**La justicia estadounidense desmantela red de fraude ghanesa responsable de más de 100 millones de dólares en estafas BEC y de romance**
—
### 1. Introducción
El Departamento de Justicia de Estados Unidos (DoJ) ha anunciado la imputación de cuatro ciudadanos ghaneses, presuntos miembros de una organización criminal transnacional dedicada a la ejecución sistemática de fraudes a través de campañas de Business Email Compromise (BEC) y estafas de romance. Se estima que las actividades ilícitas de esta red han generado pérdidas superiores a los 100 millones de dólares, afectando tanto a empresas como a particulares en múltiples jurisdicciones. El caso pone de manifiesto la persistencia y sofisticación de las amenazas asociadas al fraude digital y la urgencia de reforzar los mecanismos de detección y respuesta en el ámbito corporativo y personal.
—
### 2. Contexto del Incidente
La investigación, liderada por el FBI y la Oficina del Fiscal del Distrito Sur de Nueva York, ha identificado a los acusados como parte de una estructura criminal que operaba principalmente desde Ghana, aunque con ramificaciones y cómplices en varios países, incluidos Estados Unidos, Nigeria y otros destinos africanos y europeos. El grupo se especializaba en dos modalidades de fraude: el BEC, dirigido a empresas de todos los tamaños mediante la suplantación de identidades corporativas, y las estafas de romance, focalizadas en individuos contactados a través de plataformas de citas y redes sociales.
Ambos esquemas se han visto potenciados en los últimos años por la proliferación de herramientas de ingeniería social, la disponibilidad de malware-as-a-service y el uso de técnicas de anonimato digital, dificultando la atribución y persecución penal.
—
### 3. Detalles Técnicos
#### Campañas y Tácticas
Los ataques de BEC ejecutados por la red se caracterizaban por la interceptación y manipulación de comunicaciones empresariales mediante el acceso ilícito a cuentas de correo electrónico (generalmente a través de phishing dirigido o credential stuffing). Una vez dentro, los atacantes monitorizaban las conversaciones y, en el momento oportuno, enviaban instrucciones fraudulentas de transferencia bancaria a los responsables financieros de las empresas.
En cuanto a las estafas de romance, los criminales creaban identidades falsas en plataformas sociales (catfishing), establecían relaciones virtuales de confianza y, tras semanas o meses de interacción, solicitaban transferencias monetarias bajo pretextos de emergencia o inversión.
#### CVE y Herramientas
Aunque no se ha divulgado un CVE específico asociado a la campaña, se han documentado ataques aprovechando credenciales filtradas y debilidades en la configuración de sistemas de correo (por ejemplo, ausencia de autenticación multifactor). Los atacantes emplearon frameworks como Metasploit para pruebas de acceso y herramientas de proxy inverso para eludir controles de seguridad perimetral. Además, se identificaron IoC (Indicadores de Compromiso) tales como dominios typosquatting, direcciones IP asociadas a bulletproof hosting y wallets de criptomonedas empleadas para el blanqueo de capitales.
En términos de TTP, el grupo encaja en los patrones de MITRE ATT&CK TA0001 (Initial Access) mediante Spearphishing y TA0006 (Credential Access), así como TA0009 (Collection) y TA0011 (Command and Control).
—
### 4. Impacto y Riesgos
El impacto económico supera los 100 millones de dólares, según estimaciones oficiales. Se han documentado más de 400 víctimas identificadas, incluyendo pequeñas y medianas empresas (PYMES), grandes corporaciones y particulares, con transferencias individuales que oscilan entre los 10.000 y los 1,5 millones de dólares. Además del perjuicio financiero directo, muchas víctimas han sufrido daños reputacionales y problemas de cumplimiento con legislaciones como el GDPR europeo y la NIS2, dado el compromiso de datos personales y empresariales sensibles.
—
### 5. Medidas de Mitigación y Recomendaciones
– **Implementación de MFA**: Obligatoriedad de autenticación multifactor en todos los accesos a correo y aplicaciones críticas.
– **Políticas de verificación interna**: Procedimientos de doble validación para transferencias bancarias y cambios de cuentas de cobro.
– **Formación continua**: Campañas de concienciación sobre ingeniería social, spearphishing y fraudes de romance para todos los empleados y usuarios.
– **Monitoreo de IoC**: Integración de feeds de amenazas e indicadores actualizados en sistemas SIEM y soluciones EDR.
– **Auditorías periódicas**: Revisiones regulares de la configuración de correo electrónico (SPF, DKIM, DMARC) y controles de acceso.
—
### 6. Opinión de Expertos
Varios analistas SOC y responsables de ciberseguridad consultados coinciden en que el auge de los ataques BEC y de romance responde a la baja barrera tecnológica de entrada y al alto retorno económico. “Estos actores están profesionalizados y aprovechan la fragmentación de los controles internos en muchas empresas”, señala Daniel Romero, CISO de una multinacional del sector financiero. Por su parte, el consultor Antonio Pérez destaca la importancia de la coordinación internacional y la trazabilidad de los flujos económicos para desarticular este tipo de redes.
—
### 7. Implicaciones para Empresas y Usuarios
El caso subraya la necesidad de robustecer la higiene digital tanto en el ámbito corporativo como personal. Las empresas deben revisar sus procesos de gestión de identidades, autenticación y verificación de pagos, mientras que los usuarios particulares deben extremar la precaución ante solicitudes económicas en entornos virtuales. Además, la presión regulatoria derivada de normas como NIS2 y GDPR exige una respuesta proactiva en materia de prevención, auditoría y notificación de incidentes.
—
### 8. Conclusiones
La operación del DoJ contra la red ghanesa representa un paso significativo en la lucha transnacional contra los fraudes BEC y de romance. Sin embargo, la magnitud de las pérdidas y el nivel de sofisticación alcanzado por estos grupos criminales evidencian que la amenaza sigue vigente y en evolución. La colaboración internacional, la capacitación continua y la inversión en tecnologías de detección son esenciales para mitigar el riesgo y proteger los activos de empresas y ciudadanos.
(Fuente: www.bleepingcomputer.com)