están destinados únicamente a fines ilustrativos.

La pesadilla de Yoram: cuando el cursor comienza a moverse solo

Yoram, un ingeniero mecánico jubilado de 67 años de Givatayim, siempre fue considerado el "tecnológico" de su círculo. Él es quien configura el router para todos, sabe utilizar las aplicaciones bancarias y nunca había caído en simples mensajes de phishing. Pero un martes, a las 16:30, sonó su teléfono. En la pantalla apareció el número conocido del centro de atención al cliente de su banco.

"Hola Yoram, habla Asaf del departamento de ciberseguridad del banco", dijo la voz al otro lado. La voz era autoritaria, tranquila, pero con un toque de urgencia profesional. "Estamos detectando actualmente un intento de transferencia de 14.500 NIS desde su cuenta a una cuenta en el extranjero. ¿Ha realizado usted tal operación?"

El corazón de Yoram dio un vuelco. "¡En absoluto! Estoy en casa, no he tocado la cuenta".

"Lo imaginaba", respondió Asaf con una calma tranquilizadora. "Los estafadores han instalado un virus tipo 'troyano' en su ordenador. Para que podamos detener la transferencia y limpiar la cuenta, necesito que abra el ordenador. Lo guiaré en la instalación de un 'software de protección temporal' que nos permitirá bloquear al atacante en tiempo real".

Yoram corrió a su estudio. "¿Qué debo hacer?"

"Ingrese a un sitio llamado AnyDesk", le instruyó Asaf. "Es una herramienta de trabajo segura del banco. Descargue el archivo pequeño y dígame el número que aparece en su pantalla".

Yoram conocía el nombre AnyDesk. Sabía que era un software legítimo utilizado por técnicos. Eso lo tranquilizó. Descargó el programa, leyó los nueve dígitos y presionó "Aceptar" cuando apareció la notificación. En ese momento, Asaf –o quien se hiciera pasar por él– obtuvo control total sobre el ordenador de Yoram.

"Ahora, Yoram, no toque el ratón. Estoy escaneando el sistema", dijo Asaf. Yoram se sentó frente a la pantalla y observó el prodigio. El cursor de su ratón comenzó a moverse rápidamente. Se abrían y cerraban ventanas. Asaf entró en el sitio web del banco y pidió a Yoram que introdujera su contraseña "para que podamos ingresar al entorno seguro del banco". Yoram, convencido de que estaba dentro de un incidente de seguridad gestionado, introdujo la contraseña.

"Veo el intento de intrusión", dijo Asaf dramáticamente. "Intentan retirar el dinero. Debo transferir su saldo a una 'cuenta de protección' temporal del banco hasta que el incidente termine. Verá ahora una transferencia de 50.000 NIS. No se asuste, va a una cuenta propiedad del banco a su nombre".

Yoram vio cómo se completaba la pantalla de transferencia. Vio los detalles del beneficiario –un nombre que no conocía, pero Asaf le explicó que era el "fideicomisario de seguridad del banco"–. Recibió un código por SMS y se lo leyó a Asaf, porque "así es como el sistema confirma que la operación es realizada por el cliente y no por el intruso".

Solo una hora después de que terminó la llamada, cuando el silencio volvió al estudio, Yoram sintió que algo no estaba bien. Llamó al número del banco, esta vez por su propia iniciativa. La operadora real del departamento de seguridad le informó que no hubo ningún intento de intrusión previo y que hace poco tiempo se realizó una transferencia de 50.000 NIS desde su cuenta.

Yoram sintió náuseas. No solo perdió su dinero; permitió una intrusión en su espacio personal, observó lo que ocurría e incluso proporcionó los códigos necesarios para completar la operación.

El mecanismo de la estafa: la psicología detrás del control remoto

La estafa de control remoto (Remote Access Scam) es una de las más complejas, ya que elimina la distancia digital entre la víctima y el atacante. Se apoya en tres pilares principales: el uso de herramientas legítimas, la creación de autoridad tecnológica y la explotación de la presión mental.

