Uno de cada tres delitos cometidos en Cantabria ya es digital
La ciberdelincuencia impacta en la economía cántabra
SMS fraudulentos, falsas ventas online en tiendas como Wallapop, suplantación de identidad o pagos digitales falsificados son algunas de las formas que ha adoptado el crimen en su salto a la nube y que amenazan la seguridad de los ciudadanos. El número de delitos cibernéticos crece tan rápido que en Cantabria ya representan un tercio del total.
Hace tiempo que las empresas se ven sometidas a ataques cibernéticos que bloquean sus archivos de contabilidad, su carpeta de clientes o toda su operativa. Por lo general, exigen un rescate a cambio de desencriptar esta información vital sobre la que la compañía ha perdido el control. Han sido decenas las compañías cántabras afectadas, sin que se pueda saber con detalle el número exacto, porque muchas han optado por pagar los cientos o miles de euros que les reclaman y no han denunciado, para no reconocerse estafadas o porque piensan que el dinero ya es irrecuperable.
El problema solo pasó a ser de conocimiento público cuando el virus informático de estos hackers alcanzó a compañías del tamaño de Telefónica. A partir de ese momento, muchas empresas se disciplinaron a hacer copias de seguridad externas que neutralizan los efectos de estos asaltos, así que los hackers se han visto obligados a buscar otras fuentes de negocio, especialmente, los particulares.
Es difícil encontrar a alguien que no haya recibido un mensaje de texto de una entidad bancaria que resulta no ser tal —pero que lo parece— o que no tenga en la bandeja de entrada correos electrónicos con enlaces a cobros de supuestas facturas o a ofertas que, por excesivamente estupendas, son poco creíbles pero que excitan la curiosidad y cumplen su objetivo: invitar al click y que el receptor acabe cayendo en alguna de las estafas que acechan en el entorno digital.
El desconocimiento, el exceso de confianza y un mal uso de los dispositivos digitales han permitido el rapidísimo avance de esta criminalidad online, tanto que está transformando la casuística del crimen en España y Cantabria no es una excepción.
A pesar de ser una de las regiones más seguras de España, con una cifra de criminalidad casi 9 puntos por debajo de la media nacional, los fraudes en la red se han convertido en un peligro creciente. En los tres primeros meses del año, los delitos informáticos han aumentado un 13,1% en la región, mientras que los convencionales han disminuido en un 5,8%, siguiendo la tendencia decreciente con la que se cerró 2024.
De enero a marzo se denunciaron nada menos que 1.864 delitos informáticos (estafas en su inmensa mayoría) y 4.276 convencionales. No solo han pasado a suponer un 30% del total, sino que es probable que su peso real sea muy superior, porque solo se denuncian una parte. Son miles los intentos de estafa que llegan cada día a los buzones de correo electrónico o de mensajería digital y se envían a la papelera sin abrir porque el usuario cada vez está más alerta.
De todos ellos, una parte consiguen su objetivo y, la ahora ex-delegada del Gobierno, Eugenia Gómez de Diego, llegó a reconocer que la ciberdelincuencia es “el fenómeno criminal que más crece en Cantabria”, con 560 infracciones penales más en el primer trimestre que en el mismo periodo del año anterior.
El nuevo Centro de Ciberseguridad de Cantabria, al servicio de las empresas
El Centro de Ciberseguridad de Cantabria (C3), inaugurado hace pocos meses, es uno de los recursos de los que disponen las empresas cántabras para hacer frente a la ciberdelincuencia.
Ubicado en la Torre Xtela del Parque Científico y Tecnológico de Cantabria, este proyecto ha sido promovido por la Consejería de Industria e Innovación del Gobierno de Cantabria, a través de Sodercan, y cuenta con el apoyo del Instituto Nacional de Ciberseguridad (Incibe), como parte de la I Agenda Digital de Cantabria.
El C3 está dirigido a fortalecer la respuesta de las empresas locales frente a los ciberataques, preparándolas gratuitamente ante posibles incidentes de seguridad informática.
Este centro de ciberseguridad ha requerido una inversión de más de 1,1 millones de euros, de los cuales el 75 % proceden de fondos europeos. La empresa responsable de su gestión es Ámbar —miembro del Clúster Tera—, que ganó la licitación convocada por Sodercan y cuya dirección ha recaído en Ángel Ramos, experto en ciberseguridad.
El centro dispone de medios punteros, como un simulador que permite recrear ataques a las compañías para medir los efectos del cibercrimen y crear planes de prevención, así como un laboratorio y otros espacios de trabajo colaborativo.
Entre los servicios gratuitos que ofrece están el diagnóstico, el asesoramiento, la formación y la sensibilización de las empresas en materia de ciberseguridad. Además, impulsará “la cultura de seguridad digital” mediante acciones divulgativas.
Sodercan también desarrolla otras medidas de protección digital y, con ese fin, ha abierto una nueva línea de ayudas para propuestas inversiones que busquen mejorar la ciberseguridad del tejido empresarial regional.
Menos delitos ‘analógicos’
Esta evolución contrasta con la de los crímenes ‘analógicos’ –los que se valen de medios físicos—, que han bajado en número y grado. Pese a la sensación de la calle, los robos en las viviendas han descendido un 11,3%. La sustracción de vehículos lleva camino de convertirse en un fenómeno marginal, ya que se suma otra bajada del 26%, e igual de pronunciada es la que registra el tráfico de drogas (–25%) o los delitos por lesiones (– 33%). Solo se mantienen estables los delitos contra la libertad sexual, y los únicos delitos comunes que aumentan son los hurtos (robos sin fuerza), pero apenas en un 2%.
