Este caso del email suplantado en Castilleja de la Cuesta describe un fraude con una particularidad incómoda: el mensaje que desvió las arras de una vivienda no imitaba a nadie, sino que salió del buzón auténtico de la inmobiliaria.
Los datos de este caso están anonimizados y modificados para proteger la confidencialidad de las partes.
Contexto del email suplantado en Castilleja de la Cuesta
Un matrimonio negociaba la compra de un chalé en Castilleja de la Cuesta a través de una agencia inmobiliaria local. Las conversaciones habían sido siempre por correo, con la misma comercial y desde el mismo dominio.
Después, una semana antes de la firma del contrato de arras, llegó un mensaje de esa comercial. En él, anunciaba que el vendedor prefería recibir la señal en una nueva cuenta. Además, adjuntaba un documento con el IBAN y el nombre del supuesto titular.
Así, los compradores transfirieron el importe. Días después, el vendedor preguntó por el pago y nadie entendía nada. Sin embargo, la comercial aseguraba que nunca había enviado aquel correo.
El encargo del despacho
El abogado de los compradores estudiaba una reclamación civil frente a la agencia. Para ello, necesitaba saber si el email suplantado en Castilleja de la Cuesta procedía de un dominio parecido o de la propia cuenta de la comercial.
Además, la diferencia era jurídicamente relevante. Si el correo salía de un dominio imitado, los compradores podían haber detectado el engaño. En cambio, si salía del buzón real, la discusión giraba hacia la seguridad de los sistemas de la agencia.
Retos técnicos del email suplantado en Castilleja de la Cuesta
El primer análisis desconcertó a todos. Las cabeceras del mensaje recibido superaban las comprobaciones SPF, DKIM y DMARC sin incidencias. Por tanto, el correo había salido realmente de los servidores del dominio de la inmobiliaria.
De hecho, este punto marca la diferencia con otros fraudes de cambio de cuenta. Por ello, aquí no bastaba con estudiar el mensaje recibido. Había que mirar dentro del buzón emisor, que no pertenecía a nuestros clientes.
Además, el tiempo jugaba en contra. Los registros de auditoría de los servicios de correo en la nube se conservan durante un plazo limitado, que depende de la licencia contratada. Si nadie los exportaba pronto, la prueba desaparecería por simple caducidad.
Metodología aplicada
En primer lugar, el abogado envió un burofax a la agencia solicitando la conservación de los registros. La agencia aceptó colaborar, ya que también quería conocer lo sucedido.
A continuación, nos desplazamos a su oficina junto al técnico informático externo de la empresa. Allí seguimos este procedimiento:
- Exportación de los registros de inicio de sesión de la cuenta de la comercial, con direcciones IP, país y dispositivo.
- Descarga del registro de auditoría del buzón, que anota la creación de reglas y el envío de mensajes.
- Revisión de las reglas de bandeja de entrada activas y de su fecha de creación.
- Cálculo del hash de cada fichero exportado y firma de un acta conjunta con el técnico.
- Análisis del mensaje recibido por los compradores, extraído de su propio buzón con sus cabeceras completas.
Asimismo, verificamos si la cuenta tenía activado el doble factor de autenticación. Pues bien, no lo tenía.
Hallazgos del peritaje del email suplantado en Castilleja de la Cuesta
Los registros mostraron un inicio de sesión desde una dirección IP extranjera tres semanas antes del fraude. Además, ese acceso usó un navegador que la comercial no utilizaba nunca.
Poco después, alguien creó una regla oculta en el buzón. Esa regla movía a una carpeta poco visible cualquier mensaje que contuviera las palabras «transferencia», «cuenta» o «IBAN». De este modo, la comercial no veía las respuestas de los compradores sobre el pago.
Finalmente, el registro de auditoría anotó el envío del mensaje fraudulento desde la propia cuenta, a una hora en la que la comercial estaba enseñando otra vivienda. El documento adjunto, por su parte, tenía metadatos de creación incompatibles con los programas de la agencia. Por tanto, el email suplantado en Castilleja de la Cuesta quedaba explicado de principio a fin.
¿Qué no pudo determinar el análisis?
El informe no identificó al autor del acceso, porque la dirección IP pertenecía a un proveedor de servicios de anonimato. Esa línea de investigación corresponde al juzgado penal.
Resultado procesal
Los compradores presentaron denuncia por estafa, delito previsto en los artículos 248 y siguientes del Código Penal. Además, el abogado aportó el informe en la reclamación civil frente a la agencia como documento pericial.
Después, la agencia trasladó el asunto a su aseguradora de responsabilidad civil. A partir de ahí, las partes abrieron una negociación que seguía en curso cuando cerramos nuestro encargo. En cualquier caso, el informe había fijado un relato técnico que ninguna de ellas discutía ya.
Lecciones para abogados en casos de email suplantado en Castilleja de la Cuesta
- Que un correo supere SPF, DKIM y DMARC no significa que lo escribiera su titular.
- Pida cuanto antes la conservación de los registros del buzón emisor, porque caducan.
- Revise siempre las reglas de bandeja de entrada: son la firma habitual de estos ataques.
- Valore la ausencia de doble factor al analizar la diligencia de cada parte.
Puede conocer nuestro método en el servicio de peritaje de correo electrónico en Sevilla. Si desea comparar, el caso del correo falso de un proveedor en Sevilla muestra el escenario contrario, con un dominio imitado.
Preguntas frecuentes sobre el email suplantado en Castilleja de la Cuesta
¿Cómo sé si un email suplantado en Castilleja de la Cuesta salió de un buzón real?
En primer lugar, las cabeceras dan la pista inicial. Sin embargo, la confirmación exige revisar los registros de inicio de sesión y de auditoría del buzón emisor.
¿Puede exigirse a la otra parte que entregue sus registros?
Puede pedirse su conservación y, en el proceso, su aportación. Además, muchas empresas colaboran porque también quieren saber qué ocurrió.
¿Cuánto tiempo hay para actuar?
Muy poco, en general. Los registros de auditoría tienen plazos de retención limitados, de modo que conviene actuar en los primeros días.
Si su cliente ha pagado a una cuenta ajena tras un correo aparentemente legítimo, llámenos al 954 309 240 o escríbanos desde la página de contacto. Nos desplazamos a cualquier punto de la provincia de Sevilla.
