El empleado de sistemas que vació las cuentas de su empresa en 43 transferencias

El 20 de marzo de 2021 el área de finanzas de una empresa de ropa deportiva con fuerte presencia en comercio electrónico notó que los saldos de sus cuentas de Mercado Pago no cuadraban. No había facturas falsas ni proveedores fantasma. El dinero simplemente salía en transferencias de unos 250.000 pesos hacia una cuenta que nadie en la empresa reconocía. La investigación de la fiscalía de Don Torcuato llevó a un empleado del propio departamento de sistemas, que trabajaba en la compañía desde 2019, y a un cómplice externo.

Lo que hace valioso este caso para cualquier dueño de empresa no es el monto, que en dólares de la época rondaba los 130.000, sino la mecánica: un técnico con acceso legítimo a las plataformas de venta y cobro, una prueba pequeña para verificar que nadie miraba, y luego una serie de operaciones repetidas con un monto pensado para no llamar la atención. Aquí repasamos cómo funcionó, por qué tardó casi un mes en detectarse y qué revisar en una empresa mediana que hoy cobra y vende por plataformas digitales.

¿Qué pasó en la empresa de indumentaria deportiva?

De acuerdo con la cobertura de Infobae, La Voz, TN y El Día, la Unidad Funcional de Instrucción de Don Torcuato investigó la denuncia de la compañía y reconstruyó el circuito. El empleado de sistemas, con ayuda de un cómplice ajeno a la empresa, manipuló los sistemas informáticos para acceder a los fondos vinculados a las cuentas de Mercado Libre y Mercado Pago de la firma. La técnica fue descrita por los investigadores como cracking, es decir, vulnerar la seguridad de un sistema para operar dentro de él.

El 20 de marzo de 2021 hicieron una transferencia de prueba de 204.000 pesos a una cuenta de un tercero. Al confirmar que la operación pasaba sin alertas, crearon un perfil falso en la plataforma, lo que la policía llamó una cuenta mula, y entre el 21 de marzo y el 18 de abril ejecutaron unas 43 transferencias más, de alrededor de 250.000 pesos cada una, hasta superar los 12,4 millones de pesos. Seis allanamientos simultáneos en Tigre y San Fernando, a cargo de la DDI de San Isidro, terminaron con dos detenidos imputados por defraudación mediante manipulación informática. Ambos gozan de presunción de inocencia.

¿Adónde fue el dinero y cómo lo rastrearon?

Según los reportes, unos 2,5 millones de pesos se gastaron en equipos informáticos de alta gama comprados en tiendas especializadas, y las escuchas telefónicas mostraron que ambos imputados compartían interés en inversiones en criptomonedas, destino probable del resto. La fiscalía también sospechó que al menos otros dos empleados de la compañía habrían prestado sus cuentas bancarias para mover el dinero.

El rastreo fue posible porque las plataformas de pago dejan registro de cada movimiento: cuenta de origen, cuenta de destino, fecha, hora y dispositivo. Esa trazabilidad, que existe en cualquier empresa que opera con Mercado Pago, transferencias bancarias o pasarelas de pago, es la misma que habría permitido detectar el fraude el día de la prueba de 204.000 pesos si alguien hubiera estado mirando. El dato estaba; faltaba la rutina de revisarlo.

¿Por qué el personal de sistemas es un riesgo que pocas empresas miden?

En una empresa mediana, el equipo de sistemas suele tener las llaves de todo: usuarios administradores de las plataformas de venta, acceso a las integraciones con pasarelas de pago, permisos para configurar cuentas y credenciales. Es necesario para que la operación funcione. El problema es que casi nunca hay alguien fuera de sistemas que revise qué se hace con esos permisos, porque los demás no entienden lo técnico y asumen que está bajo control.

Los estudios de fraude ocupacional muestran que los casos cometidos por personal con acceso privilegiado a sistemas tardan más en detectarse y causan pérdidas mayores que el promedio, precisamente porque el mismo empleado puede borrar o alterar el rastro. En México, Colombia, Perú, Chile y Venezuela el patrón es idéntico al argentino: la empresa confía en el técnico porque no tiene cómo no confiar. La respuesta no es desconfiar, sino construir un contrapeso: registros de actividad que sistemas no pueda editar y una persona de finanzas que los mire.

¿Qué señales aparecieron y cuáles se pudieron ver antes?

La señal que disparó la alerta fue contable: los saldos de Mercado Pago no coincidían con las ventas registradas. Llegó casi un mes después de la primera operación. Las señales anteriores estaban en la plataforma: una transferencia a una cuenta desconocida un sábado, una cuenta nueva que empieza a recibir transferencias idénticas día tras día, montos siempre por debajo de un umbral redondo, operaciones fuera del horario comercial.

