Capillary Technologies: KPMG atribuye el fraude de 3 M€ a una estafa externa

Una auditoría forense de KPMG concluye que el fraude bancario de 3,04 M€ en SessionM Czech Republic, filial de Capillary Technologies, es más coherente con una estafa externa de desvío de pagos. Según el comunicado presentado por Capillary a la bolsa, los autores se hicieron pasar por un alto directivo y por un abogado externo.

El documento señala que el esquema probablemente usó un dominio de correo casi idéntico al real, ingeniería social y comunicaciones por WhatsApp y cuentas de correo personales. KPMG no halló en los sistemas y registros examinados indicios de malware, acceso no autorizado, vulneración de buzones, toma de control de cuentas ni suplantación clásica de correo. Tampoco identificó participación de empleados.

La incógnita del deepfake

Cuando se reveló el fraude, Capillary habló de métodos avanzados de deepfake. La auditoría no pudo confirmar ni descartar su uso, porque no había grabaciones originales, datos de dispositivos móviles ni registros de llamadas.

De las cuatro transacciones en disputa, tres fueron a ZZDJB CO LIMITED en HSBC Hong Kong y una a ZHONGXIAN TRADING PTE. LTD en UOB Singapur. KPMG confirmó esas transferencias iniciales, pero no rastreó el movimiento posterior del dinero, no identificó a los beneficiarios finales ni evaluó las perspectivas de recuperación. La falta de registros del portal bancario y de los flujos de trabajo impidió además verificar de forma independiente los procesos de aprobación de pagos.

Recuperación y próximos pasos

KPMG califica el incidente como un fraude basado principalmente en ingeniería social. Capillary afirma que ha reforzado sus controles de pago y que mantiene acciones de recuperación y recursos legales. La compañía ya había informado de que recuperó 450.000 € y de que los bancos bloquearon otras cuentas sospechosas. La filial contaba con un seguro cibernético y de delitos, cuya cobertura se está evaluando.

Según Capillary, los datos de clientes y la infraestructura tecnológica no se vieron comprometidos. SessionM fue adquirida a Mastercard en febrero por 20 M$.

El caso muestra que una pérdida millonaria puede producirse sin intrusión técnica, aprovechando los circuitos de aprobación de pagos y la confianza en mensajes de apariencia legítima.