La Policía Nacional ha arrestado en Torrejón de Ardoz a siete individuos implicados en una red dedicada a estafas bancarias mediante el envío masivo de mensajes SMS fraudulentos ('smishing'), la suplantación de entidades financieras en Internet ('phishing') y llamadas telefónicas en las que se hacían pasar por empleados bancarios ('vishing').
Los detenidos enviaban mensajes masivos en los que se hacían pasar por gestores bancarios y por la propia página web de la entidad financiera. Durante las llamadas telefónicas, mientras mantenían a la víctima en línea, los estafadores realizaban operaciones ilícitas en la banca digital utilizando los códigos que les proporcionaba la persona afectada.
Estas siete personas están señaladas como presuntos integrantes de una organización criminal y se les imputan delitos de estafa, blanqueo de capitales y acceso ilícito a sistemas informáticos. Todos ellos han sido puestos a disposición judicial.
La investigación se inició a comienzos de septiembre tras detectar la actividad de esta red, que operaba no solo en la Comunidad de Madrid, sino también en otras regiones del país, según ha comunicado la Jefatura Superior de Policía de Madrid.
El grupo perpetraba estafas digitales mediante el envío masivo de SMS y la suplantación de gestores y portales web bancarios. El análisis de la investigación reveló que la organización contaba con una "estructura jerárquica definida" y funciones "claramente diferenciadas".
La estructura del grupo estaba compuesta por varios niveles. En la cúspide se encontraban los líderes y ejecutores materiales, quienes poseían amplios conocimientos informáticos; a continuación, los captadores y recaudadores, responsables de identificar y reclutar nuevos miembros; y finalmente, las llamadas 'mulas', que cedían sus cuentas bancarias para recibir los fondos obtenidos de forma ilícita.
El procedimiento utilizado por la organización consistía en enviar un SMS a la víctima alertando sobre una supuesta incidencia grave en su cuenta bancaria, incluyendo un enlace fraudulento, técnica conocida como 'smishing'.
Al acceder al enlace, la víctima era redirigida a una página web que imitaba la de su banco, mediante un método denominado 'phishing'. Posteriormente, recibía una llamada de un individuo que se hacía pasar por empleado de la entidad y solicitaba datos personales, práctica conocida como 'vishing'.
A pesar de que los estafadores tenían acceso a la banca digital de la víctima, la normativa vigente exige un sistema de doble verificación para operaciones superiores a las habituales. En este caso, se empleaba un código OTP ('One Time Password'), una clave única y temporal enviada por SMS para cada transacción.
Mientras la víctima permanecía en comunicación Telefónica con los delincuentes, estos realizaban movimientos fraudulentos y solicitaban los códigos de verificación, consumando así la estafa.