**Cibercriminales Aprovechan Viviendas Vacías como Direcciones de Entrega para Fraudes Postales y Robo de Identidad**
—
### 1. Introducción
En los últimos meses, se ha detectado un preocupante incremento en el uso de viviendas desocupadas como direcciones de entrega (“drop addresses”) para llevar a cabo fraudes postales y suplantación de identidad. Investigaciones recientes, como las realizadas por Flare, revelan cómo actores maliciosos explotan vacíos en los procesos postales y abusan de identidades falsas, convirtiendo el correo tradicional en un vector clave para actividades delictivas de alto impacto.
—
### 2. Contexto del Incidente o Vulnerabilidad
El auge de la digitalización en servicios bancarios y administrativos ha desplazado la atención de muchas organizaciones de los riesgos asociados al correo físico. Sin embargo, los ciberdelincuentes han identificado en las viviendas vacías un eslabón débil: son utilizadas como puntos de recogida para correspondencia sensible (tarjetas bancarias, documentos de identidad, notificaciones de servicios, etc.), facilitando fraudes financieros y la creación de identidades sintéticas.
En países como España, donde según el INE hay cerca de 3,8 millones de viviendas vacías, el riesgo se amplifica. Los delincuentes localizan propiedades desocupadas a través de registros públicos o simples observaciones, y las emplean como receptores de correspondencia comprometida.
—
### 3. Detalles Técnicos (CVE, vectores de ataque, TTP MITRE ATT&CK, IoC…)
Aunque no existe un CVE específico para este tipo de fraude, la táctica se alinea con TTPs del framework MITRE ATT&CK, especialmente dentro de las técnicas de *Initial Access* y *Collection*:
– **T1078 – Valid Accounts:** Uso de identidades robadas o sintéticas para abrir cuentas bancarias o solicitar servicios.
– **T1119 – Automated Collection:** Automatización del proceso de redireccionamiento postal mediante scripts o servicios online fraudulentos.
– **T1195.002 – Supply Chain Compromise: Compromise Infrastructure:** Manipulación de la cadena postal y de infraestructura física.
**Indicadores de Compromiso (IoC):**
– Solicitudes de cambio de dirección postal no autorizadas.
– Alta de servicios financieros o suscripciones a nombre de terceros en viviendas sin ocupantes.
– Correspondencia devuelta o no entregada inesperadamente.
Los actores suelen emplear técnicas de Open Source Intelligence (OSINT) para identificar viviendas vacías, combinando información inmobiliaria, registros de catastro y bases de datos filtradas en foros clandestinos. Herramientas como Metasploit o frameworks de automatización de scraping son utilizadas para recolectar datos a gran escala.
—
### 4. Impacto y Riesgos
El impacto es significativo tanto para particulares como para empresas:
– **Fraude financiero:** Se han reportado pérdidas millonarias por apertura de cuentas bancarias fraudulentas y uso de tarjetas de crédito enviadas a direcciones falsas.
– **Robo de identidad:** La correspondencia contiene datos personales que pueden ser reutilizados para suplantar identidades o crear “identidades sintéticas”.
– **Compromiso reputacional:** Bancos y proveedores de servicios pueden ver afectada su imagen al ser utilizados como vector para estos fraudes.
– **Incumplimiento normativo:** Incidentes de este tipo pueden suponer graves violaciones del GDPR y la Directiva NIS2, especialmente en lo relativo a la protección de datos personales y notificación de brechas.
Según Flare, el 60% de los fraudes por correo investigados en 2023 implicaron el uso de direcciones de entrega fraudulentas, con un coste medio por incidente que supera los 6.000 euros.
—
### 5. Medidas de Mitigación y Recomendaciones
– **Verificación robusta de direcciones:** Implementar procedimientos de KYC (Know Your Customer) reforzados, incluyendo comprobaciones cruzadas con registros oficiales y validación de ocupación.
– **Alertas tempranas:** Desplegar sistemas de monitorización que detecten cambios sospechosos en direcciones postales asociadas a clientes.
– **Concienciación del personal:** Formación específica para empleados de banca, inmobiliarias y servicios postales sobre patrones de fraude y señales de alerta.
– **Colaboración intersectorial:** Establecer canales de comunicación entre empresas, fuerzas de seguridad y servicios postales para compartir indicadores y mitigar amenazas en tiempo real.
– **Tecnologías de autenticación:** Utilizar biometría o verificación multifactorial para la activación de productos financieros y recogida de documentos sensibles.
—
### 6. Opinión de Expertos
Especialistas en ciberseguridad, como María Fernández, CISO de un banco líder español, advierten: “Mientras las organizaciones centran sus esfuerzos en la protección digital, el correo físico sigue siendo un vector subestimado. La coordinación con servicios postales y la revisión periódica de direcciones registradas es ya imprescindible”.
Por su parte, el analista de amenazas Miguel Ruiz señala: “Los grupos criminales sofisticados combinan OSINT y técnicas de ingeniería social para explotar los puntos ciegos del sistema postal. La automatización y la inteligencia compartida serán claves en la respuesta”.
—
### 7. Implicaciones para Empresas y Usuarios
– **Empresas:** Deben revisar sus políticas de verificación y entrega de documentación, especialmente en sectores financiero, asegurador e inmobiliario. El cumplimiento normativo (GDPR, NIS2) exige controles efectivos para evitar la fuga de datos y el uso indebido de información personal.
– **Usuarios:** Es fundamental monitorizar la correspondencia, reportar pérdidas de cartas o documentos, y utilizar la opción de recogida en sucursal para envíos sensibles.
—
### 8. Conclusiones
La explotación de viviendas vacías como direcciones de entrega para fraudes postales representa una amenaza real y creciente, con importantes repercusiones económicas, legales y reputacionales. La respuesta debe ser proactiva, integrando controles físicos y digitales, y fomentando la colaboración entre los distintos actores del ecosistema. Ante la sofisticación de los atacantes, la vigilancia y la concienciación serán determinantes para mitigar este vector de amenaza emergente.
(Fuente: www.bleepingcomputer.com)