Red de tiendas chinas detrás de una de las mayores estafas online del mundo

Exclusiva: Una vasta red de tiendas chinas falsas que promocionaban marcas de diseño se apoderó del dinero y los datos personales de 800 mil personas en Europa y Estados Unidos, según los datos disponibles.

Al parecer, más de 800 mil personas de Europa y Estados Unidos fueron engañadas para que compartieran los datos de sus tarjetas y otros datos personales confidenciales con una amplia red de falsas tiendas chinas de diseño en línea que, al parecer, operaban desde China.

Una investigación internacional llevada a cabo por The Guardian, Die Zeit y Le Monde revela los mecanismos de lo que el Chartered Trading Standards Institute británico ha descrito como una de las mayores estafas de este tipo, con 76 mil sitios web falsos creados.

Los datos examinados por periodistas y expertos en informática indican que se trata de una operación muy organizada, técnicamente avanzada y continua.

Operando a escala industrial, los programadores han creado decenas de miles de tiendas web chinas falsas que ofrecen productos rebajados de Dior, Nike, Lacoste, Hugo Boss, Versace y Prada, así como de muchas otras marcas de primera calidad.

Publicadas en varios idiomas, desde el inglés al alemán, pasando por el francés, español, sueco e italiano, las páginas parecen haber sido creadas para engañar a los compradores y hacerles entregar dinero y datos personales confidenciales.

Sin embargo, los sitios no tienen ninguna relación con las marcas que dicen vender y, en la mayoría de los casos, los consumidores que contaron su experiencia dijeron no haber recibido ningún artículo.

No te pierdas: Climatólogos esperan que el calentamiento global supere el objetivo de 1.5ºC

Al parecer, las primeras tiendas falsas de la red se crearon en 2015. Solo en los últimos tres años se han procesado más de un millón de “pedidos”, según el análisis de datos. No todos los pagos se procesaron con éxito, pero los análisis sugieren que el grupo podría haber intentado llevarse hasta 50 millones de euros (908 millones 65 mil 400 pesos) durante ese periodo. Muchas tiendas chinas han sido abandonadas, pero un tercio de ellas, más de 22 mil 500, siguen activas.

Hasta ahora, unas 800 mil personas, casi todas en Europa y Estados Unidos, han compartido sus direcciones de correo electrónico, y 476 mil de ellas los datos de sus tarjetas de débito y crédito, incluido su número de seguridad de tres dígitos. Todos ellos facilitaron también a la red sus nombres, números de teléfono y direcciones de correo electrónico y postal.

Katherine Hart, responsable del Chartered Trading Standards Institute, describió la operación como “una de las mayores estafas de tiendas falsas en línea que he visto”. Y añadió: “A menudo, estas personas forman parte de grupos de delincuencia grave y organizada, por lo que están recopilando datos y pueden utilizarlos contra la gente más adelante, haciendo que los consumidores sean más susceptibles a los intentos de phishing”.

“Los datos son la nueva moneda”, afirmó Jake Moore, asesor global de ciberseguridad de la empresa de software ESET. Advirtió de que estos fondos de datos personales también podrían ser valiosos para las agencias de inteligencia extranjeras con fines de vigilancia. “El panorama general es que hay que asumir que el gobierno chino puede tener acceso potencial a esos datos”, añadió.

La existencia de la red de tiendas falsas fue revelada por Security Research Labs (SR Labs), una consultora alemana de ciberseguridad, que obtuvo varios gigabytes de datos y los compartió con Die Zeit.

Un núcleo de desarrolladores parece haber construido un sistema para crear y lanzar sitios web de forma semiautomática, lo que permite un rápido despliegue. Este núcleo parece haber operado algunas tiendas chinas por sí mismo y haber permitido a otros grupos utilizar el sistema. Los registros sugieren que al menos 210 usuarios han accedido al sistema desde 2015.

Matthias Marx, consultor de SR Labs, describió el modelo como “similar a una franquicia”. Dijo: “El equipo central se encarga de desarrollar software, desplegar backends y apoyar el funcionamiento de la red. Los que obtienen las franquicias gestionan el día a día de las tiendas fraudulentas”.

