Cuando una notaría o inmobiliaria descubre movimientos bancarios que no reconoce, la primera sospecha suele ser un atacante externo. Pero también puede existir actividad del propio usuario o del equipo con acceso a banca.
La investigación debe revisar las dos hipótesis sin elegir la más conveniente.
Revisa la actividad bancaria y el equipo
Conserva evidencia completa del equipo utilizado para operar:
Revisa accesos a portales, sesiones, transferencias, registros de usuario, actualizaciones, estado de defensas y canales de acceso remoto. La investigación debe relacionar esos eventos con las operaciones bancarias en lugar de elegir desde el inicio entre malware y empleado.
Un programa malicioso puede robar credenciales sin ejecutar la transferencia específica, y una cuenta interna puede ser utilizada por otra persona o desde una sesión abierta. Preserva computadoras, correos y registros antes de ejecutar antivirus o formatear para volver a trabajar.
En una investigación real de vaciamiento en una notaría, la presencia de malware en una computadora no bastó para atribuirle las transferencias. Era necesario comprobar si el equipo estaba activo en esos momentos, qué sesiones bancarias existían, qué dispositivos se habían dado de alta y quién tenía credenciales. El programa malicioso podía ser parte del incidente sin explicar la operación específica.
La comparación de sesiones y dispositivos permitió estudiar las hipótesis interna y externa con hechos, en lugar de señalar al administrador por comodidad. También hubo que considerar ingeniería social, acceso remoto y reutilización de contraseñas. La cronología bancaria debía sincronizarse con la de los equipos.
La organización debe reportar pronto las operaciones y preservar computadoras, correos y registros antes de limpiar. El abogado delimita entrevistas, privacidad y reclamaciones; el peritaje determina qué entrada y actividad están acreditadas. Encontrar malware no demuestra automáticamente un ataque externo, así como usar una cuenta interna no demuestra un fraude interno. La respuesta surge al conectar operación, autenticación y dispositivo sin saltarse ninguna de las tres preguntas.
El banco debe recibir el reporte y las referencias pronto mientras la organización conserva evidencia. El abogado necesita delimitar entrevistas y privacidad, sin acusar al administrador por comodidad. El análisis debe separar entrada, autenticación, autoría y controles, explicando qué alternativas se descartaron y qué hechos siguen pendientes.
No asumas malware porque haya movimientos desconocidos. Primero demuestra qué ocurrió en el sistema y en la banca.
Fraude externo o actividad interna
Cruza los horarios de sesión bancaria con el uso del equipo. Un atacante remoto y un usuario asignado pueden dejar rastros distintos, pero también puede haber actividad mixta.
Revisa si el equipo estaba intervenido y, al mismo tiempo, qué accesos tenía el usuario. No acuses a la persona por ser la única con contraseña: las credenciales pueden estar comprometidas.
Un equipo que maneja dinero de terceros exige más control
En una notaría, la computadora de confianza puede mover fondos de clientes. Su seguridad debe auditarse periódicamente, no solamente después del fraude.
Revisa cuentas, permisos, navegadores, contraseñas guardadas y políticas de acceso. El riesgo no es solo técnico: también es fiduciario.
No culpes al malware para explicar todo
Un archivo sospechoso puede ser falso positivo. Una intrusión real puede dejar poca evidencia si los registros fueron eliminados. La ausencia de malware no descarta fraude interno ni externo.
Documenta lo que sí puede probarse y qué queda sin resolver. La confianza no debe reemplazar la evidencia.
El malware y el usuario deben investigarse sin elegir culpable anticipado
Un fraude bancario en notaría o vaciado de cuenta inmobiliaria puede combinar credenciales robadas, sesiones abiertas, acceso interno y engaño. Encontrar malware no demuestra que ese programa ejecutó la transferencia; no encontrarlo tampoco prueba acción del empleado. La organización necesita reportar y preservar equipos; el abogado necesita relacionar beneficiarios, registros y facultades. El análisis separa entrada, autenticación y autoría sin divulgar clientes, cuentas ni métodos de intrusión.
Investiga el fraude interno y el ataque externo en paralelo
No elijas una hipótesis porque haya un archivo sospechoso o porque un empleado tuviera acceso. Revisa transferencias, beneficiarios, dispositivos autorizados, cambios de contraseña y usuarios que podían operar. La secuencia bancaria permite delimitar qué deben explicar los equipos.
Preserva computadoras, correos, registros de acceso remoto, navegación y alertas de seguridad. No ejecutes un antivirus que elimine artefactos antes de documentar, ni formatees para volver a trabajar sin conservar las fuentes críticas.
Un malware puede robar credenciales, pero su presencia no demuestra que haya realizado la transferencia específica. A la inversa, una cuenta interna puede ser utilizada por otra persona o desde una sesión abierta. Relaciona horarios, dispositivos, accesos y operaciones para evaluar ambas explicaciones.
Contacta al banco para reportar y solicitar registros, folios y medidas preventivas. Protege los medios de autenticación y revisa cambios recientes de SIM, correo y token. No permitas que la investigación interna retrase el reporte de nuevas operaciones.
Entrevista al personal después de preservar y con asesoría jurídica. No acuses públicamente ni revises cuentas personales sin autorización. Documenta también quién administraba sistemas y quién podía modificar registros. El informe debe separar hechos confirmados, indicios y preguntas pendientes. La conclusión sobre fraude interno o ataque externo será más sólida si explica cómo se descartaron las alternativas razonables, en lugar de elegir la versión que produce menos incomodidad institucional.
