El correo electrónico de los estafadores de la EMT de València se usó para engañar a una empresa madrileña hace tres años con el mismo 'fraude del CEO'
Una firma madrileña sufrió en 2016 un fraude del CEO con la misma cháchara en los e-mails falsos que recibieron que la usada por el estafador de la Empresa Municipal de Transportes (EMT) de València, a la que birló cuatro millones de euros. El caso de esta empresa privada resulta prácticamente calcado al de la EMT aunque con diferencias sustanciales: la trabajadora engañada no fue imputada en la causa penal que investigó el fraude ni ocultó a sus superiores la documentación clave como sí hizo la exjefa de Administración de la EMT. En ninguno de los dos casos, la doble firma y los procedimientos de conciliación bancaria, recomendados para evitar este tipo de fraudes, sirvieron de nada.
La mecánica de la estafa fue idéntica. Una trabajadora del área de tesorería del Grupo Ilunión de Madrid, con 24 años de antigüedad en la empresa, fue engañada por un falso abogado fiscalista de KPMG que la convenció de que debía llevar a cabo una serie de transferencias a cuentas chinas para realizar una OPA en el extranjero. Paralelamente, un e-mail falso del director corporativo de negocios del Grupo Ilunión, superior jerárquico de la mujer, le indicó que debía firmar un contrato de confidencialidad para pilotar la operación.
El sospechoso e-mail que hicieron llegar a la trabajadora coinciden, palabra por palabra, con el que recibió la jefa de Administración de la EMT investigada en el caso de la estafa a la empresa municipal. La asalariada del Grupo Ilunion recibió un primer correo electrónico el 24 de mayo del 2016 que le daba instrucciones para realizar una serie de transferencias, a través del BBVA, a una cuenta del China Merchants Bank Shenzhen. En el caso de la EMT de València, el estafador usaría tres años después dos cuentas de Bank of China en Hong Kong.
La mujer preparaba una orden de transferencia que el estafador le devolvía firmada en formato pdf con la supuesta rúbrica de su superior. El malhechor también hacía llegar a la trabajadora las facturas firmadas. Con esta mecánica se hicieron cuatro transferencias a China (los días 11, 13, 14 y 15 de julio).
En la empresa existía un procedimiento de conciliación bancaria y la trabajadora se reunía diariamente con su superior para revisar el cierre de la tesorería y las transferencias que debía firmar. Sin embargo, la mujer, creyendo que cumplía el falso acuerdo de confidencialidad firmado con el estafador, en ningún momento comunicó nada al director corporativo de negocios sobre estas transferencias, a pesar de que no era habitual realizar pagos a China. La empresa, que ha declinado hacer declaraciones sobre los hechos, realizaba las órdenes de transferencia, según sus protocolos internos, mediante fichero electrónico (con doble firma) o manualmente.
En una ocasión, el BBVA detectó que la firma del apoderado era falsa y el estafador le dio de nuevo el documento firmado con el que el banco finalmente hizo la transferencia. El 28 de julio del 2016, tras cuatro transferencias efectuadas con éxito, el fraude empezó a derrumbarse. La entidad bancaria contactó con la trabajadora, que en ese preciso instante estaba fuera de su puesto de trabajo, porque había recibido una solicitud de transferencia mediante unos correos electrónicos que ella no había enviado.
Como no pudo contactar con el estafador, la mujer telefoneó al verdadero abogado fiscalista de KPMG y se dio cuenta que no era la misma voz. Además, el abogado le confirmó que había recibido otras llamadas advirtiendo de la suplantación de su personalidad. Cuatro días más tarde (el 1 de agosto), la mujer puso en conocimiento de sus superiores los hechos y se inició una investigación interna que recabó los correos electrónicos intercambiados con el estafador.
La empresa denunció el fraude ante la Unidad de Delincuencia Económica y Fiscal (UDEF) de la Policía Nacional y el Juzgado de Instrucción número 51 de Madrid, que asumió la investigación del caso, citó a la trabajadora como testigo. El 3 de agosto, el Grupo Ilunion notificó a la mujer que la exoneraba de trabajar, aunque continuaba pagándole, hasta la finalización de las investigaciones. El 23 de septiembre, fue despedida.
La trabajadora presentó una demanda y el Juzgado de lo Social número 18 de Madrid, en una sentencia del 23 de febrero del 2017, declaró el despido improcedente y condenó a la empresa a readmitirla o a indemnizarla con 134.906 euros. La juez consideró que la mujer había realizado las transferencias sin comunicar nada a sus superiores y que “no cumplió con los protocolos establecidos” (cometió “incumplimientos muy graves”) pero entiende que “no concurre culpabilidad en su comisión”.
La sentencia desestimó la vulneración de derechos fundamentales y ambas partes presentaron un recurso de suplicación: la trabajadora pidió una indemnización mayor y la empresa insistió en la procedencia del despido. Finalmente, la sección primera de la Sala de lo Social del Tribunal Superior de Justicia (TSJ) de Madrid desestimó ambos recursos de suplicación y confirmó la sentencia inicial en su integridad.
El TSJ considera que “no puede estimarse que quien es sujeto pasivo de una estafa en la que ha intervenido una suplantación de la personalidad como la descrita y actúa en la creencia de estar obedeciendo órdenes de sus superiores inmersa en la puesta en escena llevada a cabo por los estafadores (...) lleve a cabo una conducta desobediente e incumplidora de sus obligaciones”.
La sentencia del TSJ del 3 de noviembre del 2017, a la que ha tenido acceso este diario, se centra en determinar si la actuación de la trabajadora fue negligente o si, por el contrario, no fue culpable, porque para que un despido pueda ser declarado procedente la falta debe ser muy grave. En este caso, concluye el tribunal, la conducta de la mujer no supuso “una falta de disciplina o desobediencia grave y voluntariamente querida por la trabajadora ni una transgresión grave de la buena fe contractual entendida como conducta contraria a la lealtad y buena fe debida en el normal desempeño de su trabajo”.
En el caso de la estafa a la EMT, la empresa municipal despidió a su jefa de Administración, Celia Zafra, por haber incumplido el deber de confidencialidad y de custodia de documentación interna y por ocultar información relevante para la investigación inicial. La directiva de la EMT, tal como informó este diario, omitió los correos electrónicos que envió al estafador con las firmas de sus superiores, “fundamentales para el esclarecimiento de los hechos”, según denunció el gerente de la empresa ante el Grupo de Delitos Tecnológicos de la Policía Nacional. En paralelo, Zafra es la única imputada en el procedimiento penal por la estafa, que lleva el Juzgado de Instrucción número 18 de Valencia.
No existen cifras oficiales de la estafa del CEO porque las empresas privadas, amén de las entidades bancarias implicadas, suelen ocultar que han sufrido fraudes de este tipo o, en todo caso, llevan el asunto con máxima discreción. Este año la Policía Nacional, en colaboración con Europol, desarticuló un grupo criminal de origen nigeriano que estafó a una compañía holandesa.
Otra empresa pública de transportes, Guaguas Municipales de Las Palmas de Gran Canaria, sufrió en 2018 una estafa del CEO similar. El fraude, por valor de casi un millón de euros, se hizo público un año después. La empresa, según informó Canarias7, perdió 982.765 euros pero recuperó una cuarta parte del dinero gracias a una sentencia judicial. Por ahora, Guaguas Municipales sigue el rastro del dinero y trata de recuperar los 732.619 euros restantes. Más recientemente, la Policía ha detectado fraudes similares, aunque de menor cuantía, perpetrados contra empresas murcianas, según ValenciaPlaza.
