Cuando utilizamos el DNI electrónico, la firma digital, el número de cuenta o el correo electrónico para firmar contratos, realizar transferencias, gestionar trámites con la Administración o comunicarnos con clientes y proveedores, conformamos una identidad digital que agiliza la forma en la que trabajamos, hacemos gestiones e interactuamos con terceros. Pero la digitalización ha multiplicado los riesgos. Entre ellos, uno de los más preocupantes es la suplantación de identidad digital.
Estamos ante un fraude cada vez más habitual y en continua escalada. Según datos del INCIBE y del Ministerio del Interior, los ciberdelitos por suplantación han aumentado de manera alarmante. Los ladrones tecnológicos roban datos, crean perfiles falsos o toman el control de cuentas para hacerse pasar por otra persona en el entorno digital. Sus variados objetivos suelen ser obtener un beneficio económico, acceder a información confidencial o dañar la reputación de alguien.
Las consecuencias alcanzan distintos grados: desde pequeñas transferencias bancarias fraudulentas y la contratación de servicios sin consentimiento hasta el gravoso acceso a documentación sensible o la paralización de la actividad de una empresa o negocio. Determinados colectivos, como los Administradores de Fincas, asesores fiscales, gestores administrativos y otros despachos profesionales se encuentran entre las víctimas de sus ataques, porque diariamente manejan datos personales y financieros.
En este artículo te contamos, de forma sencilla y clara, qué es la suplantación de identidad digital, cómo operan los ciberdelincuentes, cuáles son sus riesgos más habituales y cuánto debes tener en cuenta para protegerte.
¿Qué es la suplantación de identidad digital?
La suplantación de identidad se produce cuando un tercero malintencionado se hace pasar por otra persona o entidad sin su consentimiento y utiliza sus datos personales o corporativos para cometer fraudes, realizar estafas, acceder a información o sistemas sin autorización y causar un perjuicio económico o reputacional.
A diferencia del robo tradicional, en el entorno digital no es necesaria la fuerza para cometer un fraude. Basta con obtener credenciales de acceso, clonar una tarjeta SIM, interceptar un correo electrónico o crear una cuenta falsa en redes sociales para hacerse pasar por la víctima y actuar en su nombre.
Las técnicas más habituales empleadas en la suplantación de identidad
Para suplantar la identidad de una persona, negocio o despacho, los ciberdelincuentes utilizan diferentes técnicas de ingeniería social y métodos de ataque:
- Phishing, Smishing y Vishing: consisten en el envío de correos electrónicos (phishing), mensajes SMS (smishing) o llamadas telefónicas (vishing) en los que la persona atacante suplanta la identidad de una entidad de confianza, como un banco, la Agencia Tributaria, la Seguridad Social o un proveedor habitual, con el objetivo de obtener claves, contraseñas o información confidencial.
- BEC (Business Email Compromise) o fraude del CEO: los delincuentes consiguen acceder a la cuenta de correo de un directivo, empleado o proveedor habitual, con el objeto de dar instrucciones de pago falsas para modificar los datos de una transferencia o redirigir fondos hacia una cuenta bancaria controlada por los atacantes.
- SIM Swapping: se duplica de forma fraudulenta la tarjeta SIM de un teléfono móvil para interceptar los códigos de verificación enviados por SMS, incluidos aquellos utilizados como segundo factor de autenticación (2FA) por entidades bancarias u otros servicios digitales, tales como la adquisición de entradas.
- Malware y keyloggers: son programas maliciosos diseñados para espiar la actividad del usuario, registrar las pulsaciones del teclado o pantalla y capturar credenciales de acceso a banca online, correos electrónicos o plataformas de gestión empresarial.
- Spoofing y manipulación de sistemas telefónicos (Phone Phreaking): los ciberdelincuentes alteran los sistemas telefónicos o las plataformas de telefonía IP (VoIP) de una empresa o negocio para realizar llamadas utilizando su línea, interceptar comunicaciones o suplantar el número oficial del despacho con el fin de ganarse la confianza de clientes y terceros.
Impacto y riesgos de la suplantación de identidad digital
Debemos tener claro que la suplantación de identidad digital no afecta únicamente a grandes empresas o instituciones. Cada vez más particulares, autónomos y pequeños negocios se convierten en objetivos de ciberdelincuentes que buscan acceder fácilmente a información confidencial o utilizar la identidad de otra persona para cometer fraudes.
