¿Quién y cómo robó 393.000€ con SMS y llamadas?

Una red criminal usó SMS, llamadas y correos falsos para estafar 393.000 € en Zaragoza. Así operaban y qué se sabe del caso.

La Guardia Civil ha identificado a quince personas por su presunta participación en una trama que logró defraudar alrededor de 393.000 euros mediante tres modalidades distintas y bien sincronizadas: smishing (enlaces maliciosos enviados por SMS), vishing (suplantación de empleados bancarios por teléfono) y la estafa conocida como business email compromise o BEC (manipulación de facturas entre empresas por correo electrónico). El foco de los hechos está en Zaragoza, aunque el circuito financiero atravesó varias provincias y saltó a varios países europeos. La investigación, enmarcada en el Plan Levante, ha permitido reconstruir cómo se obtuvieron las credenciales bancarias, cómo se movió el dinero a través de sociedades pantalla y “mulas” financieras, y quiénes habrían actuado como piezas clave en cada eslabón.

El “cómo” tiene una secuencia reconocible. Primero, un SMS que redirige a una web clonada donde una empresa zaragozana introduce sus claves de banca en línea; con esas credenciales, los autores ordenan transferencias a cuentas controladas. Segundo, un falso agente que llama a un particular y le guía para “autorizar medidas de seguridad”, lo que en realidad activa operaciones no consentidas y cargos en comercios de España y Europa; dos transferencias posteriores, por 7.850 y 5.800 euros, fueron bloqueadas a tiempo por el banco. Tercero, un correo empresarial manipulado que cambia el IBAN de un proveedor y consigue que una empresa de Zaragoza pague más de 18.000 euros a una cuenta controlada por los estafadores. Sobre ese terreno, los agentes detectaron un entramado de cuentas —17 en total analizadas— y al menos ocho sociedades utilizadas para mover fondos y dificultar el rastro, con titulares interpuestos y un asesor financiero asentado en Murcia que ponía en contacto a compradores y vendedores de empresas en dificultades.

Tres operaciones, un mismo patrón delictivo

Las tres líneas de investigación terminan componiendo una sola fotografía: ingeniería social como puerta de entrada, finanzas opacas para lavar el botín y un mapa territorial que desmonta la idea del “delincuente local”. Zaragoza aparece como punto de partida de las estafas más visibles, pero las piezas se distribuyen entre Alicante, Cartagena (Murcia), Collado Villalba (Madrid) y Altea (Alicante). La trazabilidad del dinero obliga a mirar más allá: movimientos en España, Bélgica, Alemania, Portugal, Países Bajos, Estonia, Reino Unido y Malta, cada uno con un papel en la cadena de transferencias, en las retiradas de efectivo o en los pasos intermedios que simulan actividad comercial. El Plan Levante, en ese contexto, no es un nombre rimbombante: se trata de un marco de trabajo que agrupa indicios dispersos —un SMS aquí, una llamada allá, una factura adulterada más adelante— y los proyecta sobre una misma red de control.

En el primer bloque, el smishing bancario (368.000 euros), el guion no sorprende a los especialistas pero sigue siendo eficaz. Llega un SMS con un pretexto verosímil —reactivar claves, solucionar un bloqueo, verificar una operación—, el enlace lleva a una página indistinguible de la oficial y el usuario, confiado, teclea su usuario, contraseña y, a veces, los códigos de verificación de un solo uso. La suplantación es tan fina que el candado del navegador y los elementos visuales coinciden con la web de la entidad. Una vez dentro, los atacantes no se precipitan: revisan límites, crean beneficiarios y segmentan el botín en varias transferencias a dos sociedades mercantiles bajo su control, que actúan de embudo hacia otras cuentas. La velocidad de reacción es crucial; cuanto más tarde una víctima en avisar, más tiempo tiene el dinero para evaporarse por la cadena de empresas.

