Este escenario es un compuesto tomado de patrones reportados públicamente, no un caso concreto.
Semana 1: reconocimiento
El trabajo previo empieza mucho antes del día del cierre. Los anuncios inmobiliarios, los registros públicos y las publicaciones en redes sociales sobre una mudanza próxima señalan todos que hay una operación en marcha. Un atacante no necesita hackear nada para saber quién está involucrado; el historial de listados de un agente comprador, el directorio del personal de una empresa de titulación o incluso una respuesta de fuera de la oficina pueden nombrar exactamente a quién lleva el expediente.
Días antes del cierre: la preparación
Con los nombres y la fecha de cierre ya establecidos, el atacante monta la infraestructura: un dominio que parece casi idéntico al de la empresa de titulación, o el acceso a un buzón realmente comprometido a través de una contraseña reutilizada o filtrada. Todo está listo antes de que se envíe un solo mensaje sospechoso.
Día del cierre: llega el correo
El mensaje aterriza en un momento en el que la urgencia se siente normal, a menudo cerca del plazo límite de la transferencia. Hace referencia a la dirección real, a la fecha real de cierre y, a veces, a los nombres reales de todos los demás en el expediente. El cambio pedido suele ser pequeño: una actualización del número de ruta, una nota de que la cuenta original "rebotó". Nada parece dramático.
La llamada de seguimiento
Si el comprador duda, a menudo llega una llamada telefónica, a veces desde un número suplantado, cada vez más desde una voz generada por IA que coincide con alguien con quien el comprador ya ha hablado. La llamada existe para eliminar la última pizca de duda antes de enviar la transferencia.
Después de la transferencia
Una vez enviados los fondos, normalmente no se quedan mucho tiempo en la cuenta receptora. Se mueven, se fraccionan o se convierten en cuestión de horas, específicamente para adelantarse a una solicitud de retirada. La detección a menudo no ocurre hasta días después, cuando el vendedor o el prestamista real confirma que los fondos nunca llegaron.
Dónde podría haberse roto la secuencia
Cada etapa anterior depende de una sola cosa sin verificar: la identidad de quien pide que el dinero se mueva y la cuenta a la que se está moviendo. Confirmar ambas, de forma independiente, y registrar esa confirmación en un asiento de blockchain a prueba de manipulaciones en lugar de en una base de datos editable, es el único paso que rompe toda la secuencia.
- ¿Con cuánta antelación suelen empezar a planear los atacantes?
- El reconocimiento a menudo comienza semanas antes de un cierre, usando información pública de anuncios, del personal y de redes sociales, en lugar de cualquier intrusión en sistemas.
- ¿Basta una llamada telefónica para confirmar que las instrucciones son legítimas?
- Solo si se hace a un número que ya tenías, no a uno que aparece en el mensaje sospechoso, y combinada con una verificación independiente de identidad y datos de cuenta.