5 detenidos por fraude phising
Cinco detenidas en Portugal por un fraude bancario de 110.000 euros
La Policía Judiciária portuguesa investiga un presunto esquema de fraude bancario que provoca pérdidas cercanas a los 110.000 euros y que culmina con la detención de cinco mujeres.
El caso resulta especialmente relevante desde el punto de vista de la ciberseguridad porque combina phishing, obtención de credenciales, accesos ilegítimos a cuentas bancarias y posible conocimiento interno del funcionamiento de una entidad financiera.
Entre las personas investigadas se encuentra una empleada de banca, circunstancia que añade al caso un componente de amenaza interna o insider threat.
🔎 ¿Cómo funciona un fraude de estas características?
Aunque corresponde a la investigación determinar la participación concreta de cada persona, este tipo de fraude presenta un patrón conocido por las autoridades portuguesas.
El objetivo inicial consiste en conseguir las credenciales de banca electrónica de la víctima. Para ello se utilizan técnicas de phishing, smishing o ingeniería social que simulan comunicaciones legítimas de una entidad financiera.
- La víctima recibe un SMS, correo electrónico o mensaje que aparentemente procede de su banco.
- Se comunica un supuesto problema de seguridad, acceso sospechoso o transferencia pendiente.
- Se facilita un enlace hacia una página que imita el servicio de banca electrónica.
- La víctima introduce usuario, contraseña u otros datos de autenticación.
- Los delincuentes reciben esas credenciales.
- Se intenta acceder realmente a la cuenta bancaria.
- Mediante nuevas llamadas o mensajes se pueden solicitar códigos adicionales de autorización.
- Finalmente se realizan transferencias hacia cuentas controladas directa o indirectamente por la organización.
📱 No se necesita “hackear” el banco
Este punto resulta fundamental para comprender numerosos fraudes bancarios actuales. El atacante no necesita necesariamente vulnerar técnicamente los servidores de una entidad.
En muchos casos se consigue que sea la propia víctima quien entregue involuntariamente las claves necesarias.
El Ministerio Público portugués documenta anteriormente redes que utilizan precisamente este procedimiento: se envían miles de SMS simulando proceder de bancos, las víctimas acceden a páginas falsas e introducen sus credenciales y posteriormente reciben llamadas de personas que se presentan como empleados bancarios.
Mediante esas llamadas se obtienen incluso los códigos necesarios para autorizar las transferencias. En una investigación de este tipo se contabilizan al menos 210 víctimas y más de 1,28 millones de euros sustraídos.
🏦 El elemento preocupante: la posible participación de personal bancario
La presencia de una empleada de banca entre las investigadas introduce un componente especialmente relevante: la amenaza interna.
Una persona con acceso legítimo a una organización puede disponer, dependiendo de sus funciones, de conocimientos sobre procedimientos internos, controles, clientes o sistemas que no posee un atacante externo.
Por esta razón, las entidades financieras aplican controles como separación de funciones, registros de auditoría, limitación de privilegios y supervisión de operaciones anómalas.
Phishing + credenciales robadas + acceso ilegítimo + posible conocimiento interno constituye una combinación especialmente peligrosa.
🌍 No se trata de un caso aislado en Portugal
El Gabinete de Cibercrime de la Procuradoria-Geral da República portuguesa mantiene numerosos avisos relacionados con campañas de phishing bancario y fraude mediante falsos empleados de entidades financieras.
También existen investigaciones de mayor dimensión, como la denominada Operación Pivot, en la que se investigan fraudes bancarios realizados mediante smishing y vishing.
Según el Ministerio Público portugués, los delincuentes obtienen credenciales bancarias, acceden a las cuentas de las víctimas y posteriormente movilizan el dinero sin autorización.
🛡️ ¿Cómo puede protegerse el usuario?
- No se accede al banco mediante enlaces recibidos por SMS o correo.
- Se escribe manualmente la dirección oficial o se utiliza la aplicación bancaria.
- No se facilitan contraseñas completas ni códigos de autorización por teléfono.
- Ante una llamada sospechosa, se cuelga y se contacta con el banco mediante su número oficial.
- Se activa la autenticación multifactor cuando se encuentra disponible.
- Se revisan periódicamente los movimientos bancarios.
- Se activan notificaciones para transferencias, pagos y accesos cuando la entidad las ofrece.
- Ante una operación desconocida, se contacta inmediatamente con la entidad financiera.
🧠 Una lección importante
Este caso muestra nuevamente que el fraude bancario moderno no depende exclusivamente de sofisticados ataques contra infraestructuras informáticas.
La combinación de ingeniería social, robo de credenciales, acceso ilegítimo y conocimiento de los procedimientos bancarios permite desarrollar ataques muy efectivos sin necesidad de comprometer directamente los sistemas centrales de un banco.
Para el usuario existe una regla especialmente sencilla:
📚 Referencias (APA 7)
Departamento Central de Investigação e Ação Penal. (2022). Associação criminosa. Burla qualificada. Acesso ilegítimo. Acusação. Ministério Público de Portugal.
Gabinete de Cibercrime. (2026). Cibercrimes: alertas e informações sobre phishing e burlas. Procuradoria-Geral da República de Portugal.
Procuradoria-Geral Regional de Lisboa. (2025). Operação “Pivot”. Medidas de coação. MP. DIAP de Lisboa.
Polícia Judiciária de Portugal. (2026). Operação LOGIN.