Estas evoluciones contrapuestas indican que, sin tardar mucho, la ciberdelincuencia puede llegar a equipararse, en número de delitos denunciados, al crimen convencional en la región.
Nuevos ‘modus operandi’
En internet no hay barreras geográficas y la mayoría de estas nuevas formas de criminalidad online ya se han detectado en Cantabria. Las más habituales son los sms fraudulentos, con más de 50.000 euros estafados cada mes en la comunidad, según la Guardia Civil, si bien es probable que no todos sean denunciados.
Este tipo de delito —conocido como spoofing—, se vale de mensajes de texto que suplantan a una entidad bancaria para extraer dinero de la cuenta de la víctima, a la que inducen a pensar que está tratando directamente con su banco mediante engaños muy bien elaborados y a realizar transferencias que acaban en cuentas de los estafadores.
Similar es el vishing, una supuesta llamada telefónica del departamento de seguridad del banco que resulta no ser tal, pero que logra recabar datos sensibles.
A estos delitos se añaden otros difícilmente tipificables que siguen pillando con la guardia baja a los ciudadanos, como el de una mujer –ya condenada– que alquilaba un piso en Santander por Wallapop por el que pedía un pago digital por adelantado en concepto de reserva, un dinero que se quedaba sin intención de alquilar el inmueble.
A su vez, ocho personas denunciaron en Cantabria haber sido víctimas de la estafa del “falso hijo de WhatsApp”, en solo tres meses. Al recibir mensajes instantáneos haciéndose pasar por un hijo en apuros que necesitaba dinero con urgencia o que ha sido secuestrado, los afectados acabaron efectuando pagos que suman 20.000 euros.
Aunque el método puede parecer burdo, porque se trata de envíos masivos de mensajes su estrategia es echar las redes de forma masiva, a sabiendas de que siempre habrá algún padre o madre que, angustiado, envíe el dinero sin reparar en sospechas.
Otras denuncias son consecuencia de haber pinchado en algún enlace a una página web que simula ser la del banco, lo que le permite a los estafadores obtener los datos bancarios y las claves de estos clientes, o las ventas falsas de algunos particulares en portales como Wallapop.
Las empresas no han dejado de estar en la mira de los delincuentes digitales. El phishing bancario —que suplanta a la entidad real— y el fraude mediante facturas manipuladas son algunos de los más comunes en el ámbito empresarial.
La Delegación del Gobierno en Cantabria alertó, hace unos meses, de un intento de estafa empresarial mediante el procedimiento conocido como BEC —Business Email Compromise—. Lo ha sufrido una empresa cántabra que abonó una factura de 86.000 euros a una cuenta bancaria cuyo número había sido modificado fraudulentamente. Gracias a la rápida actuación de la Guardia Civil, logró recuperar 76.000 euros.
La operativa puede llegar a ser muy sofisticada. Le ocurrió a un funcionario al que el Banco le remitió un sms advirtiéndole de que, por error, había activado un crédito preconcedido y le pedía su colaboración para revertir el dinero, que ya había pasado a su cuenta corriente. Ni era el banco el que enviaba el mensaje, ni el enlace a la cuenta llevaba a una página de la entidad (aunque lo pareciese) ni la maniobra de reversión iba dirigida a retornar el dinero. La autorización para que el banco supuestamente deshiciese el entuerto, lo que provocaba es que los estafadores pudiesen activar el crédito real, pero desviándolo a una cuenta propia. El fraude fracasó cuando el banco real llamó al titular para preguntarle si había autorizado una transferencia de 30.000 euros a otra cuenta. Un control aleatorio (no se hace en todas las operaciones), que sirvió para frustrar la transferencia.
Desprotección de las víctimas
Pero, ¿quién responde ante estas estafas? Hasta hace poco, el ciudadano particular o las empresas, se encontraba totalmente desprotegido tras sufrir este tipo de ataques. Nadie asistía a la víctima que, a pesar de interponer las correspondientes denuncias, rara vez encontraba una entidad a la que reclamar los daños.
Sin embargo, una sentencia emitida en mayo por el Tribunal Supremo, puede sentar un precedente, al obligar a un banco a devolver los 83.000 euros de una estafa de phising, al entender que el cliente no cometió negligencias de seguridad.
Por primera vez, un banco ha sido considerado responsable
El Tribunal señala que el cliente está obligado a ser cuidadoso con sus datos bancarios y que, si detecta alguna operación sospechosa, debe comunicárselo a la entidad, pero considera al banco como responsable de tomar las medidas preventivas para que esto no se produzca. Advierte también que la entidad debe poner los medios para detectar operaciones sospechosas, como sucedió en el caso del denunciante, cuyo dinero fue sustraído a través de transferencias realizadas de madrugada.
Más allá de las reclamaciones, las medidas de protección al ciudadano siguen siendo insuficientes, y las fuerzas de seguridad dan algunas recomendaciones genéricas, como desconfiar de números desconocidos, colgar y volver a llamar a otro número de la compañía y no facilitar datos bancarios o personales sin verificar la identidad de la otra parte.
No obstante, estos delitos mudan tan rápidamente que todo el mundo es vulnerable y susceptible de caer en el engaño.
Begoña Cueli