Cualquiera de esas señales habría bastado si la empresa hubiera tenido una conciliación diaria entre ventas y cobros, o una alerta automática por transferencias a cuentas no registradas. Son controles de ciberseguridad para PYMEs que no requieren gran inversión: la mayoría de las plataformas de pago permiten configurar notificaciones y límites, y un cruce diario entre lo vendido y lo cobrado toma minutos si los datos están ordenados. El costo de no hacerlo, en este caso, fue de 12,4 millones de pesos y una investigación penal.

¿Qué debe cambiar en una empresa que vende y cobra por plataformas digitales?

Primero, ningún usuario técnico debería tener a la vez permiso para configurar la plataforma y para mover fondos. Si la plataforma no permite separar esas funciones, el movimiento de fondos debe exigir una segunda aprobación. Segundo, las cuentas de destino autorizadas para transferencias deben ser una lista cerrada, administrada por finanzas, no por sistemas. Tercero, los registros de actividad de las plataformas deben exportarse periódicamente a un lugar que sistemas no controle.

Cuarto, la conciliación entre ventas, cobros y saldos debe ser diaria o, al menos, semanal, y hacerla alguien distinto de quien administra las cuentas. Y quinto, cuando un empleado con acceso privilegiado deja la empresa o cambia de rol, sus credenciales deben revocarse el mismo día. Nada de esto es sofisticado. Lo que suele faltar es que alguien en la dirección lo exija, porque los indicios de fraude interno en el mundo digital se parecen mucho a la operación normal hasta que se miran con la pregunta correcta.

¿Cómo revisar hoy quién puede mover dinero desde tus plataformas?

Un diagnóstico de fugas operativas toma los datos que la empresa ya tiene (usuarios y permisos en plataformas de venta y cobro, registros de actividad, transferencias ejecutadas con cuenta destino, ventas registradas, conciliaciones) y los cruza para responder preguntas concretas: qué usuarios pueden configurar y a la vez mover fondos, qué cuentas destino recibieron dinero sin estar en el maestro de la empresa, qué transferencias se repiten con monto y horario atípicos, qué diferencia hay cada día entre lo vendido y lo cobrado. Así es cómo funciona el proceso.

El diagnóstico dura cuatro semanas, no detiene la operación y termina con un informe de hallazgos y un plan de contención priorizado. Con el Bono de Confianza, ese informe completo es tuyo siempre, con o sin hallazgos. La transferencia de prueba de 204.000 pesos fue una pregunta que el defraudador le hizo a la empresa: ¿están mirando? La respuesta tardó un mes. La tuya puede estar lista antes.

Hablar con un asesor  ·  Volver al blog

Preguntas frecuentes

¿Cuánto dinero desvió el empleado de sistemas?

Según Infobae, La Voz y TN, algo más de 12,4 millones de pesos argentinos entre el 21 de marzo y el 18 de abril de 2021, en unas 43 transferencias de alrededor de 250.000 pesos, además de una prueba inicial de 204.000 pesos.

¿Cómo accedió a los fondos?

Manipulando los sistemas informáticos de la empresa para operar sobre las cuentas de Mercado Pago y Mercado Libre de la compañía, técnica que los investigadores describieron como cracking. Trabajaba en el área de sistemas desde 2019 y tenía acceso privilegiado.

¿Qué es una cuenta mula?

Una cuenta creada o prestada por un tercero para recibir dinero de origen ilícito y dificultar el rastreo. En este caso, un perfil falso en la plataforma que recibió las transferencias; la fiscalía sospechó además que otros dos empleados prestaron sus cuentas bancarias.

¿Cómo se descubrió?

El área de finanzas detectó el 20 de marzo de 2021 diferencias en los saldos de Mercado Pago y la empresa denunció. La fiscalía de Don Torcuato rastreó las transferencias, ordenó escuchas y allanó seis domicilios en Tigre y San Fernando.

¿Qué puede hacer una empresa mediana para evitarlo?

Separar los permisos de configuración de los de movimiento de fondos, mantener una lista cerrada de cuentas destino administrada por finanzas, conciliar ventas y cobros a diario, exportar los registros de actividad fuera del control de sistemas y revocar credenciales el mismo día en que alguien cambia de rol.

Aviso: este artículo es informativo y se basa en la cobertura de Infobae, La Voz, TN y El Día sobre la investigación de la fiscalía de Don Torcuato en junio de 2021. Las cifras son las reportadas por la prensa y las personas imputadas gozan de presunción de inocencia. No constituye asesoría legal ni técnica.