En primer lugar, los atacantes utilizan programas como AnyDesk, TeamViewer o Zoho. Estos no son programas maliciosos (Malware) en el sentido clásico. Son herramientas de trabajo totalmente legales utilizadas por muchos profesionales. Este hecho permite a los estafadores eludir la mayoría de los programas antivirus, ya que el software en sí está "limpio". El problema no está en el software, sino en quién sostiene el volante.

En segundo lugar, existe el elemento del "espectáculo". Cuando el estafador controla la pantalla, realiza acciones que al espectador lego le parecen muy complejas. Abre el "Símbolo del sistema" (la pantalla negra con letras blancas), ejecuta comandos triviales como "tree" o "dir", que cargan largas listas de archivos en la pantalla, y le explica a la víctima que estas son señales de virus. La víctima, que no entiende de código, puede quedar impresionada por la "profesionalidad" y la supuesta gravedad de la situación.

El paso crucial es la "distracción visual". Mientras el estafador realiza la transferencia de dinero en el sitio web del banco en una ventana, puede oscurecer la pantalla de la víctima o abrir otra ventana grande que oculte la actividad. A veces, convence a la víctima de que las acciones observadas son parte de un proceso de seguridad. La brecha entre lo que el ojo ve y lo que la mente interpreta es el lugar donde el dinero puede desaparecer.

¿Por qué funciona incluso con personas inteligentes?

Durante sus años de ejercicio profesional, el abogado Behalul se ha encontrado con muchas consultas donde surge la pregunta: "¿Cómo es que no vio que estaban transfiriendo dinero?". La respuesta a menudo está relacionada con el concepto de "ceguera atencional". Cuando una persona se encuentra en un estado de estrés debido a una amenaza contra su dinero, su atención se reduce. Puede estar escuchando las instrucciones de la voz autoritaria al teléfono e ignorar las señales de alerta. El estafador actúa como un mediador dentro del caos que él mismo creó.

Aspectos legales: ¿Se trata de una "operación sin autorización"?

Aquí llegamos al núcleo de la controversia jurídica que ocupa al sistema judicial. La Ley de Servicios de Pago, de 2019, es nuestro punto de partida. La ley establece que en caso de una "operación de pago por uso indebido", la responsabilidad del cliente es muy limitada y, por lo general, se requiere que la institución financiera considere el reembolso de los fondos.

Sin embargo, en casos de control remoto, a veces se escuchan argumentos de que no se trata de un "uso indebido" clásico, sino de una situación en la que el cliente autorizó la operación. El análisis jurídico a veces se centra en la cuestión de la existencia de "negligencia grave" (Gross Negligence) o el grado de participación del cliente.

Definición de "uso indebido" en la Ley de Servicios de Pago

La ley define el uso indebido como el uso de un medio de pago por parte de alguien que no tiene derecho a ello. Cuando un cliente entrega un código de acceso o un código SMS bajo un falso pretexto, surge la pregunta de si la acción se considera un consentimiento válido. Un análisis jurídico general sugiere que un consentimiento obtenido mediante engaño y en circunstancias de desinformación extrema puede no considerarse un consentimiento válido, aunque examinar las opciones de reembolso de fondos en estos casos puede ser complejo.

La cuestión de la negligencia grave

Al evaluar la exención de responsabilidad, se examina la pregunta de si el cliente actuó con "negligencia grave". Existe una comprensión creciente respecto a la sofisticación de los métodos de "ingeniería social" (Social Engineering). La negligencia grave se analiza como un desprecio flagrante por las normas de precaución elementales, pero cuando se utilizan tecnologías que engañan al cliente sobre la identidad del interlocutor, los límites pueden volverse difusos.

En el marco de la evaluación del caso, se puede comprobar si la institución financiera identificó una actividad inusual, como una entrada desde un nuevo dispositivo o una dirección IP desconocida. La cuestión legal puede centrarse en el deber de cuidado de la institución y en si los sistemas de monitoreo deberían haber detenido la operación.

La responsabilidad de la institución financiera: más que un canal para transferir dinero

En estos casos, el debate jurídico puede trasladarse a la evaluación del funcionamiento de la institución financiera. Estas instituciones financieras poseen sistemas tecnológicos avanzados para detectar patrones de fraude.

