El frau del CEO, també conegut com a estafa del fals directiu, és una modalitat de ciberdelinqüència en què els estafadors suplanten la identitat del màxim responsable d’una empresa per aconseguir que els treballadors efectuïn transferències bancàries fraudulentes. És una pràctica que s’intenta habitualment un cop per setmana a Andorra, segons alerta l’Agència Nacional de Ciberseguretat, i que pot provocar pèrdues econòmiques molt importants en qüestió d’hores.
Els delinqüents contacten habitualment amb empleats dels departaments d’administració o finances i es fan passar pel director general, el president o un alt càrrec de la companyia. Mitjançant correus electrònics, trucades o missatges falsificats, ordenen efectuar pagaments urgents i confidencials a comptes bancaris que controlen els mateixos estafadors.
Per justificar les operacions, acostumen a inventar adquisicions empresarials, pagaments a proveïdors o operacions estratègiques secretes. Prèviament, els criminals poden haver estudiat l’organització de l’empresa per conèixer els seus responsables, les relacions comercials i els procediments interns. L’objectiu és que les instruccions semblin legítimes i que el treballador no sospiti que està davant d’un engany.
Una de les claus d’aquest frau és la pressió psicològica sobre els empleats, als quals s’exigeix rapidesa, discreció i obediència. Els delinqüents aprofiten l’autoritat que representa un directiu per evitar que es comprovi l’autenticitat de les ordres. Quan la víctima efectua la transferència, els diners acaben en comptes bancaris controlats pels ciberdelinqüents, sovint situats a l’estranger.
Una estafa que es repeteix cada setmana a Andorra
El responsable de l’Agència Nacional de Ciberseguretat, Jordi Ubach, alerta que aquesta modalitat de frau s’ha convertit en una pràctica habitual al Principat. La seva rendibilitat, el baix cost de les operacions i la facilitat creixent per automatitzar els atacs expliquen que els ciberdelinqüents hi recorrin cada vegada més.
«Generalment cada setmana hi ha un frau, que es diu el frau del CEO; és a dir, és molt rendible, amb uns costos molt baixos. Al final, només has de disposar de tecnologia i cada vegada de menys coneixements, perquè cada vegada està tot més automatitzat, i després hi ha la impunitat que representa», explica Ubach en declaracions a Andorra Televisió.
L’estafa no sempre consisteix a fer-se passar directament pel màxim responsable d’una empresa. Una altra de les variants consisteix a interceptar les comunicacions entre un client i un proveïdor per modificar les dades bancàries d’una factura o d’un pagament pendent.
Els delinqüents aconsegueixen introduir-se en una conversa comercial real i, en el moment oportú, comuniquen un suposat canvi de número de compte bancari. Si l’empresa no verifica la modificació, acaba transferint els diners als estafadors en lloc de pagar al proveïdor legítim.
Quatre hores decisives per intentar recuperar els diners
Un dels aspectes més preocupants d’aquest tipus d’estafa és la rapidesa amb què desapareixen els diners. L’Agència Nacional de Ciberseguretat adverteix que el marge per reaccionar és extraordinàriament reduït i que qualsevol retard pot fer impossible recuperar les quantitats transferides.
«Moltes vegades són diners perduts, perquè compta que aquests diners estan màxim 12 hores dins el compte corrent. A partir d’aquí, s’utilitzen el que se’n diuen mules, persones que els fan treure diners, i llavors els diners desapareixen. Tot el que no es pugui fer les primeres quatre hores és totalment perdut», assegura Jordi Ubach.
Les anomenades «mules bancàries» són persones utilitzades per rebre, retirar o transferir els diners procedents de les estafes. Aquest mecanisme permet moure ràpidament els fons entre diferents comptes i dificulta enormement el seguiment de les operacions.
Per aquest motiu, els experts insisteixen que, davant qualsevol sospita, cal contactar immediatament amb l’entitat bancària per intentar bloquejar la transferència i comunicar els fets a la Policia.
Les petites empreses, especialment vulnerables
L’Agència Nacional de Ciberseguretat considera que les grans empreses, els bancs i les organitzacions amb més recursos disposen habitualment de sistemes de protecció més desenvolupats. En canvi, les petites empreses tenen més dificultats per dedicar temps, personal i pressupost a prevenir els ciberatacs.
Una botiga d’esports, una pastisseria o un petit negoci comercial acostumen a concentrar els esforços en l’activitat quotidiana i no sempre disposen de protocols específics per verificar les operacions bancàries o detectar intents de suplantació.
Tanmateix, Jordi Ubach insisteix que protegir-se d’aquestes estafes no requereix necessàriament grans inversions econòmiques. Sovint, la principal millora consisteix a modificar els procediments interns i incorporar hàbits bàsics de seguretat.
«Protegir les dades, activar el doble factor d’autenticació, utilitzar dispositius que estiguin actualitzats, no connectar-se a xarxes públiques obertes. Moltes vegades és més la gestió del canvi que no la part pressupostària», explica el responsable de l’agència.
Entre les mesures preventives més importants hi ha comprovar per telèfon qualsevol canvi de compte bancari d’un proveïdor, verificar les ordres de pagament extraordinàries i establir sistemes de doble autorització per a les transferències importants.
Un negoci criminal cada vegada més automatitzat
El creixement d’aquestes estafes està relacionat amb la progressiva professionalització de la ciberdelinqüència. Les eines tecnològiques permeten preparar atacs amb menys coneixements especialitzats, automatitzar comunicacions fraudulentes i dirigir-se simultàniament a un gran nombre d’empreses.
Segons Ubach, les xifres del cibercrim continuen augmentant i aquesta activitat s’ha convertit en una de les principals fonts d’ingressos de la delinqüència internacional.
Andorra disposa d’empreses especialitzades en ciberseguretat que ofereixen serveis de protecció als negocis, però el sector també pateix dificultats per trobar professionals qualificats.
L’advertiment de l’Agència Nacional de Ciberseguretat és especialment rellevant per al teixit empresarial andorrà: una simple ordre de transferència aparentment legítima pot acabar provocant pèrdues de milers d’euros. I, quan els diners ja han sortit del compte, el temps es converteix en el principal enemic de les víctimes.