Me atrapó…

Fue unas semanas antes de Navidad. Melanie Brown, de 54 años y natural de Shropshire (Inglaterra), buscaba un bolso nuevo. Puso en Google la imagen de un artículo de cuero de uno de sus diseñadores alemanes favoritos, Rundholz. Inmediatamente apareció un sitio web que ofrecía el bolso con un 50% de descuento sobre el precio habitual de venta al público, 200 libras (4 mil 222 pesos). Lo añadió a su carrito de compra.

“Me atrapó”, dice. Después de elegir el bolso, vio otras prendas de una marca de alta gama que le encanta, Magnolia Pearl. Encontró vestidos, tops y pantalones de mezclilla, y gastó mil 200 libras (25 mil 330 pesos) en 15 prendas. “Me estaban dando mucho por el dinero, así que pensé que merecía la pena”, dijo.

Pero Brown estaba siendo estafada. Durante casi una década, una red que operaba desde la provincia china de Fujian utilizó lo que parece ser una única plataforma de software para crear decenas de miles de tiendas chinas online falsas.

Están las grandes marcas mundiales, como Paul Smith, casas de alta costura como Christian Dior, pero también nombres más especializados y solicitados, como Rixo y Stella McCartney, y minoristas de la calle, como zapatos Clarks. Y no sólo ropa: hay tiendas falsas que venden juguetes de calidad, como Playmobil, y al menos una que vende iluminación.

Para esta investigación se ha entrevistado a unas 49 personas que dicen haber sido estafadas. The Guardian habló con 19 de Reino Unido y Estados Unidos. Sus testimonios sugieren que estos sitios web no se crearon para comerciar con productos falsificados. La mayoría no recibió nada por correo. Unos pocos sí, pero los artículos no eran los que habían pedido. Un comprador alemán pagó por una chamarra y recibió unos lentes de sol baratos. Un cliente británico recibió un anillo falso de Cartier en lugar de una camisa y a otro le enviaron un suéter azul sin marca en lugar del Paul Smith que había pagado.

Curiosamente, muchos de los que intentaron comprar nunca perdieron dinero. O bien su banco bloqueó el pago, o la propia tienda falsa no lo procesó.

Sin embargo, todos los entrevistados tienen algo en común: entregaron sus datos personales.

En palabras de Simon Miller, director de política y comunicación de Stop Scams UK: “Los datos pueden ser más valiosos que las ventas. Si se están acaparando los datos de la tarjeta de alguien, esos datos tienen un valor incalculable para apoderarse de una cuenta bancaria”.

SR Labs, que trabaja con empresas para proteger sus sistemas de ciberataques, cree que la estafa opera a dos niveles. En primer lugar, la recolección de tarjetas de crédito, en la que portales falsos de pago recopilan los datos de las tarjetas de crédito, pero no se llevan ningún dinero. En segundo lugar, la venta falsa, en la que los delincuentes sí se llevan dinero. Hay pruebas de que la red recibía pagos procesados a través de PayPal, Stripe y otros servicios de pago, y en algunos casos directamente de tarjetas de débito o crédito.

La red utilizaba dominios caducados para alojar sus tiendas chinas falsas, lo que, según los expertos, puede ayudar a evitar ser detectada por los sitios web o los propietarios de las marcas. Al parecer, cuenta con una base de datos de 2.7 millones de estos dominios abandonados y realiza pruebas para comprobar cuáles son los más convenientes.

En Alemania, la propietaria de una fábrica de cuentas de cristal dijo que casi todos los días había recibido furiosas llamadas de compradores que preguntaban dónde estaban sus prendas Lacoste. Descubrió que un antiguo sitio web de su propiedad, perlenzwoelfe.de, había sido utilizado para la estafa. Era fácilmente rastreable, ya que el contenido que había puesto anteriormente en esa dirección era visible en los archivos de la web. Denunció el fraude a la policía. “Los funcionarios se limitaron a decir que no podían hacer nada al respecto”.

