Agentes de la Guardia Civil, del Equipo de Delitos Tecnológicos (EDITE) de la Unidad Orgánica de Policía Judicial (UOPJ) de Cáceres, han llevado a cabo la Operación “SAN GIL”. La operación más amplia desarrollada en la provincia contra la ciberdelincuencia, en la que se han practicado un total de 6 registros domiciliarios en inmuebles. En esta operación 20 personas han sido detenidas o investigadas por los supuestos delitos de estafa y pertenencia a grupo criminal, 8 de ellas ya han ingresado en prisión provisional.
Las investigaciones se iniciaron en el año 2.020 tras una denuncia presentada en el Puesto de la Guardia Civil de Jaraíz de la Vera, por parte del representante de una empresa, ante la supuesta realización de cuatro transferencias, no consentidas, por un valor total de 14.000 euros, además de la tentativa de transferencia de otros 9.000 euros, realizadas desde distintas cuentas de su empresa.
Según manifestó el denunciante, cuando se disponía a realizar una transfererencia online, el ordenador se bloqueó, apareciendo un aviso de su banco que le comunicaba que se estaba reestructurando el sistema. Cuando desapareció este aviso, le fueron solicitadas nuevamente las claves de acceso a la operativa online del banco, cosa que hizo varias veces porque, al parecer, el sistema fallaba, comprobando después, a través de una llamada a la entidad bancaria, que se habían realizado varias transferencias fraudulentas a cuentas desconocidas por él.
Los especialistas en delitos tecnológicos de la Guardia Civil, detectaron una infestación del equipo informático del denunciante, que había permitido a los ciberdelincuentes interceptar las páginas web de las entidades bancarias visitadas, obteniendo así sus credenciales de acceso a la banca online, realizando después las transferencias fraudulentas.
Se trata de una técnica muy avanzada y transparente para la víctima denominada en el argot de la ciberdelincuencia como “Man in the browser”, que indujo a los investigadores a atribuir los hechos a un grupo criminal especializado en ciberdelincuencia.
Fases de la investigación
Las pesquisas practicadas en los primeros momentos, permitieron obtener información sobre más de 30 cuentas bancarias beneficiarias de cantidades transferidas ilícitamente, con un alcance inicial defraudado cercano a los 400.000 euros, que llevó a los investigadores a solicitar a las diferentes entidades bancarias involucradas, diversa información susceptible de aportar datos relevantes para la investigación.
De esta manera los agentes ampliaron el conocimiento sobre la organización criminal objeto de sospecha, así como de los supuestos integrantes.
La segunda parte de la investigación consistió en el análisis técnico de los dispositivos electrónicos infectados y de la huella digital creada en la comisión de las estafas, que supuso un exhaustivo análisis de más de 1.000.000 de direcciones IP,s que habían sido utilizadas para cometer los hechos delictivos.
Como resultado, los investigadores pudieron establecer que, una misma dirección IP controlaba la operativa online de varias cuentas bancarias de la organización. Tuvieron que descartar a terceras personas, no implicadas en los hechos, cuyas redes wifi poseían vulnerabilidades y el malware utilizado para la consumación de las estafas era el mismo que el utilizado en el transcurso de otra investigación realizada el pasado año, la operación “AGUAS VIVA», en la cual se logró paralizar transferencias fraudulentas por valor de más de 3 millones y medio de euros. Aparte del troyano bancario, hubo también coincidencias en algunas de las personas implicadas.
Niveles de la organización
La organización estaba estructurada en cinco niveles, donde el rol de cada uno de sus integrantes se encontraba claramente definido. De esta manera, y en los primeros niveles, se encontraban los “captadores”, que eran los encargados de reclutar los productos bancarios asociados a una persona, como pueden ser las numeraciones de cuentas o de tarjetas bancarias.
Por otro lado estaban los “rescatadores”, dedicados a sacar el dinero de los cajeros automáticos, tras la recepción de las transferencias fraudulentas, y los “programadores”, especializados en fabricar el malware con el que, a través del envío masivo de correo spam, conseguirían infectar a numerosos equipos informáticos de las víctimas.
