Investigaciones de fraude
La labor de investigación de fraudes se sitúa en la encrucijada entre la seguridad y el trabajo de investigación a la antigua usanza. Ya se trate de un caso de compromiso del correo electrónico empresarial (BEC) que haya dado lugar a una transferencia bancaria a una cuenta equivocada, de una sospecha de manipulación de registros financieros por parte de personal interno o de una relación con un proveedor que no cuadra, el objetivo es el mismo: averiguar qué ocurrió realmente, elaborar un expediente que se sostenga si es necesario remitirlo a las fuerzas del orden, a los abogados o a la aseguradora, y, a continuación, subsanar la brecha que permitió que sucediera.
Por dónde suele empezar esto
La mayoría de los casos de fraude por los que me llaman comienzan con un número que no coincide, un pago que se ha destinado a donde no debía o un patrón que alguien ha detectado casi por casualidad. El compromiso del correo electrónico empresarial (BEC) es el que veo con más frecuencia: un atacante accede a una cuenta de correo electrónico o suplantó una de forma lo suficientemente convincente, se introduce en una conversación real sobre una factura o una transferencia bancaria y redirige el dinero antes de que nadie se dé cuenta de que los datos de la cuenta han cambiado. Los casos de fraude interno son diferentes: suelen ser un patrón que se va desarrollando con el tiempo y que se descubre a través de una irregularidad en los registros, una anomalía en el acceso o una denuncia.
Cómo llevo a cabo una investigación
Empiezo por preservar la evidencia antes que nada, ya que las investigaciones de fraude se desmoronan cuando se sobrescriben los registros, se borran los correos electrónicos durante una limpieza o se modifican los sistemas antes de que el panorama quede claro. A partir de ahí, reconstruyo la cronología —encabezados y metadatos de los correos electrónicos, registros financieros, registros del sistema y de acceso, comunicaciones— para establecer qué ocurrió realmente y quién o qué fue el responsable. Presto especial atención a la línea divisoria entre lo que demuestra la evidencia y lo que son meras especulaciones, ya que una investigación que exagera sus conclusiones no resiste un análisis riguroso y puede generar un riesgo jurídico real.
Una vez respondida la pregunta «¿qué ocurrió?», paso a plantearme «¿cómo evitamos que esto vuelva a suceder?», lo que suele traducirse en procedimientos de verificación de pagos que habrían detectado un intento de BEC, controles de acceso o segregación de funciones que habrían dificultado la ejecución de una estafa interna, o sistemas de detección que habrían señalado la anomalía con mayor rapidez. Una investigación de fraude que no culmine en una recomendación concreta de prevención solo está a medias.
A quién va dirigido
Organizaciones que hayan detectado un pago fraudulento o sospechen que se está produciendo uno, empresas que se enfrenten a un presunto fraude interno y cualquier persona que necesite una explicación clara y fundamentada de lo ocurrido para las fuerzas del orden, un abogado o una reclamación al seguro.
Si algo no cuadra, póngase en contacto con nosotros y averigüemos qué ha ocurrido realmente.