Del análisis jurídico de casos similares se desprende que existe la posibilidad de que la responsabilidad de prevenir fraudes no recaiga exclusivamente sobre los hombros del cliente. Si se realiza una operación inusualmente atípica a un nuevo beneficiario inmediatamente después de cambiar la configuración de seguridad, es posible que pueda considerarse una "luz roja". En casos en los que la operación no se detuvo para ser revisada, podrían evaluarse opciones legales relacionadas con la violación del deber de cuidado de la institución hacia el cliente.

Existe un enfoque legal que sugiere que la institución financiera es a veces el "evitador de daños eficiente", ya que posee las herramientas y el conocimiento profesional para detectar y prevenir el robo en determinadas circunstancias.

Señales de alerta: ¿cuándo desconectar el ordenador de la electricidad?

Para reducir el riesgo, es importante conocer las líneas rojas. Estas son señales de alerta basadas en muchos casos analizados a lo largo de los años:

• La iniciativa proviene de ellos: Las instituciones financieras no suelen iniciar contactos solicitando la instalación de programas de control remoto como parte de los procedimientos de seguridad.
• Solicitud de contraseñas o códigos: La petición de leer códigos SMS o introducir contraseñas para un "técnico" es una señal de alerta significativa. El código SMS es a menudo la etapa final en la confirmación de una operación.
• Presión y urgencia: El uso de frases que evocan pánico y urgencia suele estar diseñado para evitar el juicio sereno.
• Ocultamiento: La solicitud de mantener la confidencialidad de la operación ante familiares o empleados de la institución financiera debería despertar sospechas.
• "Cuenta segura": El concepto de "cuenta de protección" o "cuenta segura" no es un concepto bancario estándar para proteger fondos en caso de sospecha de intrusión.

¿Qué hacer si surge la sospecha de que alguien está controlando la pantalla?

Ante una situación de sospecha de intrusión, cualquier acción rápida puede ser significativa:

1. Desconexión inmediata: Desconectar el ordenador de internet (apagando el Wi-Fi o desenchufando el cable de red) para cortar la conexión remota.
2. Contacto con el banco: Iniciativa proactiva de contactar al centro de emergencia del banco para solicitar la congelación de operaciones y el bloqueo del acceso digital.
3. Cancelación de medios de pago: Cancelación de tarjetas de crédito cuyos detalles podrían haber quedado expuestos.
4. Revisión técnica: Abstenerse de utilizar el dispositivo para operaciones sensibles hasta que sea revisado y limpiado por un profesional.
5. Documentación: Registro de los detalles del incidente, horarios y números de teléfono involucrados para el seguimiento del caso.

Aspecto legal: probabilidades de recuperación

La posibilidad de restaurar la situación anterior depende de las circunstancias específicas de cada caso. En situaciones donde surge una demanda de reembolso de fondos, se examinan los siguientes componentes:

1. Cumplimiento de las instrucciones de la normativa

Se evalúa si la institución financiera actuó de acuerdo con las directrices de una gestión bancaria correcta, especialmente en lo referente a los sistemas de monitoreo y gestión de riesgos en tiempo real. Un fallo en la detección de una operación inusual puede constituir un factor legal.

2. La ingeniería social como circunstancia relevante

Existe un enfoque legal que reconoce que una estafa sofisticada que utiliza tecnología de Spoofing (falsificación de número de llamada) puede crear una apariencia de veracidad que engañe incluso a una persona cautelosa. En estos casos, se puede evaluar si el nivel de responsabilidad del cliente varía según las circunstancias.

3. Rapidez de la notificación

La Ley de Servicios de Pago enfatiza la importancia de reportar sin demora. La rapidez de la notificación es un factor significativo al evaluar la posición del cliente y al analizar las probabilidades de recuperación.

En resumen, el control remoto es un fenómeno que aprovecha el desarrollo de la tecnología frente a la conciencia humana. El análisis jurídico en Israel se encuentra en un proceso constante de adaptación a esta realidad. En caso de sufrir una estafa de este tipo, es posible evaluar opciones legales para defender los derechos como herramienta para afrontar la situación, basándose en el conocimiento profesional y la experiencia en el campo.

En el próximo capítulo, trataremos el fenómeno de las transferencias bancarias en cadena, examinaremos cómo se lleva a cabo el vaciado rápido de cuentas y cuáles son las opciones de control en estos casos.