Las redes criminales chinas obtuvieron hasta USD 1.000 millones al año con un fraude digital en Estados Unidos

Las redes criminales chinas obtuvieron hasta USD 1.000 millones al año con un esquema de fraude digital que usó tarjetas robadas para comprar gift cards (tarjetas de regalo) y mercancía en comercios de Estados Unidos, según una investigación de CNBC y datos citados por fuerzas de seguridad estadounidenses.

El mecanismo ganó escala desde la pandemia de Covid-19 y combinó dos factores que el texto fuente ubicó en el centro del problema: la expansión del pago sin contacto y el aumento de ciudadanos chinos en cruces terrestres de Estados Unidos, un flujo que, según el investigador de Seguridad Nacional Adam Parks, alimentó una base de ejecutores endeudados con redes de contrabando y crimen organizado.

En un caso documentado en una tienda Lowe’s de Louisiana la primavera pasada, un hombre compró durante unos siete minutos distintas tarjetas de regalo de 95 dólares cada una con su teléfono, mientras un empleado circulaba cerca sin advertir la maniobra. La policía dijo que el sospechoso actuó como parte de una estructura más amplia y recibió instrucciones desde un complejo de estafas del sudeste asiático a través de auriculares inalámbricos.

El fraude convirtió comercios en puerta de entrada

Parks, subdirector asistente especial a cargo de Investigaciones de Seguridad Nacional de Estados Unidos, dijo a CNBC que “hay cientos de individuos” realizando estas operaciones en todo el país al mismo tiempo. Después de salir de la tienda, el sospechoso compró más gift cards con datos de tarjetas robadas en otros comercios y volvió ese mismo día al Lowe’s original para repetir la maniobra.

El funcionario agregó que no fue arrestado y sigue bajo sospecha. Lowe’s no respondió a pedidos de comentarios de la publicación.

Los investigadores describieron una modalidad de bajo riesgo y alta opacidad. Scott Glenn, vicepresidente de protección de activos de The Home Depot, dijo que el método desplazó en los últimos años a formas más visibles de robo minorista, como entrar a una tienda, cargar herramientas en un carrito y salir con la mercadería.

La consecuencia inmediata fue una mutación del crimen organizado minorista: las pérdidas dejaron de depender sólo del saqueo físico de estanterías y pasaron a apoyarse en billeteras digitales, aplicaciones de retail y credenciales robadas que pueden usarse dentro de una tienda o desde una computadora en cualquier parte del mundo.

Los datos robados viajaron de mensajes de texto a Telegram

El esquema solió empezar con mensajes masivos sobre peajes impagos, registros de vehículos por vencer o arrestos pendientes. Esas alertas buscaron que las víctimas entregaran datos de tarjeta, claves de correo electrónico u otra información sensible.

Jeff Otto, director de marketing de Riskified, explicó que cuando un estafador obtiene la contraseña del correo y la tarjeta de una persona puede cargar esa tarjeta en un dispositivo bajo su control. Añadió que, si el banco envía una verificación para confirmar la operación, los delincuentes ya suelen tener acceso al correo de la víctima y pueden ver la clave de un solo uso antes de que el consumidor lo advierta.

Según el medio, credenciales de acceso para la aplicación y el sitio web de Walmart se ofrecían en canales de Telegram por entre USD 1,50 y USD 2,50, junto con datos sobre la antigüedad de las cuentas. Otto señaló que esas cuentas viejas, incluidas direcciones de Yahoo y Gmail con 10 años de uso, a veces superan controles básicos porque las plataformas tienden a confiar más en perfiles de larga data.

La publicación indicó que muchas aplicaciones y sitios de retail no tienen el mismo nivel de seguridad que las plataformas bancarias, aunque concentran tarjetas almacenadas, datos personales sensibles y, en algunos casos, acceso a tarjetas de crédito emitidas por la propia cadena. Citó como ejemplo a Macy’s, cuya aplicación permite comprar y también pagar la factura de la tarjeta de la tienda.

Walmart dijo a CNBC que la privacidad y la seguridad del cliente son una prioridad y afirmó que cuenta con sistemas para detectar actores maliciosos, prevenir accesos no autorizados y responder a esos incidentes. La empresa añadió que la información completa de pago no se almacena en una forma desprotegida.

La estructura usó deudores, gift cards y reventa en China

Parks dijo que, en el nivel del crimen organizado chino, la operación involucró una red completa. El objetivo no fue sólo gastar tarjetas robadas, sino transformar esos datos en gift cards, usar luego esas tarjetas para comprar bienes de alto valor, como iPhones con configuración estadounidense, y revenderlos con sobreprecio en China.

El investigador sostuvo que esa secuencia permitió eludir leyes bancarias estrictas tanto en Estados Unidos como en China y mover sumas más altas hacia la economía formal. También describió el papel de los ejecutores de menor rango: personas que ingresaron de forma ilegal al país, dependieron de traficantes y redes criminales para hacerlo y luego quedaron obligadas a saldar una deuda.

Ese eslabón respondió de forma directa a la pregunta central del caso. Las redes criminales chinas usaron a esos ejecutores para entrar en tiendas, convertir información de tarjetas robadas en bienes o gift cards y enviar después la mercancía a China. La consecuencia geopolítica inmediata fue que una estafa minorista local pasó a integrarse en una cadena transnacional de lavado, contrabando y monetización de datos robados.

También apareció una variante basada en aplicaciones de tiendas. En esos casos, los delincuentes robaron credenciales, ingresaron a cuentas de clientes y utilizaron la información de pago ya almacenada para adquirir mercancía o gift cards.

En Miami, Dancliff Labady fue arrestado en enero y acusado de robar casi USD 95.000 usando sobre todo tarjetas de crédito de marca propia de TJX Companies para TJ Maxx, Marshall’s y Home Goods, según un informe policial citado por la publicación. La policía sostuvo que accedió a unas 15 cuentas de clientes tras llamar a Synchrony Bank, emisor de las tarjetas, y añadir un número de teléfono bajo su control.

Una vez hecho ese cambio, añadió las tarjetas a su billetera digital y realizó decenas de transacciones en tiendas TJX del área de Miami durante la temporada navideña sin tener la tarjeta física, según la policía. Fue detenido después de que el equipo de protección de activos de TJX reportó la actividad sospechosa al banco.

Labady se declaró inocente y su abogado rechazó hacer comentarios. Synchrony dijo que no comenta investigaciones en curso y que coopera plenamente con las fuerzas de seguridad, mientras TJX afirmó que tiene medidas para identificar y abordar posibles actividades fraudulentas en cuentas.

A escala nacional, el proyecto Red Hook de Investigaciones de Seguridad Nacional apuntó al fraude con gift cards y otras formas de delito minorista digital. De acuerdo con HSI, la iniciativa provocó al menos 239 arrestos desde enero de 2024 y tuvo como objetivo a algunos de los mayores grupos del crimen organizado chino que operan en Estados Unidos.

En una revisión de teléfonos incautados en Tennessee, investigadores hallaron aplicaciones especiales con datos de tarjetas robadas disfrazadas como juegos: “Parecen juegos de anime. Se parecen un poco a personajes de Pokémon”, dijo Matt Lawson, de la oficina del sheriff del condado de Knox.