La investigación arrancó hace algo más de un año, cuando la Policía Nacional detectó un volumen inusual de denuncias con un patrón idéntico: clientas de banca que recibían mensajes supuestamente emitidos por los servicios antifraude de sus entidades y que en realidad eran el anzuelo para vaciar sus cuentas. La fase de explotación policial, según la investigación, llegó este octubre tras meses de seguimiento, con dos registros en viviendas del sur de Madrid señaladas como domicilios de los principales ideólogos de la trama.
Otro de los cabecillas fue localizado en Cádiz; de su teléfono móvil se extrajo información decisiva para alcanzar el núcleo organizativo de la banda. La mayoría de los investigados son dominicanos nacionalizados españoles menores de 30 años, aunque también figuran marroquíes y algún colombiano. El grueso de los detenidos reside en Madrid, una veintena en total.
El alcance real de la estructura todavía se desconoce. En los rastreos practicados hasta ahora por la UDEF Central se han contabilizado entre 300 y 400 'nicks', los alias bajo los que operaban los estafadores en chats cifrados de Telegram, de manera que, una vez completada su identificación, el número de imputados podría multiplicarse por tres o cuatro respecto a los 95 investigados actuales. Aunque todas las víctimas residen en España, la red contaba con 'call centers' en Colombia, el Reino Unido, la República Dominicana y Tailandia.
El perfil técnico de los integrantes abarcaba desde un estudiante de Ciberseguridad hasta informáticos autodidactos de alto nivel. Parte de las ganancias se reinvertía en software, tarjetas SIM y desarrollo de aplicaciones; el resto, según la investigación, se destinaba a fiestas, prostitución y drogas, sin que el nivel de vida exterior de los implicados resultara aparentemente ostentoso.
El mercado negro de datos bancarios
El punto de partida de cada estafa era la compra, en el mercado negro, de bases de datos de clientes bancarios: se alquilan por días, semanas o meses y su precio varía según volumen y calidad, hasta alcanzar los 10.000 euros por 500 nombres. A partir de ahí entraban en acción los 'senders', encargados de verificar en qué entidad tenía cuenta cada objetivo, con preferencia por mujeres de 65 años en adelante por considerarlas más vulnerables.
El mecanismo se completaba con el envío masivo de SMS que simulaban proceder de la propia entidad, con mensajes del tipo «su cuenta ha sido bloqueada por un posible fraude», insertados en el mismo hilo de comunicaciones legítimas previas, lo que reforzaba la credibilidad del engaño. Quien llamaba al número facilitado por la red era atendido por los 'spoofers', los verdaderos cabecillas operativos, que indicaban paso a paso cómo transferir o retirar el dinero.
El patrón conecta esta operación con otras suplantaciones masivas a usuarios de banca investigadas en España en los últimos años, el llamado 'smishing', una modalidad que la propia Policía Nacional y el Instituto Nacional de Ciberseguridad vienen alertando desde la expansión de la banca móvil. Lo distintivo de la operación Llamada es la combinación de ingeniería social con herramientas técnicas avanzadas y una violencia extrema contra las víctimas que se resistían.
Cuando alguna desconfiaba o amenazaba con denunciar, la respuesta de la organización escalaba hacia la coacción directa, amparada en que disponían de su nombre, dirección y datos personales completos. El material de la causa recoge un intercambio en el que una mujer suplicaba la devolución del dinero sustraído: «Sé que mi banco le pidió devolver el dinero que se quedó. Le pido, por favor, que acepte y devuélvamelo. Eso no es mío, debo pagar el alquiler y demás gastos. No soy rica, quítele al que le sobra. No sabe cuánto me ha perjudicado».
«Que te calles, hija de puta. Que te voy a matar, zorra. No sé con quién cojones te crees que hablas», respuesta registrada de uno de los investigados en la causa de la operación Llamada.
Entre las técnicas más recientes detectadas figura el ataque de 'relay', que aprovecha la tecnología NFC empleada en pagos sin contacto mediante móvil o reloj inteligente a través de plataformas como Apple Pay o Google Wallet: basta con que la víctima acerque su tarjeta al teléfono para que los datos se transmitan en tiempo real a los atacantes. La víctima con mayor perjuicio individual identificada hasta ahora perdió 45.000 euros.
Una vez obtenido el dinero, este llegaba a cuentas abiertas a nombre de los 'muleros' de primer nivel, personas en situación de vulnerabilidad —toxicómanos, estudiantes o personas sin hogar— que cedían sus datos por unos 50 euros. Los 'muleros' de segundo nivel retiraban el efectivo en cajeros y lo derivaban a terceras cuentas para convertirlo en criptomonedas. El reparto final asignaba un 60% a los 'spoofers' y un 40% a los distintos 'muleros', porcentaje que subía al 80% para el 'spoofer' cuando la estafa se ejecutaba mediante la técnica de 'relay'.
La sofisticación incluía el uso de inteligencia artificial para generar los videoselfis exigidos en la apertura de cuentas 'online' y la falsificación de documentos de identidad. Pese al anonimato que mantenían entre sí la mayoría de los miembros, regía un código interno de reputación, según describe uno de los investigadores: el prestigio funciona como moneda de cambio y quien traiciona a otro miembro queda marcado e inhabilitado para seguir operando.
La investigación se enmarca en el aumento de operaciones policiales contra el fraude digital en España, un terreno en el que esta sección ha seguido también casos de gestión de contratos públicos como el contrato ligado al caso Koldo por el que el PP pide explicaciones a la Diputación de Sevilla, de naturaleza distinta.
La operación Llamada permanece abierta. Según la investigación, tanto el número de detenidos como el de víctimas identificadas podrían seguir creciendo a medida que avance la identificación de los cientos de alias localizados en los chats cifrados utilizados por la organización.