Lo mismo le ocurrió a Michael Rouah, que dirige Artoyz, una tienda online y un comercio en el centro de París que vende juguetes hechos a mano. Le copiaron todo su catálogo de productos. “Cambiaron el nombre y utilizaron otro dominio… Robaron las imágenes de nuestra web y cambiaron los precios, poniéndolos, por supuesto, mucho más bajos”.

Los clientes lo alertaron del fraude. “En general no podemos hacer mucho al respecto … Exploramos la posibilidad de tomar medidas con un abogado, pero lleva tiempo y cuesta dinero”, dijo.

La red parece tener su origen en la provincia de Fujian. Muchas de las direcciones IP (protocolo de Internet) se remontan a China, algunas a las ciudades de Putian y Fuzhou, en Fujian.

Los documentos de nóminas encontrados en los datos sugieren que los individuos fueron contratados como desarrolladores y recolectores de datos y se les pagaron los salarios a través de bancos chinos.

También había tres plantillas de contratos de trabajo, en las que el empleador figuraba como Fuzhou Zhongqing Network Technology Co Ltd., con sede en Fuzhou.

Esta empresa, registrada oficialmente en China y con un número de identificación único, tiene su domicilio en Fuzhou, capital de Fujian. No está claro qué conexión tiene con la red.

Los contratos establecen estrictas condiciones de trabajo. El empleado recibe una puntuación por su rendimiento y puede aumentar su salario y subir a una categoría más alta. Se les evalúa por abstenerse de jugar videojuegos, ver películas o dormir mientras trabajan. Si el personal está enfermo o toma vacaciones, su salario se reduce por los días perdidos, a menos que haga horas extras.

Los datos incluyen una hoja de cálculo que describe el pago entre enero y octubre de 2022 de 2 millones 410 mil yuanes (5 millones 618 mil pesos) en dividendos a al menos cuatro accionistas de una empresa sin nombre.

La empresa Fuzhou Zhongqing busca ahora desarrolladores y recopiladores de datos a través de sitios web chinos de contratación. El salario de un especialista en recopilación de datos es de 4 mil 500-7 mil yuanes chinos (entre 10 mil 560 y 14 mil 785 pesos) al mes y la empresa se describe como una “compañía de comercio exterior que produce principalmente calzado deportivo, ropa de moda, bolsos de marca y otras series”.

La empresa Fuzhou Zhongqing no respondió a una solicitud de comentarios.

Action Fraud, el centro británico de denuncia de la ciberdelincuencia declaró que intentaría que se retiraran las tiendas web falsas.

Las estafas en línea son un problema creciente. En los seis primeros meses de 2023 se produjeron 77 mil casos de fraude en compras en Reino Unido, un 43% más que en el mismo periodo de 2022. En Estados Unidos, los consumidores perdieron casi 8 mil 800 millones de dólares (148 mil 712 millones 80 mil pesos) por fraude en 2022, lo que supone un aumento de más del 30% respecto al año anterior. La segunda estafa más denunciada está relacionada con el fraude en las compras en línea.

Según el portavoz de fraude de TSB, Matt Hepburn, el fraude en las compras es “el mayor impulsor” de la delincuencia financiera online en el Reino Unido. En su opinión, las empresas tecnológicas deberían hacer más para proteger a los consumidores. “Los motores de búsqueda y las plataformas tecnológicas deben impedir que sus usuarios se vean expuestos a sitios falsos, y eliminar rápidamente los contenidos fraudulentos que les sean denunciados”.

Por su parte, Hester Abrams, responsable de relaciones internacionales de Stop Scams UK, ha declarado: “Los consumidores sólo estarán mejor protegidos frente a los delincuentes que se aprovechan de los sistemas digitales si las empresas y los gobiernos hacen de la prevención de las estafas una auténtica prioridad. Las investigaciones como ésta demuestran el impacto que podríamos tener contra los estafadores con un esfuerzo internacional mejor coordinado”.

Información adicional de Helen Davidson y Chi-hui Lin.

Traducción: Ligia M. Oliver

No te pierdas: AstraZeneca retira su vacuna Covid-19 del mundo