De nuevo sobre la pandemia del COVID 19 como caldo de cultivo de la ciberdelincuencia y el servicio público de nuestra CNMV
Parece que la infausta pandemia del COVID 19, no contenta con arruinar nuestra economía, se ha convertido en una suerte de “rio revuelto” en el que algunos delincuentes tecnofinancieros, a modo de “pescadores de fortuna” quieren hacer un uso magnánimo de sus artes de ciberdelincuencia para “desplumar” a los inversores desavisados que acuden a los cientos de “cantos de sirena” digitales que cada día inundan las redes con promesas de ganancias asombrosas gracias a lo barato que esta el mercado de valores. Todo ello con la inestimable colaboración de algunos medios de comunicación (televisiones, periódicos o emisoras de radio) que publicitan cursos «mágicos» de gestión de carteras de valores que conducirán a sus egresados a la riquezas súbita.
Deducimos lo anterior de los avisos que viene publicando recientemente nuestra CNMV durante la última presidencia que ahora acaba de finalizar y cumpliendo de manera escrupulosa y políticamente neutral su razón de ser legal de proteger al inversor de acuerdo con el apartado 2 del art.17 de la LMV para prevenir al público frente a estos “ciberfurtivos”.
En este sentido, en la entrada de este blog del pasado 23 de noviembre de 2020 dimos cuenta de la “información al inversor” titulada “La CNMV alerta de nuevas estrategias informáticas de los chiringuitos financieros” que la CNMV ha publicado el 18 de noviembre de 2020 (bajo el título de “Nuevos fraudes informáticos en el mercado financiero al calor del COVID 19. Advertencia de la CNMV” y en la entrada de este blog de 26 de noviembre de 2020 nos referimos al “Comunicado sobre determinadas malas prácticas en la comercialización transfronteriza de servicios de inversión por parte de entidades radicadas en otros países de la Unión Europea” del pasado 24 de noviembre de 2020 (bajo el título “Del furtivo cibernético al cazador desaprensivo: “Aviso al navegante” de la CNMV sobre determinadas malas prácticas en la comercialización transfronteriza de servicios de inversión por entidades radicadas en la UE”).
Ahora, debemos seguir la senda de hacernos eco de los avisos de la CNMV advirtiendo al público inversor frente a estos “ciberfurtivos” recogiendo la “Información al inversor” que publicó el pasado día 1 de diciembre la CNMV de “Alerta sobre intentos de fraude a inversores utilizando la identidad e imagen de la CNMV”.
Antecedentes y contexto: avisos de la CNMV, ciberdelincuencia y jurisprudencia civil y penal
Como dicen los clásicos: “no hay nada nuevo bajo el sol”, por lo que conviene no pecar de adanistas y hace memoria de que, ya hace dos años nos hacíamos eco del comunicado de la CNMV de 6 de septiembre de 2018 sobre el phishing de su dominio en el que advertía sobre el envío de comunicaciones por correo electrónico en las que se utilizaba el dominio cnmv.es, se suplanta la identidad e imagen de la CNMV y se incluye un enlace fraudulento en el que se pide al destinatario datos personales (ver la entrada de este blog del 11 de septiembre de 2018 sobre “Ciberseguridad institucional: “phishing” del dominio de la CNMV”).
Entonces nos hacíamos eco, en particular, de la Sentencia núm.92/2017, de 16 de febrero de 2017, de la Sección 1ª de la Sala Segunda de lo Penal del Tribunal Supremo (Ponente: Excmo. Sr. Cándido Conde-Pumpido Touron, Recurso de casación 1245/2016, RJ 2017\647, LA LEY 4627/2017) que resolvió un caso de manipulación de un dominio de internet de una empresa pública española para estafar a varias empresas extranjeras.
En efecto, a partir del mes de agosto de 2010, un conjunto de personas, actuando desde varios países (fundamentalmente Nigeria y España) decidieron aprovecharse del prestigio internacional de MAYASA, MINAS DE ALMADÉN Y ARRAYANES SA, empresa española dedicada a la explotación y comercialización de recursos naturales (en especial mercurio), para obtener un beneficio económico injustificado.