También contaban con los “Changer Crypto”, encargados de cambiar divisas por monedas virtuales y con los “Cash Legal”, que movían las cantidades defraudadas. Finalmente, y en el nivel superior, se encontraba la “cúpula” de la organización, encargada de coordinar a los integrantes del resto de niveles, y donde fueron detectadas 5 personas.
Cada uno de los integrantes de estos niveles obtenía un porcentaje de los beneficios que la actividad delictiva les reportaba y que habrían supuesto para cada integrante de la cúpula, un beneficio económico cercano a los 500.000 euros, que sumados a las ganancias del resto de integrantes, eleva a 5.000.000 millones de euros la cantidad total defraudada por la organización.
Detenciones e investigaciones
Dada la complejidad técnica y operativa de esta operación, y a las medidas de seguridad adoptadas por los integrantes de la organización para dificultar su rastreo, la explotación de la misma se llevó a cabo en cinco fases, realizadas entre los meses de mayo a noviembre del presente año.
En las primeras fases, se practicaron 3 registros domiciliarios, en las localidades de Alcorcón (Madrid) y Madrid, que motivaron la detención o investigación de 7 personas (3 ingresaron en prisión provisional), procediéndose después a la detención o investigación de otras 9, en las ciudades de Santiago de Compostela, Bilbao, Alicante, Zaragoza y Cornellá de Llobregat.
El análisis de la información obtenida en las fases anteriores, permitió ubicar a los miembros de los escalones superiores de la organización, realizándose otros 3 registros domiciliarios en viviendas de Madrid y Boadilla del Monte (Madrid), localizando en esta última la base operativa de la organización. 3 personas fueron detenidas en esta fase, que ingresaron en el Centro Penitenciario de Cáceres, tras acordarlo así el titular del Juzgado de 1ª Instancia e Instrucción nº 3 de Plasencia.
Finalmente, tras averiguar los investigadores que uno de los autores, que tenía un papel importante dentro de la organización, había huido a Reino Unido, y regresaría a España en fechas próximas, el pasado día 7 de noviembre se procedió a su detención en el aeropuerto Adolfo Suárez Madrid-Barajas. Al detenido le constaba, además, una requisitoria en vigor de búsqueda y detención, emitida por el Juzgado de 1ª Instancia e Instrucción nº 1 de Coria, que decretó su inmediato ingreso en prisión provisional.
Resultado de la Operación «San Gil»
Hasta la fecha, han sido identificadas 100 personas, entre empresas y particulares, víctimas de transferencias fraudulentas realizadas por la organización. Las denuncias por estos hechos se recogieron tanto en Puestos de la Guardia Civil, como en Comisarías de Policía Nacional, ubicados en distintas localidades del territorio nacional si bien, estos hechos suponen una pequeña proporción de los que la organización habría cometido en los dos últimos años, toda vez que el análisis de la información obtenida, que se sigue realizando, permitirá conocer y esclarecer un mayor número de hechos delictivos perpetrados por ella.
Se han conseguido bloquear, por orden judicial directa, un total de 5 cuentas bancarias de entidades ubicadas tanto en España como en países iberoamericanos, además de haberse bloqueado policialmente, y con carácter preventivo, otras 100 cuentas bancarias.
La Operación “SAN GIL”, considerada como la más amplia desarrollada contra la ciberdelincuencia hasta la fecha en la provincia de Cáceres, ha culminado con la detención o investigación de 20 personas por los supuestos delitos de estafa y pertenencia a organización criminal, de las cuales 8 han ingresado en prisión provisional, habiéndose realizado un total de 6 registros domiciliarios en inmuebles de las localidades de Madrid, Alcorcón (Madrid) y Boadilla del Monte (Madrid). Las detenciones e investigaciones se realizaron en las ciudades de Madrid, Alcorcón, Boadilla del Monte, Santiago de Compostela, Bilbao, Alicante, Zaragoza y Cornellá de Llobregat.
Las investigaciones, dirigidas por el Juzgado de Primera Instancia e Instrucción Nº 3 de Plasencia y coordinadas por la Fiscal Delegada de Criminalidad Informática de la Provincia de Cáceres, han sido llevadas a cabo por el Equipo de Delitos Tecnológicos (EDITE) de Policía Judicial, de la Guardia Civil de Cáceres, conjuntamente con el Equipo@ de la Comandancia de la Guardia Civil de Cáceres.
