Una estafa habitual, pero con un final poco habitual. Los Mossos d'Esquadra han conseguido recuperar 1.250.000 euros que unos ciberdelincuentes habían robado a una empresa de Barcelona con una estafa digital que cada vez afecta a más empresas de Catalunya. Los delincuentes consiguieron hacerse pasar por un proveedor habitual de la compañía y engañaron a los responsables financieros para que hicieran una transferencia millonaria a una cuenta bancaria controlada por los estafadores en Hungría. Cuando la empresa descubrió el engaño, el dinero ya había salido del Estado. La rápida actuación de los investigadores de la Unitat Central de Ciberestafes i Investigació Tecnològica (UCCIT) de los Mossos, sin embargo, permitió bloquearlos antes de que los delincuentes pudieran retirarlos o moverlos a otras cuentas. Ahora, después de meses de gestiones policiales y judiciales, la empresa ha recuperado íntegramente el dinero.
El caso es especialmente relevante porque, aunque esta modalidad de estafa es conocida y ha afectado a muchas empresas, recuperar el dinero una vez se ha ejecutado la transferencia es muy complicado. Los ciberdelincuentes acostumbran a mover rápidamente los fondos entre diferentes cuentas bancarias, a menudo situadas en otros países, para dificultar su rastreo y evitar que las autoridades judiciales los puedan inmovilizar. En esta ocasión, la coordinación internacional ha permitido evitarlo.
Suplantaron a un proveedor para robar más de un millón de euros
La investigación comenzó en junio de 2026, cuando la empresa multinacional presentó una denuncia ante los Mossos d'Esquadra. Los autores habían utilizado una técnica conocida como Business Email Compromise (BEC), una modalidad de ciberestafa empresarial que consiste en suplantar la identidad de un proveedor o de una persona de confianza para manipular los pagos de una empresa. En este caso, los delincuentes consiguieron introducirse en unas comunicaciones comerciales legítimas entre la compañía de Barcelona y uno de sus proveedores habituales. Haciéndose pasar por este proveedor, modificaron los datos bancarios de una operación real y consiguieron que los responsables financieros de la empresa ordenaran una transferencia de 1,25 millones de euros a una cuenta que, en realidad, estaba bajo el control de los estafadores.
El engaño estaba preparado para no levantar sospechas. No se trataba de una factura inventada ni de una petición de pago inesperada, sino de una operación comercial real en la que los delincuentes habían conseguido sustituir la cuenta bancaria del destinatario. La empresa descubrió que había sido víctima de una estafa cuando el proveedor legítimo avisó de que no había recibido ni un solo euro de aquella factura, que estaba pendiente de cobrar.
Este tipo de fraude pone en evidencia las carencias de seguridad digital y de los protocolos internos de verificación de muchas empresas. Los estafadores aprovechan las relaciones comerciales habituales y la confianza entre proveedores y clientes para conseguir que los departamentos financieros autoricen pagos sin detectar que los datos bancarios han sido cambiados. La falta de mecanismos adicionales para comprobar los cambios de cuentas bancarias facilita que estos engaños acaben provocando pérdidas de miles o millones de euros.
Una carrera contra reloj para bloquear el dinero en Hungría
Cuando los Mossos recibieron la denuncia, los investigadores de la UCCIT, integrada en la Comissaria General de Tecnologies de la Informació i la Comunicació del comisario Miquel Àngel Garcia Alvira, activaron los protocolos de urgencia para intentar localizar el dinero. Las primeras gestiones bancarias permitieron identificar que el millón y cuarto de euros había ido a parar a una cuenta de Hungría. Los Mossos activaron los canales de cooperación internacional a través de INTERPOL y establecieron contacto con el Servicio Ejecutivo de la Comisión de Prevención del Blanqueo de Capitales e Infracciones Monetarias (SEPBLAC) para agilizar el intercambio de información financiera con las autoridades húngaras.
La rapidez fue determinante. Las autoridades de Hungría consiguieron bloquear cautelarmente la cuenta e inmovilizar la totalidad de los 1.250.000 euros antes de que los delincuentes pudieran hacer desaparecer el dinero. Era el primer paso, y el más importante, para poder devolverlos a la empresa catalana.
Con el dinero asegurado, los investigadores impulsaron la tramitación de una Orden Europea de Investigación y de una orden de embargo internacional para garantizar que los fondos continuaran inmovilizados mientras avanzaban las diligencias judiciales. El juzgado que asumió el caso autorizó estas medidas y las autoridades húngaras confirmaron que el dinero seguía bloqueado. Finalmente, hace pocas semanas, la empresa confirmó que había recuperado íntegramente los 1,25 millones de euros. Un desenlace poco frecuente en este tipo de estafas, en las que las víctimas a menudo descubren el fraude cuando el dinero ya ha pasado por diversas cuentas y resulta prácticamente imposible recuperarlo.
Segunda fase de la investigación
La investigación, sin embargo, no está cerrada. Los Mossos continúan trabajando para identificar a los autores materiales de la estafa, los posibles colaboradores y las personas que debían acabar recibiendo el dinero. Fuentes de la policía catalana alertan, sin embargo, que esta fase para detener a los autores de la estafa es la más complicada. Los ciberladrones trabajan a distancia, incluso fuera de la Unión Europea, y se aprovechan de la IA para conseguir ser más efectivos en esta ingeniería social que se aprovecha de vectores de vulnerabilidad de las empresas para conseguir interponerse entre proveedor y cliente y recibir ingentes cantidades de dinero. El coste-beneficio de estas estafas es exponencial, aseguran expertos en ciberseguridad de la policía catalana. La falta de capacidad real, hoy por hoy, de los Mossos d'Esquadra, como de las otras fuerzas de seguridad estatales, para combatir estas estafas hace que la policía deba reforzar la prevención para evitar que las potenciales víctimas caigan de cuatro patas en la trampa de los ciberladrones.
Los Mossos han reforzado la investigación de estos delitos con una nueva estrategia contra las estafas virtuales para el periodo 2026-2028, que incluye más especialización policial, la consolidación de la UCCIT y la creación de un Grupo de Ciberinteligencia. Actualmente, esta unidad mantiene abiertas 28 investigaciones relacionadas con fraudes digitales y ha conseguido bloquear casi 2,8 millones de euros. Entre enero y agosto de 2026, la policía catalana ha contabilizado 53.577 ciberestafas, unas 220 cada día, con un perjuicio económico que supera los 103 millones de euros. Una cifra que evidencia la magnitud de un fenómeno que no solo afecta a las personas que caen en falsos mensajes o enlaces fraudulentos —como la estafa de WhatsApp que pide el voto por Sophie—, sino también a empresas que pueden perder cantidades millonarias con una única transferencia y en cuestión de segundos.