Te llega un SMS de tu banco. No de un número raro: aparece en la misma conversación donde tu banco te manda siempre los códigos y los avisos de cargos. Dice que se ha activado un dispositivo nuevo en la cuenta de la empresa y que, si no has sido tú, llames de inmediato a un número. ¿Tú llamarías?
Eso es lo que hizo un empresario de Andratx, en Mallorca, el 10 de septiembre. Acabó con 111.000 € menos en la cuenta de su empresa.
Qué pasó
El empresario, de 48 años, llamó al número del mensaje. Le atendieron personas que se presentaron como empleados de su banco. Le dijeron que había que proteger la cuenta y le guiaron para instalar AnyDesk, un programa de control remoto. Es un programa legal, el mismo que usan muchos informáticos para arreglar un ordenador a distancia.
En cuanto lo instaló, los estafadores tomaron el control de su dispositivo. Desde ahí hicieron una transferencia de 111.000 € a una cuenta de un banco de los Países Bajos.
Lo denunció. La Guardia Civil, con ayuda de Europol, consiguió que el banco holandés bloqueara la cuenta de destino. Con una orden europea de embargo y decomiso, el 1 de octubre le devolvieron el dinero entero, menos de un mes después del SMS. Los autores siguen sin detener y la investigación está abierta.
Lo contó Última Hora el 2 de octubre, junto con otros medios de Baleares.
Por qué cuesta tanto verlo
Lo que hace peligroso este engaño es dónde aparece el mensaje. El móvil agrupa los SMS por el nombre del remitente, y ese nombre se puede falsificar. Si el estafador pone el mismo nombre que usa tu banco, su mensaje sale en la misma conversación, justo debajo del último código que te mandó el banco de verdad.
No hay faltas de ortografía ni un número extraño que te ponga en guardia. Y el mensaje te mete prisa con algo que da miedo de verdad: alguien ha entrado en tu cuenta.
A partir de ahí, todo lo demás parece lógico. Llamas tú, así que piensas que hablas con tu banco. Te tratan con educación, conocen el nombre de la entidad y te piden algo que suena a seguridad: “vamos a proteger la cuenta”. Y cuando instalas el programa, ya no hace falta que te pidan ninguna clave. Lo ven todo y lo hacen ellos.
¿Te afecta?
Si en tu empresa alguien mueve la cuenta del banco desde el móvil o desde el ordenador, sí. Da igual que seas tú, tu socio o la persona que lleva la administración. No hace falta que hayan entrado en tus equipos ni que tengas un virus. Basta con que una persona se crea el mensaje.
No es un caso aislado. En septiembre se supo que la Guardia Civil había detenido en Aragón a 29 personas de una red que había estafado más de 1 millón de euros a 43 víctimas con el mismo guion: un SMS falso del banco avisando de un cargo y una llamada después. De ese dinero, los agentes recuperaron 256.708 €. El empresario de Andratx lo recuperó todo. No siempre sale así.
Qué hacer, sea quien sea el que lleva tu informática
Hay una regla que vale para todos y que conviene que sepa cualquiera que toque la cuenta de la empresa: tu banco no te va a pedir que llames al número de un SMS ni que instales un programa en tu móvil o tu ordenador. Si te lo piden, cuelga.
- Si te llega un aviso así, no llames al número del mensaje. Llama al número de siempre: el que viene en la parte de atrás de la tarjeta o en la app del banco. Si lo de la cuenta era verdad, te lo dirán ellos.
- Pide a tu banco la verificación reforzada en todos los pagos. Es lo que recomienda la Guardia Civil. Es una barrera más antes de que salga el dinero.
- Cuéntaselo a quien lleve la administración. El mensaje puede llegarle a cualquiera que tenga acceso a la cuenta, no solo al gerente. Con que sepa la regla de arriba, basta.
Y según quién lleve los ordenadores de la empresa:
- Si te encargas tú, mira qué programas de control remoto hay instalados en los equipos (AnyDesk, TeamViewer y similares) y quién los usa. Si nadie sabe para qué están, sobran. Y piensa si cualquiera de la oficina puede instalar programas sin pedir permiso.
- Si tienes informático en la empresa, pregúntale si un empleado podría instalar un programa de control remoto sin que él se entere. Lo normal es que lo tenga controlado, pero es una pregunta que te deja tranquilo.
- Si te lo lleva una empresa de fuera, llámala y hazle la misma pregunta. Que te confirme qué programas de acceso remoto hay en tus equipos y quién puede instalar uno nuevo.
Si ya te ha pasado
Aquí cuenta cada hora. Lo que salvó al empresario de Andratx fue que la cuenta de destino se bloqueó antes de que el dinero desapareciera.
- Llama a tu banco por el número de siempre y pide que bloqueen las tarjetas, la banca online y cualquier medio de pago.
- Denúncialo en la Guardia Civil o la Policía Nacional cuanto antes.
- Impugna los cargos que no has hecho ante tu banco y guarda todos los datos del pago: importe, fecha, cuenta de destino, el SMS y el número al que llamaste.
- Desinstala el programa de control remoto del equipo y pide que lo revise alguien de confianza antes de volver a usarlo para el banco.
Un mensaje bien hecho se lo puede creer cualquiera, y más si llega a una hora mala y con prisa. Lo que de verdad protege a una empresa es que todo el que toca la cuenta sepa una sola cosa: el banco no te hace llamar a un número de un SMS ni instalar nada. Si te lo piden, cuelga y llama tú.
