El fraude deja huella digital: así detecta Trans.eu las nuevas estafas

Michał Pakulniewicz: Hace dos años, analizamos el fraude en el transporte y describiste la situación como una especie de «onda sinusoidal». En un momento predominaban los transitarios falsos y, en otro, el problema principal eran los delincuentes que se hacían pasar por transportistas. Entonces, la amenaza más importante era hacerse con empresas de transporte existentes. ¿Qué ha cambiado desde entonces?

Piotr Sobala, responsable del equipo internacional de seguridad de Trans.eu Group: Utilicé la expresión «onda sinusoidal» porque la delincuencia en el transporte lleva años adoptando formas distintas. En algunas etapas aumentan los fraudes relacionados con falsos transportistas; en otras, el mayor riesgo procede de transitarios deshonestos.

Hace dos años, los delincuentes llevaban a cabo operaciones muy sofisticadas para hacerse con empresas de transporte legítimas. Adquirían negocios con una trayectoria consolidada y aprovechaban la confianza que esas compañías habían generado durante años. Así podían parecer fiables tanto a transitarios como a transportistas y hacerse con varias cargas de gran valor en poco tiempo.

Parecía lógico pensar que este método iba a extenderse aún más. Sin embargo, los delincuentes han optado cada vez más por otra estrategia. Ya no necesitan hacerse con el control de una empresa entera cuando resulta mucho más sencillo robar su identidad digital.

¿En qué consiste exactamente?

La principal amenaza es ahora el phishing: engañar a los usuarios para que entreguen sus datos de acceso. Es un método más sencillo, barato y, sobre todo, rápido que hacerse con una empresa completa. El patrón suele repetirse. El usuario recibe un mensaje que aparenta proceder de la plataforma.

El mensaje puede pedirle que vuelva a iniciar sesión, actualice los datos de la cuenta o resuelva algún supuesto problema. El enlace no dirige al sitio real de Trans.eu, sino a una copia prácticamente idéntica. Cuando la víctima introduce su nombre de usuario y contraseña, el delincuente obtiene acceso y puede hacerse pasar por la empresa legítima durante un tiempo limitado.

Muchos propietarios creen que detectarían un correo falso de inmediato. ¿Son realmente tan convincentes estos mensajes?

Por desgracia, cada vez resulta más difícil identificarlos. Las primeras campañas de phishing solían contener señales evidentes, pero hoy las páginas falsas de inicio de sesión pueden ser casi idénticas a las originales. En muchos casos, la única diferencia está en la dirección web: una letra modificada o una extensión de dominio distinta. Cuando alguien trabaja con prisa y gestiona decenas de mensajes al día, es fácil pasar por alto ese detalle. Y eso es precisamente lo que esperan los delincuentes.

¿Qué ocurre después? ¿Utilizan la información robada inmediatamente?

No siempre. Este es uno de los aspectos que más sorprenden. El delincuente puede no acceder a la cuenta ese mismo día: puede esperar una semana, un mes o incluso más. Detectamos un fuerte aumento de las campañas de phishing entre finales de 2024 y comienzos de 2025, mientras que los intentos de utilizar los accesos robados aparecieron varios meses después.

El atacante vigila la actividad de la empresa y espera el momento en que la operación tenga más posibilidades de éxito. Solo entonces utiliza la cuenta comprometida. Por eso, el propietario puede no relacionar el incidente con un mensaje en el que hizo clic semanas antes.

También hay una diferencia importante respecto a hace dos años. Antes, preparar un ataque podía llevar meses. Ahora, la prioridad suele ser actuar con rapidez. Cuando alguien toma el control de una cuenta existente, sabe que el propietario puede detectar pronto un acceso no autorizado o un usuario nuevo. No hay tiempo para pasar varios días construyendo credibilidad: quizá solo disponga de unas horas.

¿Influye esto en la cantidad de mercancía robada? Cuando controlaban una empresa completa, los delincuentes podían preparar con más calma una operación importante. ¿Es menos eficaz robar una identidad?

Sí. Hace unos años, los delincuentes dedicaban mucho tiempo a preparar una única operación de gran alcance. Se apoderaban de una empresa creíble, montaban la infraestructura necesaria, planificaban el ataque durante semanas y después engañaban a varios transitarios para sustraer varias cargas de gran valor en poco tiempo. Controlar una empresa tenía sentido cuando el objetivo era robar muchas mercancías valiosas. Hoy la situación es distinta.