Una de las consecuencias más habituales es el perjuicio económico directo. Por ejemplo, Laura supo del fraude porque la empresa de rehabilitación de la finca le recordó que no podían comenzar los trabajos hasta recibir el primer pago. El dinero había salido a un destino no deseado. Como vemos, el afectado no descubre el fraude hasta que recibe avisos de impagos o aparece incluido en ficheros de morosidad por operaciones que nunca autorizó.
El impacto no se limita al ámbito económico. La suplantación de perfiles en redes sociales o aplicaciones de mensajería, como WhatsApp, se utilizan para solicitar dinero a familiares y amigos, difundir información falsa o acceder a conversaciones privadas. Recuperar la confianza del entorno personal o profesional y demostrar que determinadas acciones no fueron realizadas por la víctima es un proceso complicado.
Los despachos profesionales, en el punto de mira de los ciberdelincuentes
Aunque el riesgo afecta a cualquier usuario, el impacto es más elevado en determinados colectivos profesionales que manejan diariamente ingentes cantidades de datos personales, información económica sensible y documentación confidencial. Se han convertido en objetivos especialmente atractivos para los ciberdelincuentes por estos motivos:
- Manejo de fondos de terceros: administran varias cuentas bancarias con fondos de Comunidades de Propietarios, gestionan pagos de impuestos de clientes o realizan liquidaciones de nóminas y otros trámites económicos.
- Gran volumen de datos personales y documentación sensible: custodian información personal, bancaria, certificados digitales, escrituras, etcétera, protegidos por el Reglamento General de Protección de Datos (RGPD).
- Uso habitual de certificados y firma digital: u otros sistemas de representación electrónica que hacen que un robo, acceso indebido o uso fraudulento de estas herramientas pueda tener consecuencias legales y administrativas en cadena.
- Relación de confianza con los clientes: cuando un asesor, gestor o administrador envía una factura o comunica un cambio de número de cuenta desde su correo corporativo (o desde una cuenta clonada), el cliente suele confiar en la autenticidad del mensaje, facilitando que el fraude tenga éxito.
Escenarios reales de suplantación de identidad digital en gestorías y despachos profesionales
Para entender el alcance de la suplantación de identidad digital en el día a día de gestorías, asesorías y despachos de administración de fincas, sabemos que los ciberdelincuentes no solo explotan fallos técnicos, sino también un elemento mucho más vulnerable: la confianza.
Interceptación de facturas y cambio de cuentas bancarias
Un ciberdelincuente consigue acceder al correo electrónico de un Administrador de Fincas mediante una campaña de phishing. Tras observar durante semanas las comunicaciones del despacho, sin ser detectado, intercepta una factura relacionada con una obra o un servicio y modifica únicamente el número de cuenta bancaria (IBAN). El pago termina ingresándose en una cuenta controlada por los timadores. Pequeñas cantidades muy onerosas para los copropietarios.
Uso fraudulento del certificado digital
Si los ciberdelincuentes consiguen hacerse con él, pueden actuar en nombre del profesional autorizado: presentar declaraciones tributarias, consultar expedientes, acceder a notificaciones electrónicas o realizar trámites administrativos. Las consecuencias van más allá del impacto económico, ya que estos ataques pueden derivar en responsabilidades legales y provocar un importante daño reputacional.
Suplantación de clientes o proveedores
También es frecuente que los ciberdelincuentes suplanten la identidad digital de un cliente o proveedor para solicitar, con carácter urgente, el envío de documentación confidencial. La combinación de una relación de confianza previa y la presión por responder con rapidez puede llevar a ejecutar estas operaciones sin verificar antes la identidad del remitente. Esto le ocurrió a Jacinto que alquilaba una plaza de garaje a través de un portal inmobiliario: llegó a recibir un justificante de la transferencia a su banco habitual, lógicamente falsa.
Estos ejemplos evidencian que la principal vulnerabilidad radica en el factor humano con mediación de la tecnología y la ausencia de medidas de prevención y seguridad adecuadas.
Consecuencias legales, financieras y reputacionales de la suplantación de identidad digital
La suplantación de identidad digital tiene consecuencias más allá de la pérdida económica derivada de un fraude. Cuando un ciberdelincuente consigue acceder a los sistemas de un despacho profesional o utilizar la identidad de sus clientes, el incidente afecta al ámbito legal.
Responsabilidad frente a los clientes
Si se demuestra que el fraude fue posible por la falta de medidas de seguridad adecuadas (como contraseñas débiles, ausencia de autenticación multifactor, equipos desactualizados o una deficiente gestión de los accesos), cualquier negocio podría enfrentarse a reclamaciones por los daños y perjuicios.