Para ello, crearon el dominio www.mayasaespana.com, alojado en el Reino Unido y desarrollaron una página web a la que se accedía a través de dicho dominio, imitando el estilo, diseño y contenido de la auténtica página web www.mayasa.es, perteneciente a la empresa española, eliminando los datos de contacto auténticos y sustituyéndolos por otros.
De esta manera, cuando los clientes de MAYASA accedían por error a la página web alojada en el dominio www.mayasaespana.com, se les facilitaban teléfonos de contacto y direcciones de correo electrónico que correspondían a personas que actuaban en concierto con los que habían creado la falsa página web. Así, los clientes de MAYASA, creyendo estar en contacto con empleados o agentes comerciales de dicha entidad, contactaron con personas que nada tenían que ver con la empresa, quienes, actuando en colaboración con los que habían creado la falsa página web, ofrecían partidas de mercurio a precios ventajosos, exigiendo que se remitiera a las cuentas por ellos designadas cantidades en efectivo por adelantado, en concepto de señal o como confirmación de los pedidos. En concreto, los tres acusados, en ejecución del plan preconcebido, lograron que 4 empresas extranjeras les adelantaran cantidades de dinero ocasionándoles los siguientes daños: a una empresa radicada en la India, 17.283,44 euros; a una empresa radicada en Arabia Saudí, 23.154 euros; a una empresa radicada en Singapur, 99.799,95 euros; y a una empresa radicada en Turquía, 14.000 euros (el lector interesado en este caso puede ver la entrada del pasado 17 de abril de 2017 sobre “FINTECH, ciberseguridad, manipulaciones de dominios de internet, “pishing” y responsabilidad bancaria: Jurisprudencia civil y penal reciente”).
El comunicado de la CNMV de 1 de diciembre de 2010 sobre el phishing de su dominio
A la vista de los antecedentes y del contexto que acabamos de describir, desde la modesta vocación de servicio público de este blog, nos parece particularmente oportuno hacernos eco, en este blog, de la reciente “Alerta sobre intentos de fraude a inversores utilizando la identidad e imagen de la CNMV” que publicó la propia CNMV el pasado día 1 de diciembre en la que constataba haber detectado intentos de fraude a inversores utilizando la identidad y la imagen de la CNMV consistentes, entre otras conductas, en:
a) El envío de comunicaciones a inversores por correo electrónico desde dominios similares a …@cnmv.es (como por ejemplo …@cnmv.help) con mensajes a inversores (en ocasiones relacionados con el ámbito de las criptomonedas).
b) Respuestas a consultas de inversores con documentos escaneados, con formato, contenido y firmas falsas de responsables de la CNMV.
c) Contratos de las empresas fraudulentas para que los firmen los inversores, que incluyen el logo de la CNMV para dar apariencia de seriedad y legalidad.
Dice al respecto el comunicado que “en cuanto ha tenido conocimiento de los hechos, la CNMV ha llevado a cabo diversas actuaciones, entre ellas alertar a las Fuerzas y Cuerpos de Seguridad del Estado. La CNMV emprenderá las acciones legales a su alcance para impedir y limitar estas prácticas”.
Hace la CNMV un último llamamiento a la autoprotección de los inversores cuando añade: “En todo caso, la CNMV aconseja verificar la procedencia de cualquier comunicación recibida en su nombre. En concreto, se considera recomendable:
a) Verificar que los correos electrónicos de la CNMV proceden del dominio …@cnmv.es y asegurarse del origen de la fuente, para descartar la existencia de enlaces extraños y ajenos a www.cnmv.es.
b) Desconfiar de contratos o documentos no oficiales que incluyan el logo de la CNMV.
c) Desconfiar de cualquier comunicación que incluya la petición de información confidencial, económica o personal o incluya cualquier enlace de apariencia sospechosa.
d) Recordar que la CNMV nunca le invitaría a realizar una inversión ni le cobraría por ello.
e) Ante cualquier sospecha o duda, contactar con el Departamento de inversores de la CNMV a través del correspondiente formulario de consulta.
Por último, “la CNMV agradece la colaboración ciudadana para informar de este tipo de fraudes, como ha ocurrido en esta ocasión. Por ello, considera útil que quien tenga conocimiento de un caso de este tipo remita a la Comisión el material original (correo, respuesta, etc..) para que sea posible el análisis correspondiente”.