El segundo bloque es el vishing, el asalto por voz. La víctima detecta 24 cargos que no reconoce en comercios de distintos puntos de España y Europa y, en medio de la confusión, recibe la llamada de un supuesto empleado del banco. La voz suena segura, maneja terminología real, ofrece pasos concretos para “proteger la cuenta”. El golpe final llega cuando el interlocutor convence a la persona de autorizar transferencias o compartir códigos que llegan por SMS o app. En esta ocasión, el banco real interpretó señales de riesgo y bloqueó dos intentos por importes de 7.850 y 5.800 euros, un detalle relevante porque demuestra que, aunque el vector sea humano, los sistemas antifraude tienen margen para actuar cuando encajan ciertos patrones. La investigación localiza a una mula económica, un hombre que abría cuentas para recibir los fondos y retirarlos de inmediato, cumpliendo la función de “último tramo” antes de diseminar el dinero.

El tercer bloque cierra el triángulo con el BEC o correo empresarial comprometido. Los delincuentes interceptan o alteran un hilo de emails entre dos compañías que ya trabajan juntas, copian el estilo del proveedor, actualizan una factura con un IBAN distinto y esperan. La empresa zaragozana perjudicada abonó más de 18.000 euros al número de cuenta falso, creyendo que estaba al día con su proveedor. Ese engaño no exige malware sofisticado ni técnica de película: parte de accesos abusivos a buzones de correo, de reglas automáticas para ocultar mensajes y de paciencia para operar como si se fuera un administrativo más que pide “actualizar la forma de pago”.

Smishing bancario: la pieza mayor del botín

Que el smishing cargue con la mayor cifra no es casual. Afectó a una empresa, normalmente con límites de transferencia más holgados y procesos internos que, si están mal afinados, permiten ejecutar varios envíos antes de que alguien formule la pregunta incómoda. En este caso, los estafadores concentraron el ataque en 2020, punto de arranque del flujo de dinero. El método técnico puede parecer trivial —una copia de la web oficial y un enlace en un SMS—, pero lo decisivo es la preparación: una base de datos de teléfonos probable, un texto breve con tono urgente, un enlace camuflado con dominio similar y, por encima de todo, conocimiento de los protocolos de la entidad para simular pantallas y pedir códigos en el mismo orden que lo haría la banca real.

La pieza financiera que sigue al robo de credenciales es igual de importante: sociedades pantalla a nombre de terceros, cuentas recién abiertas o de actividad intermitente, tarjetas asociadas para facilitar extracciones de metálico y transferencias de consolidación hacia entidades en el extranjero. La investigación enumera al menos ocho sociedades y 17 cuentas estudiadas, lo que da una idea de la capilaridad del circuito. En paralelo, la red adquiría empresas con problemas económicos para ponerlas a nombre de titulares interpuestos; no son simples testaferros, sino engranajes que aportan a la trama documentación, apariencia de actividad y coartadas contables cuando un auditor —o un banco— hace preguntas. Una vez ejecutadas las transferencias troncales, el dinero deja de ser un bloque visible y pasa a moverse en tramos más pequeños que se entrecruzan con ingresos ordinarios, generando ruido contable.

Vishing: 24 cargos y la voz que no era del banco

El vishing vive de la simulación y del miedo. En esta investigación, la cronología arranca con 24 cargos no autorizados en comercios de España y Europa, una señal clara de uso fraudulento de tarjetas o credenciales de pago. El giro de guion es la llamada de un supuesto empleado que, usando técnicas de suplantación del número (el llamado spoofing), hace creer a la víctima que la comunicación procede del teléfono oficial del banco. Desde ahí, el guion está más que probado: tono de urgencia controlada, instrucciones breves, solicitud de códigos temporales y la propuesta de traspasar fondos a una “cuenta segura” para “proteger” el saldo. En el caso analizado, los sistemas bancarios detectaron anomalías y bloquearon a tiempo dos envíos de alto importe, lo que no evita el daño pero sí reduce la pérdida.

Lo que aparece en segundo plano es el papel de la mula económica, figura imprescindible en esquemas que necesitan velocidad y anonimato relativo. El investigado identificado abría cuentas y las cedía para recibir ingresos de origen ilícito, a cambio de una comisión. Su utilidad es táctica: se sitúa lo más cerca posible del punto de extracción en efectivo o de la derivación a otra cuenta, para que el dinero pase el menor tiempo posible en una posición detectable. El rastro se fragmenta y, si una cuenta cae, el resto de la ruta sigue vivo.

