Certificados de vacunación y PCR falsos: el lucrativo negocio que a menudo esconde un timo

A Andrea (nombre ficticio) le surgió un trabajo de bailarina en el extranjero el pasado octubre. No tenía la pauta de vacunación completa, según cuenta porque había pasado recientemente el virus. Con esa información bastaba para subirse al avión en el Aeropuerto del Prat, en Barcelona, pero no para entrar al país de destino, donde se exigía un pasaporte Covid. Decidió adquirir uno en el mercado negro. Contactó con unos supuestos hackers que anunciaban sus servicios en Instagram. Tras pagarles 800 euros a través de Bizum y pasarles sus datos personales, no volvió a saber nada de ellos. “Me mandaron un documento tocado con Photoshop con un código QR que cuando le pasaba un lector aparecía una persona llamada Gabriel”, asegura a EL PAÍS a través de una red social. Avergonzada por su ingenuidad, no denunció el timo ante la Policía. ¿Cómo iba a hacerlo si lo que quería comprar era ilegal?

Los ciberdelincuentes han visto un filón en la pandemia. El caso de Andrea ilustra cómo se aprovechan algunos de quienes buscan certificados falsos de vacunación. Pero el hecho es que ese mercado negro existe (para quienes sean capaces de sortear a los timadores), y los precios que se barajan no son bajos. Un reciente estudio de Check Point Research, el servicio de investigación de la multinacional israelí de ciberseguridad, ha detectado un abultado aumento de tarifas. Si en octubre se pagaban de media unos 250 dólares por un pasaporte falso y 25 por una prueba PCR negativa, en enero rondaban los 600 y los 100, respectivamente.

La venta de certificados de vacunación falsos empezó a llamar la atención de las autoridades antes del pasado verano, cuando la UE acordó, con vistas a la campaña estival, poner en marcha los llamados pasaportes Covid. Se trata de unos documentos que se pueden llevar en el móvil en forma de código QR con los que los ciudadanos pueden acreditar que tienen la pauta de vacunación completa, que han pasado recientemente el virus y por tanto tienen cierta inmunidad o que han dado negativo en una prueba PCR o de antígenos.

Las falsificaciones se distribuyen principalmente desde Telegram o el internet oscuro (dark net) y el método de pago favorito son las criptomonedas, especialmente bitcoin. “Las monedas digitales tienen una propiedad muy deseable para este tipo de delincuentes: no puedes volver atrás. Una vez que se ha hecho la transacción está queda registrada para siempre en el libro de la cadena de bloques, no se puede ir al banco y pedirle que retiren el pago”, señala Eusebio Nieva, director técnico de Check Point Software para España y Portugal. “También dificultan el rastreo, aunque no lo hacen imposible: siempre sabes desde qué tarjeta o monedero virtual ha salido el bitcoin y adonde ha ido”.

No hace falta ser un mago de los ordenadores para adquirir uno de estos productos falsificados. En los anuncios de los propios canales de Telegram, al menos en aquellos cuyo negocio no es timar al interesado sino venderle realmente un documento falso, se aportan instrucciones detalladas sobre cómo comprar los bitcoins (o la criptomoneda que se pida) y hacer la transacción, se facilitan los enlaces a los que ir para obtener la criptodivisa y la cuenta a la que hacer la transferencia.

Por supuesto, no hay garantía de que quien pone la oferta vaya a hacer realmente el trabajo o simplemente quiera ganar dinero fácil sin ofrecer nada a cambio. “En la dark net puedes obtener drogas, armas, órganos, también certificados y documentos oficiales falsificados de muy buena calidad”, explica Deepak Daswani, hacker y consultor de ciberseguridad. “Pero esto es como todo: los primeros anuncios que encuentres en el internet oscuro, los más sencillos de ver, serán estafas. Llegar hasta ese tipo de servicios no es tan fácil, muchas veces hace falta invitación, alguien de confianza te tiene que dar los enlaces necesarios”. Si las actividades delictivas estuvieran al alcance de todo el mundo sería muy sencillo intervenirlas.

Un timo en auge

La otra cara de la moneda la representan incautos como Andrea. Los hay y muchos, de ahí que no dejen de proliferar anuncios de supuestas falsificaciones. Al cierre de esta edición había al menos un grupo activo en Telegram en España activo desde noviembre, con más de 33.000 suscriptores y con pinta de ser un timo. El anuncio promete un pasaporte Covid en un día a cambio de 300 euros y de aportar los datos del pasaporte.

El Instituto Nacional de Ciberseguridad (Incibe) alertó ya en septiembre del año pasado de que estaban detectando estafas relacionadas con la venta de documentos falsos. “Queremos resaltar que la acción de querer comprar un certificado de covid es ilegal. Pero también que, a su vez, al cometer esa ilegalidad puede que sean objeto de un fraude porque no les lleguen a enviar nunca esos certificados y pierdan el dinero, que o si pagan con la tarjeta de crédito les roben los datos y sigan haciendo luego pagos fraudulentos”, apunta Ángela García Valdés, técnica de ciberseguridad para ciudadanos de Incibe.

“Los vendedores están optando por anunciarse y hacer negocios en Telegram porque escala su distribución. El uso de esta red social es menos técnico en comparación con la red oscura y puede llegar a una cantidad desmesurada de personas y de forma muy rápida”, alerta Oded Vanunu, jefe de investigación de vulnerabilidad de productos de Check Point Software. Algunos anuncios analizados por la compañía van dirigidos a las personas “que no quieren recibir la vacuna”. Una de las publicidades encontrada por los analistas decía explícitamente: “Estamos aquí para salvar al mundo de esta venenosa vacuna”.

Los certificados de vacunación, conocidos también como pasaporte Covid, se lanzaron en julio. Unos meses antes, entre marzo y mayo, algunos analistas, como los de Check Point Research, detectaron un alza del 500% en el número de vendedores de certificados falsos. En agosto, ya en plena campaña vacacional, el observatorio de la empresa israelí estimaba que había unos 2.500 grupos activos de Telegram en toda Europa en los que se ofrecían certificados falsos, con una media de unos 100.000 seguidores por grupo y con algunos que superaban los 450.000 individuos. La variante Delta se extendía rápidamente. Todo aquél que quisiera tener un certificado aparentemente válido sin vacunarse tenía que preparar 100 dólares de media.

Para septiembre, la compañía tenía en su radar a más de 10.000 supuestos distribuidores de pasaportes covid falsos. La demanda era tal que hasta se detectó un bot de Telegram en Austria que fabricaba certificados falsos: tras introducir los datos personales del interesado, este recibía un pdf con el QR listo.

Otro método de engaño de los cibercriminales, descubierto en septiembre, consiste en afirmar tener acceso a una supuesta base de datos europea de personas vacunadas. Ofrecen a los interesados registrarles allí a cambio de dinero. Pero dicha base de datos no existe.

Puedes seguir a EL PAÍS TECNOLOGÍA en Facebook y Twitter o apuntarte aquí para recibir nuestra newsletter semanal.