Una red intenta estafar medio millón a una empresa biomédica con la compra de 14 macacos

"Durante dos meses, el ciberdelincuente estuvo moviendo los hilos a su antojo: interceptaba los correos entre nuestra empresa y el proveedor y modificaba lo que le convenía. Esos correos modificados estaban dentro de las conversaciones que teníamos con ellos por otros motivos, y esos no los tocaba, los dejaba pasar tal cual. De esta manera, mantenía intacta la confianza y contribuía a no ser descubierto. Hasta que no nos reunimos en persona con ellos, con los proveedores, no nos dimos cuenta de que nos había manipulado a ambas partes. El pago ya estaba hecho. La buena noticia es que hemos podido recuperar el dinero". 

Es el resumen perfecto de la estafa conocida por su descripción en inglés, man in the middle (hombre en el medio o, más acertado, hombre interpuesto), una de las más empleadas por las redes de ciberdelincuentes que a diario hacen caer en la trampa a empresas de todo tipo, condición, sector y tamaño. Ese resumen lo hace la directora general de la firma madrileña de investigación biomédica que, a principios de este mes, estuvo a punto de perder más de 540.000 euros en la compra de 14 primates adultos necesarios para el proyecto de investigación que desarrollan desde hace años y que se habría visto seriamente comprometido de haberse consumado definitivamente la estafa.

La exigencia del proveedor de animales

Todo comenzó en julio, cuando el laboratorio de investigación biomédica se puso en contacto con uno de los proveedores más prestigiosos en el ámbito científico, una fundación dependiente de una universidad española, para gestionar la compra de esos 14 ejemplares de macaco rhesus, que iban a ser enviados desde Indonesia. Se trata de una especie que se da preeminentemente en el sureste asiático -los ejemplares para estudios biomédicos y farmacéuticos se crían en granjas-, aunque muchos de los países de esa área geográfica han restringido e incluso prohibido la comercialización de ejemplares vivos para su uso en investigaciones científicas. El macaco es el primate más demandado en ese sector porque comparte hasta un 93 % del genoma humano, lo que lo convierte en el aliado perfecto para los estudios clínicos y preclínicos.

Una vez cerrado el acuerdo, ambas partes firmaron el contrato en una reunión telemática celebrada a finales de julio, que culminaba casi un mes de negociaciones. En ella, se cerraba la compra de los animales por algo más de 640.000 euros y la fundación informó a los compradores de que debían hacer efectivo lo antes posible un primer pago de 540.000 euros, la cuantía que exigía el proveedor indonesio para enviar los animales.

La firma del contrato, el origen de la estafa

"Fue a partir de la firma del contrato" cuando el ciberdelincuente logró situarse entre la fundación y la empresa biomédica. Los correos que nada tuviesen que ver con la compra, los dejaba pasar sin inmiscuirse, pero aquellos en los que se hablaba del contrato y, en concreto, del envío del dinero eran interceptados y modificados. "Al utilizar como base los correos reales que enviábamos tanto nosotros como ellos, era más indetectable que alguien los manipulara, porque se mantenían las expresiones y el resto de detalles que podrían habernos puesto antes en alerta si las hubieran alterado", explica la directiva.

A principios de agosto, y siguiendo las directrices de quien ellos creían el gestor del proyecto de la fundación universitaria y que en realidad era el ciberdelincuente, enviaron los 540.000 euros a una cuenta ubicada en una sucursal de Yakarta, la capital indonesia, ya que el estafador les había enviado convencido de que el pago no se hacía al intermediario español, sino directamente al proveedor de los macacos. 

El descubrimiento del engaño

Y prosiguieron con las comunicaciones hasta que programaron la visita a la sede de la fundación para recoger los animales. "Hasta que no se realizó la visita presencial, no fuimos conscientes, unos y otros, de que habíamos sido víctimas de una ciberestafa. Eso nos ha enseñado a que no podemos dejarlo todo a la virtualidad ni al correo electrónico. A partir de ahora le vamos a dar al teléfono la funcionalidad para la que fue creado: llamar. Si hubiésemos mantenido conversaciones con nuestro proveedor en España habríamos comprobado antes que algo iba mal". Cuando repasaron los correos, encontraron la única, y sutil, diferencia entre los correos originales y los del ciberdelincuente: un guion. La cuenta de correo del gestor del proyecto de la fundación era idéntico al del estafador, salvo por ese pequeño guion.

Así, nada más descubrir el engaño, "nos pusimos en contacto con el banco. La verdad es que la rápida intervención de la entidad, de la policía y la colaboración del proveedor ha ayudado mucho a la hora de poder recuperar el dinero". De hecho, es casi un milagro y de momento nadie sabe por qué, pero cuando el banco de la compañía estafada se puso en contacto con sus colegas de la entidad indonesia, y a pesar de que ya habían pasado varios días desde que la empresa había realizado la transferencia internacional siguiendo las instrucciones recibidas, "el dinero seguía en la cuenta del banco intermediario y estaba bloqueado. No sabemos si por alguna alerta interna o por qué, pero el caso es que hemos podido recuperarlo", explica la directora general.

El proyecto puede seguir adelante

Es más, incluso llegaron a enviar "a una persona físicamente a Yakarta" para garantizar "por completo" la recuperación de hasta el último céntimo de esos 540.000 euros, por mucho que los indonesios hubiesen asegurado que ese dinero ya no iba a moverse de allí.

Ahora, una vez de vuelta el medio millón en la cuenta de la compañía madrileña, han retomado la compra de los primates para proseguir con el proyecto. De haberse producido este "final feliz", el desastre habría sido absoluto, ya que el mazazo económico les habría dejado sin financiación para continuar una investigación iniciada años atrás y que puede aportar avances fundamentales en el tratamiento de la enfermedad que están investigando.