Business email compromise: una factura desviada sin ruido

El BEC destaca por su silencio. No hay SMS extraños ni llamadas alarmantes; solo un correo que parece venir de quien debe, con un documento que es el que toca, y una variante en el número de cuenta. La víctima confía porque la relación mercantil existe y el contenido no rechina. La empresa zaragozana que denunció los hechos pagó más de 18.000 euros convencida de que estaba liquidando una factura real. La clave técnica suele estar en accesos indebidos a buzones de correo, en el uso de reglas de ocultación (para que el proveedor verdadero no vea la conversación adulterada) y en intercepciones de archivos para editar los datos de cobro. La investigación localizó en Alicante a un sospechoso al que se le atribuyen, además de estafa, los delitos de falsedad documental, blanqueo de capitales y usurpación de estado civil.

Más allá de la crónica, el caso subraya por qué el BEC es tan rentable. No exige grandes capacidades técnicas, pero sí paciencia y conocimiento de los procesos de pago de una empresa. El atacante espera el momento en que el cliente está a punto de pagar, interviene en el hilo con una solicitud de “actualización de cuenta” y deja que la inercia haga el resto. Si la organización no tiene doble verificación para cambios de IBAN, el golpe se consuma sin ruido.

El engranaje financiero: sociedades pantalla y mulas

La trama no se sostiene sin un entramado financiero dispuesto a absorber, mover y lavar el dinero con cierta credibilidad documental. La investigación sitúa al menos ocho sociedades en el centro del circuito y 17 cuentas bancarias en distintos países. No es un número caprichoso; es la manera de diluir el rastro conforme el dinero cambia de titular, de banco y de jurisdicción. En este esquema, las sociedades pantalla cumplen tres funciones: abrir nuevas cuentas sin levantar sospechas, simular transacciones comerciales que justifiquen entradas y salidas, y centralizar fondos antes de repartirlos en tramos menores. El uso de tarjetas asociadas a esas cuentas facilita extracciones en cajeros que mezclan el circuito digital con el físico, dificultando recuperaciones.

Un elemento llamativo es la aparición de un asesor financiero asentado en Murcia que habría actuado como intermediario entre vendedores de sociedades —a menudo firmas en apuros o inactivas— y compradores interesados en disponer de una estructura corporativa inmediata. Para la red, esa capa intermedia aporta distancia y cierta coartada: comprar una empresa no es delito, y contar con una sociedad “con historia” puede resultar útil para dar apariencia de actividad. Con titulares interpuestos, la trazabilidad se complica, aunque no se borra: los bancos registran IPs, dispositivos, pautas de entradas y relaciones entre cuentas, y ese metadato acaba siendo decisivo cuando se cruzan decenas de movimientos.

En la geografía del caso, las localidades de Alicante, Cartagena, Collado Villalba y Altea dibujan una red de operativa más que de captación. Desde ahí se habrían gestionado altas, aperturas y movimientos que dan cobertura a lo que ocurre en la primera línea —el SMS, la llamada, el correo—. Y en el mapa europeo, la presencia de Bélgica, Alemania, Portugal, Países Bajos, Estonia, Reino Unido y Malta no significa necesariamente que haya autores en cada país; sí que el dinero pisó esas jurisdicciones, a veces como estaciones de paso antes de rebotar a otra entidad, a veces como punto final donde se materializa en efectivo o se gasta en compras destinadas a revenderse.

Qué falló y qué funcionó

En el plano de la seguridad, el caso deja un retrato honesto de lo que funciona y lo que falla cuando la amenaza no es una brecha técnica sino una suplantación bien trabajada. Falló la verificación en origen: una empresa introdujo sus credenciales en una web clonada y una pyme validó un cambio de cuenta sin una contraseña de proceso que obligara a confirmar por canal alternativo. Falló la gestión del pánico ante la llamada: cuando una voz firme pide códigos con tono resolutivo, el instinto juega en contra. Funcionó el bloqueo preventivo del banco en la operación del vishing: dos transferencias quedaron en el camino gracias a reglas de detección de anomalías. Funcionó también la coordinación que permite al Plan Levante ensamblar piezas: SMS, cargos, IBAN cambiados y mulas que se repiten en distintas historias.