Quien utiliza una cuenta comprometida sabe que la oportunidad será breve. El titular puede detectar un acceso extraño, nuestros analistas pueden identificar una actividad sospechosa o la cuenta puede quedar bloqueada.

Por eso la velocidad resulta decisiva. En lugar de organizar un robo a gran escala con numerosas cargas, los delincuentes suelen intentar hacerse con una o dos y desaparecer. El resultado es una paradoja: aumentan los intentos de estafa, pero disminuye el valor de cada robo.

Aun así, 2025 fue un año récord en Europa para el robo de mercancías.

Es cierto, y demuestra que el problema sigue lejos de desaparecer. En el mercado europeo, el número de incidentes alcanzó niveles récord. Según la fuente consultada, las estimaciones sitúan el número de incidentes en el doble o incluso el triple de la cifra del año anterior. Estos datos reflejan la magnitud del desafío al que se enfrenta el sector.

Sin embargo, los datos de nuestra plataforma muestran otro aspecto especialmente relevante. Aunque detectamos más intentos de fraude, el valor total de la mercancía sustraída está disminuyendo. Como decía, quien accede a una cuenta mediante phishing sabe que tiene muy poco tiempo. El titular o nuestro equipo de seguridad probablemente detectará pronto cualquier comportamiento extraño.

Ya no hay margen para preparar una gran operación. Los delincuentes tienen que actuar de inmediato. Eso se traduce en más intentos, pero en ataques individuales de mucha menor escala.

Además, durante la primera mitad de 2025 observamos que también descendió el número de empresas afectadas. Esto apunta a que los delincuentes siguen desarrollando nuevos métodos, mientras que nuestras medidas de seguridad ayudan a contener las pérdidas.

Para nosotros, este indicador es mucho más importante que el número de incidentes por sí solo. Los socios comerciales también conocen mejor los riesgos y prestan más atención a las actividades sospechosas, otro factor que contribuye a reducir el robo de mercancías.

Entonces, ¿podemos decir que 2025 estuvo marcado en gran medida por la gran oleada de phishing de finales de 2024 y comienzos de 2025, seguida de un periodo más estable durante la primera mitad del año gracias a las nuevas medidas de protección?

Me gustaría decir que fue exactamente así, pero sería una conclusión demasiado sencilla. No veo señales de que los ciberdelincuentes hayan dado un paso atrás. Al contrario, siguen apareciendo nuevos escenarios.

Hemos detectado casos en los que una cuenta comprometida no se utilizó de inmediato para robar mercancía. En su lugar, el estafador envió archivos PDF con malware a través del sistema de mensajería de la plataforma. Abrir uno de esos documentos podía comprometer también el ordenador del destinatario. Es otro ejemplo de cómo los delincuentes buscan constantemente nuevas vías para acceder a más cuentas.

Has mencionado nuevas tácticas. ¿Sigue siendo el phishing la mayor amenaza o están ganando peso otros métodos?

El phishing es uno de los dos grandes escenarios. Antes de hablar del segundo —la creación de sociedades pantalla en la plataforma—, conviene recordar que el robo de identidad también continúa de una forma más tradicional: los delincuentes se hacen pasar por empresas fuera de la plataforma.

Crean direcciones de correo electrónico muy parecidas a las auténticas. La diferencia puede reducirse a un solo carácter o a una extensión de dominio distinta.

Después contactan con transportistas o transitarios e intentan trasladar la conversación fuera de la plataforma. Es una táctica antigua, pero sigue siendo muy eficaz. Según los casos que nos comunican, la gran mayoría de las estafas que se producen fuera de las plataformas de transporte se basan en este tipo de suplantación.

¿Y la gente sigue cayendo?

Por desgracia, sí. Es fácil pensar que un método conocido por todos ya no debería funcionar. En la práctica, basta con actuar con prisa, tener un momento de distracción o enfrentarse a una situación aparentemente urgente. Ese es el mecanismo presente en cualquier campaña de phishing: impedir que la persona se detenga a pensar con calma.

Por eso recordamos continuamente a los usuarios que comprueben quién ha enviado el mensaje, verifiquen la dirección web y no trasladen la comunicación fuera de la plataforma salvo que exista un motivo claro.

También has mencionado las sociedades pantalla como otra de las principales tácticas de los estafadores.

El phishing sigue siendo uno de los problemas más graves, pero no es el único. Cada vez supone un reto mayor la creación de empresas destinadas exclusivamente a aprovechar una reputación cuidadosamente construida durante varios meses. Esta es la segunda tendencia clara que observamos actualmente.

