Desmantelan red de estafas bancarias en España: tenían una base de datos de 500.000 ciudadanos

Una red de estafas bancarias que operaba con una base de datos de 500.000 ciudadanos con información personal y financiera robada fue desarticulada en España por la Guardia Civil.

La organización, integrada por 18 personas, 10 hombres y ocho mujeres de entre 23 y 43 años, utilizaba las técnicas de smishing y phishing para suplantar la identidad de entidades bancarias a través de mensajes de texto.

El caso comenzó a tomar forma en 2024 a partir de la denuncia de un ciudadano que perdió cerca de 30.000 euros tras recibir una falsa comunicación de su banco.

La operación, denominada Fragmenta, saldó 13 detenidos y cinco investigados en Madrid, Palma de Mallorca, Valencia y Toledo, y permitió identificar cerca de 2.000 posibles víctimas.

Cuál fue el principal hallazgo de la investigación

El hallazgo más revelador de la operación no fue el dinero ni los dispositivos incautados, sino el archivo digital que sostenía toda la operación: una base de datos con información personal y bancaria de aproximadamente 500.000 personas.

Ese repositorio funcionó como el insumo central del esquema, ya que permitió a la organización seleccionar objetivos, personalizar los mensajes fraudulentos y escalar el volumen de ataques con una precisión que habría sido imposible sin acceso previo a los datos.

La Guardia Civil no precisó en su comunicado el origen de esa base de datos ni el modo en que fue obtenida, aunque su magnitud sugiere que la red no actuó de forma aislada, sino que accedió a información filtrada de fuentes externas o la acumuló a través de sucesivas campañas de captura de credenciales.

La investigación continúa abierta y no se descarta que aparezcan nuevos afectados a medida que se analice el archivo.

La Guardia Civil destacó que la investigación exigió un trabajo de “inteligencia financiera y análisis tecnológico” por la complejidad de la arquitectura que sostenía la red.

Cómo atacaba esta red de estafas

La cadena de ataque seguía una arquitectura de dos etapas diseñada para maximizar la tasa de éxito.

En la primera, la organización enviaba de forma masiva mensajes SMS que aparentaban proceder de entidades bancarias legítimas.

El objetivo era dirigir a las víctimas hacia páginas web fraudulentas donde introducían sus credenciales de banca electrónica.

En la segunda fase, los integrantes del grupo contactaban telefónicamente con las víctimas haciéndose pasar por empleados del banco para obtener los códigos de verificación, los llamados OTP o one-time passwords, necesarios para autorizar operaciones.

Con ese acceso, realizaban transferencias del dinero disponible y solicitaban préstamos preconcedidos u otros productos financieros a nombre de los afectados.

La organización operaba con identidades falsas, cuentas abiertas mediante terceros y transferencias inmediatas entre distintas entidades, pero el elemento que más dificultó el rastreo fue una infraestructura tecnológica distribuida en varios países, cuya localización no fue detallada en el comunicado oficial.

Una vez obtenido el control de las cuentas, los fondos se dispersaban a través de numerosas cuentas bancarias para entorpecer su seguimiento y blanquear el dinero.

Cómo protegerse ante intentos de estafas de este tipo

La Guardia Civil recordó que las entidades bancarias no solicitan por teléfono, SMS ni correo electrónico las claves de acceso, contraseñas o códigos de verificación de sus clientes.

Ante cualquier comunicación sospechosa, el cuerpo recomendó no facilitar datos personales o bancarios, acceder a la banca electrónica únicamente a través de los canales oficiales y contactar directamente con la entidad para verificar la autenticidad del mensaje.

También aconsejó revisar de forma periódica los movimientos de las cuentas y comunicar de inmediato cualquier operación no autorizada.

Por otra parte, es aconsejable notificar a las autoridades si se sospecha haber sido víctima de un caso similar, a fin de que puedan avanzar las investigaciones.