Las lecciones son operativas y, sobre todo, concretas. En empresas, cualquier cambio de IBAN de un proveedor debe confirmarse por un canal diferente al del correo donde se solicita; no vale responder al mismo hilo. Una doble autorización para pagos a partir de cierto umbral habría frenado el BEC. En banca en línea, no se entra desde enlaces recibidos; se teclea la dirección conocida o se accede desde la app. Si llega una llamada del supuesto banco, se cuelga y se marca el número oficial; no hay excepción. En la operativa diaria, alertas en tiempo real de movimientos y límites por importe y por destinatario acotan el margen de las transferencias imprevistas. Y en el correo corporativo, activar verificación en dos pasos y limitar permisos reduce la probabilidad y el impacto de accesos indebidos.

La investigación, por lo demás, demuestra que no todo es inevitable. Las mulas exponen el circuito —se pueden identificar y rastrear—, las sociedades pantalla dejan huellas en registros y los patrones repetidos en SMishing y Vishing generan señales que los bancos filtran mejor cada año. El problema es el tiempo: la ventana entre el engaño y la orden de bloqueos sigue siendo corta. Cuando la denuncia llega en minutos u horas, hay opciones; cuando pasan días, el dinero suele haberse reconvertido en efectivo o atomizado en transferencias que se alimentan de cambio de jurisdicción.

Un aviso serio desde Zaragoza

Los hechos reunidos bajo el Plan Levante no son un caso aislado ni una anécdota más para la estadística. Son el resumen de cómo operan hoy los fraudes de ingeniería social con apoyo financiero real, con sociedades y cuentas que pasan los filtros iniciales. Tres técnicas —smishing, vishing y BEC— que convergen en un objetivo simple: distraer a la víctima para que legitime con su propio gesto lo que, minutos después, se vuelve un cargo o una transferencia. Zaragoza aporta los elementos centrales —las víctimas más visibles, la suma del botín, la cronología que arranca en 2020 y desemboca en las diligencias de 2025—, pero el mapa no entiende de fronteras provinciales. Los puntos Alicante, Cartagena, Collado Villalba y Altea sirven aquí para entender cómo se orquestan las piezas: quién captura datos, quién mueve el dinero y quién ayuda a blanquearlo.

Queda por delante el recorrido judicial, con figuras como estafa, blanqueo de capitales, falsedad documental y pertenencia a organización criminal, y con la presunción de inocencia que ampara a todos los investigados hasta sentencia firme. La reconstrucción económica será determinante: quién recibió cada transferencia, qué movimientos se hicieron a continuación, dónde se retiró efectivo y qué compras se usaron como paso intermedio. En paralelo, la cooperación con entidades de Bélgica, Alemania, Portugal, Países Bajos, Estonia, Reino Unido y Malta permitirá distinguir entre estaciones de paso y destinos finales, algo clave para acotar responsabilidades.

El aviso práctico es claro. No hay banco que pida códigos por teléfono, no hay proveedor que cambie de cuenta sin confirmación y no hay SMS legítimo que exija revalidar claves desde un enlace. No es una cuestión de paranoia, sino de protocolo. La investigación que hoy sale a la luz expone cómo se construye una estafa que mezcla urgencia, rutinas y burocracia para presentar pagos sospechosos como si fueran parte de la normalidad. Y, sin embargo, hay blindajes sencillos, desde la doble verificación al hábito de cortar la llamada y volver a marcar. Lo esencial, tras las cifras y los lugares, es que el margen de reacción existe y funciona cuando se activa a tiempo.

Zaragoza deja, así, un recordatorio útil: el fraude no siempre llega con un virus ni con un hacker detrás de un teclado iluminado. Llega como un SMS correcto, una llamada formal y un correo en el hilo de todos los días. Ahí está su fuerza. También su debilidad, cuando el engranaje institucional, bancario y policial conecta las piezas y cuando empresas y particulares incorporan el gesto simple que desactiva el engaño: verificar por un canal distinto antes de tocar el dinero.