Protección de datos y cumplimiento del RGPD
Cuando una suplantación de identidad afecta al acceso no autorizado, puede producirse una brecha de seguridad sujeta al Reglamento General de Protección de Datos (RGPD). El responsable del tratamiento deberá notificar la incidencia a la Agencia Española de Protección de Datos (AEPD) y, cuando exista un riesgo para los derechos y libertades de los afectados, también comunicárselo a las personas afectadas dentro de los plazos legalmente establecidos.
Daño reputacional
La confianza es uno de los principales activos de cualquier asesoría, gestoría o administración de fincas. Un incidente de suplantación de identidad digital afectará a la imagen del despacho y la pérdida de nuevas oportunidades de negocio. Por ello, resulta fundamental contar con protocolos de actuación e implantar medidas de prevención que permitan responder con rapidez y minimizar el impacto del incidente.
Decálogo de prevención: cómo proteger la identidad digital
Los delincuentes siempre van por delante y los ciberdelincuentes son muy ágiles, perfeccionan constantemente sus técnicas. No dejes para mañana las buenas prácticas de ciberseguridad:
- Activa la autenticación en dos factores (2FA). Protege tus cuentas de correo, banca online, redes sociales y servicios en la nube con un segundo método de verificación.
- Verifica los cambios por un segundo canal. Si recibes una solicitud para modificar un número de cuenta o realizar una transferencia, confirma siempre la operación mediante una llamada telefónica o un canal de comunicación distinto.
- Reduce tu huella digital. Evita publicar información personal o profesional innecesaria en redes sociales, como documentos, ubicaciones, viajes o datos que facilitan ataques de ingeniería social.
- Protege tus certificados digitales. No compartas los archivos del certificado electrónico ni los almacenes en equipos accesibles por terceros. Utiliza contraseñas robustas y limita los permisos de acceso.
- Desconfía de correos, SMS y llamadas sospechosas. Comprueba siempre la dirección del remitente, los enlaces y el contenido de los mensajes antes de facilitar datos personales o realizar cualquier operación.
- Configura correctamente la privacidad de tus dispositivos y aplicaciones. Revisa periódicamente los permisos concedidos y elimina aquellos que no sean necesarios. Solicita ayuda técnica si careces de conocimientos.
- Mantén tus equipos actualizados. Instala las últimas actualizaciones del sistema operativo, antivirus y aplicaciones para corregir vulnerabilidades conocidas.
- Realiza copias de seguridad periódicas. Conserva al menos una copia desconectada de la red para poder recuperar la información en caso de incidente.
- Elimina cuentas y servicios que ya no utilices. Reducir tu presencia digital también disminuye las oportunidades de que tus datos sean utilizados de forma fraudulenta.
- Instruye a todos los usuarios. En el ámbito familiar y empresarial, la prevención comienza por conocer las principales técnicas de fraude y saber cómo reaccionar ante un intento de suplantación.
El Seguro de Ciberriesgos que recomienda José Silva Correduría
Desgraciadamente, ninguna medida garantiza una protección absoluta. Por eso, contar con un seguro de ciberriesgo resulta esencial: puede marcar la diferencia entre un incidente controlado y un problema con importantes consecuencias económicas, legales y reputacionales.
Para ayudar a empresas y profesionales a prepararse (auditoría) y defenderse (escuela) de los riesgos digitales, la suplantación de identidad en concreto, y otras ciberamenazas, en la Correduría de Seguros José Silva seleccionamos el seguro de ciberriesgos que protege tanto el patrimonio como la continuidad de la actividad empresarial.
Por supuesto, responde ante la Responsabilidad Civil por reclamaciones de terceros o incidentes de ciberseguridad, asume los gastos de defensa jurídica y la protección ante la divulgación de información confidencial o daños reputacionales.
La póliza también cubre los gastos ocasionados por ciberataques, como los costes de recuperación de datos, la restauración de sistemas informáticos, la interrupción de la actividad, la pérdida de beneficios o determinadas situaciones de extorsión cibernética, como los ataques de ransomware.
Además, incorpora servicios de valor añadido para la gestión de brechas de seguridad, el cumplimiento normativo en materia de protección de datos y la notificación a los afectados cuando resulte legalmente exigible. Asimismo, ofrece cobertura frente al fraude para cuentas de las Comunidades de Propietarios o el acceso no autorizado a los sistemas telefónicos de la empresa.
Identificamos los riesgos de cada cliente para diseñar el Seguro de Ciberriesgos particularizado a sus circunstancias.