«Phantom hacker» y fraude de soporte técnico: cómo funciona el sistema
La pantalla se congeló. Empezó a sonar una alarma por los altavoces. Un aviso ocupó toda la pantalla: el logotipo de Microsoft, texto en rojo, un número de expediente, un número de teléfono.
«Su dispositivo está comprometido. No lo reinicie. Llame de inmediato».
Y llamaste.
Si estás leyendo esto, ahí empezó todo. Lo que pasó después de la llamada no fue una atención de soporte técnico. No fue una investigación bancaria. No fue un caso federal.
Fue una representación en tres actos, con guion, ensayada y ejecutada por profesionales que ya la habían hecho cientos de veces antes de que descolgaras el teléfono.
Esta página traza todos los actos. Cada fase tenía un nombre, una finalidad y un siguiente movimiento previsto. Leerla no deshará lo ocurrido. Pero cerrará definitivamente la puerta a la pregunta que dejaron los estafadores al desaparecer: «¿cómo no me di cuenta?»
Estás a punto de ver exactamente cómo se construyó para ser invisible.
Cómo se llama realmente esta estafa
Las fuerzas de seguridad, el Centro de Denuncias de Delitos por Internet del FBI y quienes investigan la ciberdelincuencia llaman a esta categoría la estafa del phantom hacker, un término que recoge su arquitectura definitoria: varias capas de suplantación, apiladas una tras otra para crear una realidad fabricada y completamente cerrada.
A diferencia de las estafas de soporte técnico más antiguas, que simplemente cobraban 300 $ a la víctima por «arreglar» un virus inexistente, la operación del phantom hacker busca la liquidación total. El virus informático ya no es la estafa. Es sencillamente la entrada forzada a tu psicología.
Una vez dentro, los operadores no buscan la computadora. Buscan los ahorros de toda una vida.
La arquitectura en tres actos
Lo que hace a este fraude devastadoramente eficaz es el «traspaso». No hablaste con una sola persona. Te fueron pasando por una cadena de mando fabricada, y cada nueva voz verificaba la autoridad de la anterior.
Acto uno: el técnico
Cuando llamaste al número de la pantalla parpadeante, llegaste al acto uno. El operador se presentó como técnico de seguridad de Microsoft, de Apple o de una empresa de antivirus. Era sereno, profesional y estaba centrado por completo en «resolver la brecha de seguridad».
Te indicó que descargaras un software legítimo de acceso remoto, como AnyDesk, TeamViewer o UltraViewer. Una vez instalado, tomó el control de tu pantalla. Abrió ventanas de comandos, ejecutó análisis de diagnóstico falsos y te enseñó líneas de código pasando a toda velocidad. Y entonces llegó el giro.
El técnico se detuvo de golpe. Su tono pasó de servicial a grave. Te informó de que los hackers no solo habían entrado en la computadora: habían entrado en tus cuentas bancarias. Había «direcciones IP extranjeras» intentando en ese mismo momento transferir tu dinero a Rusia o a China.
El técnico dijo que ya no podía ayudarte más. Tenía que escalar el caso de inmediato al departamento de fraude de tu banco.
Acto dos: el investigador del banco
Te pasaron con otra persona, o recibiste una llamada entrante desde un número que coincidía exactamente con el de atención al cliente del reverso de tu tarjeta de débito (algo que se consigue con una simple suplantación del identificador de llamada).
Ese operador se identificó como investigador sénior de fraude de tu banco concreto. Confirmó la peor valoración del técnico: tus cuentas estaban gravemente comprometidas. Incluso podría haber empleados del propio banco implicados en la brecha.
El investigador del banco te indicó que entraras en tu banca electrónica mientras él miraba a través del software de acceso remoto que ya habías instalado. Te enseñó «pruebas» de la presencia de los hackers, a menudo manipulando el HTML de la página del banco en tu pantalla para mostrar temporalmente una enorme transferencia pendiente no autorizada.
Como «el personal interno del banco» estaba comprometido, el investigador te indicó que no te fiaras de nadie de tu sucursal. Te dijo que fueras al banco en persona, sacaras tu dinero de inmediato y mintieras a los empleados si te preguntaban. El estafador te dio exactamente qué decir: «es para una operación inmobiliaria» o «es para una reforma de la casa».
Te dijeron que estabas moviendo el dinero para protegerlo.
Acto tres: el funcionario
Con las víctimas de mayor patrimonio, la red presentaba al cerrador final. El investigador del banco afirmaba que la brecha era tan grave que había activado una investigación federal. Te pasaban con un «agente» de la Reserva Federal, del FBI, de la SEC o de la FTC.
Ese operador facilitaba números de placa, expedientes y documentos oficiales de aspecto gubernamental enviados por correo, con sellos auténticos de las agencias y firmas falsificadas de funcionarios reales.
El agente federal daba la instrucción final: había que mover tu dinero de inmediato a una «caja fuerte del Gobierno» o a una «cuenta alias» creada específicamente para proteger tu patrimonio mientras se rastreaba a los hackers.
La ilusión de la «cuenta segura»
La cuenta segura no era segura, y no era una cuenta que tú controlaras.
Según la infraestructura de blanqueo de la red, te indicaban proteger tu dinero por uno de estos tres métodos:
- Transferencia bancaria: enviar los fondos directamente a una cuenta en el extranjero controlada por la red, disfrazada de cámara acorazada federal.
- Criptomonedas: sacar el efectivo, ir hasta un cajero de bitcoin e ingresar el dinero físico en un monedero con código QR facilitado por el agente federal.
- Lingotes de oro o envíos de efectivo: en variantes recientes y muy organizadas, se indica a las víctimas que compren lingotes de oro físicos o que empaqueten grandes sumas de dinero en metálico y se los entreguen directamente a un «mensajero federal» que llega a su puerta o a un punto de encuentro señalado.
En cuanto se completaba la transferencia, se entregaba el oro o se ingresaban los bitcoines, la operación había terminado en la práctica. Los agentes seguían al teléfono el tiempo justo para asegurarse de que la operación se consumaba, prometiendo llamar a la mañana siguiente con las credenciales de la nueva cuenta segura.
La llamada nunca llegó. Los números estaban desconectados. La pantalla se quedó en blanco.
El segundo golpe: el fraude de recuperación
La optimización de la red no termina con la extracción. Tus datos de contacto, tu perfil psicológico, los detalles de tu pérdida y una estimación de la capacidad económica que te queda quedaron catalogados en cuanto entraste en contacto con la operación. Esos perfiles —las llamadas «listas de primos»— se intercambian y se venden entre redes criminales distintas en foros de la web oscura.
Al cabo de semanas o meses llega un contacto nuevo. Otra voz. Alguien que dice ser agente de una policía internacional, especialista en análisis forense de cadenas de bloques o abogado privado de recuperación de activos. Te cuenta que ha rastreado a los delincuentes, localizado los fondos robados y congelado los monederos.
Para liberar el dinero recuperado hay una tasa. Un coste administrativo. Un impuesto de aduanas.
No es otra estafa que ha dado contigo por casualidad. Es un segundo acto escrito específicamente para quienes sobrevivieron al primero. Es la fase cuatro de la misma operación: la extracción final de la capacidad económica y de la esperanza desesperada que queden después de la primera ronda de pérdidas.
Si después de este fraude recibes cualquier contacto que diga venir de un servicio de recuperación: ese contacto es el fraude.