Hace unos años, muchos delincuentes intentaban hacerse con empresas consolidadas y con una larga trayectoria. Ahora puede resultar más rentable crear una entidad nueva, superar el proceso de verificación, dedicar varios meses a construir un perfil creíble y cometer el fraude solo después. Requiere paciencia, pero les proporciona mucho más control sobre toda la operación.

¿Son negocios ficticios o empresas legítimas que realmente operan?

Eso es precisamente lo que hace que la amenaza sea tan difícil de detectar. En muchos casos, son empresas registradas legalmente. Tienen licencia, seguro, historial de actividad y un propietario identificable, y completan el proceso de autorización. Sobre el papel, todo parece estar en orden.

No se trata de una compañía que pueda descartarse de inmediato por sospechosa. Más bien al contrario: puede parecer completamente normal durante muchos meses.

Pero ¿realmente realizan trabajos de transporte en la bolsa?

A menudo, sí. Este es otro cambio que hemos observado. Antes, los estafadores querían actuar lo más rápido posible. Ahora pueden construir su credibilidad con paciencia: completar algunos servicios, conseguir valoraciones positivas y acumular referencias. Todo parece normal.

Solo después de cierto tiempo, la empresa llega al momento para el que fue creada: realiza un robo, en ocasiones dos, y la operación termina.

¿Significa esto que las comprobaciones documentales ya no son suficientes?

Exactamente. Revisar la documentación sigue siendo fundamental. Tenemos que saber quién ha registrado la empresa y comprobar que los documentos aportados sean auténticos. Pero este proceso ya no ofrece por sí solo una protección completa.

Quien planifica un fraude desde el principio puede preparar toda la operación con mucha más eficacia que hace unos años. Por eso es igual de importante vigilar qué ocurre con una empresa después de completar el proceso de autorización.

¿Quiere decir que una mayor vigilancia no depende solo del operador de la plataforma, sino también de sus usuarios? ¿Han empezado estos a prestar más atención a las actividades sospechosas?

Sin duda. Hace unos años, muchas personas comprobaban poco más que si una empresa estaba verificada y cuánto tiempo llevaba operando. Hoy las compañías analizan mucha más información.

Revisan el historial de colaboración, el número de pedidos completados, las referencias y la actividad en la plataforma. Si una empresa lleva solo unos meses creada y apenas tiene trayectoria operativa, cada vez es más habitual que los usuarios hagan preguntas adicionales. Es una evolución positiva: la concienciación ha mejorado claramente.

Aun así, los delincuentes —porque eso es lo que son— siguen consiguiendo engañar a la gente.

Por desgracia, sí. Los delincuentes también aprenden de lo que ocurre en el mercado. Si saben que las empresas nuevas reciben un mayor escrutinio, no tienen por qué actuar una semana después de registrarse. Pueden esperar varios meses o incluso más. Su objetivo es generar confianza. Cuanto más creíbles parecen, más probable es que alguien se salte una comprobación adicional.

¿Se puede identificar de qué países proceden con más frecuencia estas empresas?

Por lo que observamos, suelen ser entidades extranjeras. En los casos que analizamos actualmente aparecen con más frecuencia empresas del Reino Unido, Italia, Rumanía y Lituania. Esto no significa que las compañías de esos países sean menos fiables. Son simplemente las jurisdicciones que aparecen más a menudo en las investigaciones que llevamos a cabo.

¿Y qué ocurre con las campañas de phishing mencionadas antes? ¿De dónde proceden?

Cuando analizamos los datos técnicos, comprobamos que muchos intentos de acceso y buena parte de la infraestructura utilizada por los delincuentes están vinculados a direcciones IP de Armenia. Pero es importante hacer una distinción: una dirección IP no nos dice quién está detrás del ataque. Puede indicar dónde opera un grupo delictivo o señalar servidores alquilados e infraestructura utilizada para ejecutar las acciones. No podemos concluir sin más que los responsables proceden de ese país.

Por lo que cuentas, ya no hablamos de estafadores aislados, sino de grupos bien organizados.

Eso es también lo que estamos viendo. La división de tareas es cada vez más clara. Algunas personas consiguen acceso a las cuentas. Otras localizan las cargas más atractivas. Otro grupo puede encargarse del robo físico o de la venta posterior de la mercancía.

Esto demuestra que la delincuencia en el transporte se está profesionalizando. Por eso los métodos de verificación tradicionales ya no bastan. No solo debemos analizar documentos, sino también el comportamiento de los usuarios. Muy a menudo, la conducta es la primera señal de que algo no encaja.