Dos demandas contra First Horizon Bank sostienen que unos estafadores se hicieron pasar por clientes empresariales y convencieron a empleados del banco de emitir nuevos tokens de seguridad con el pretexto de haber cambiado a un iPhone. Después ordenaron transferencias por más de 24 millones de dólares, de los que todavía no se ha recuperado una parte. Los casos plantean dudas sobre cómo se verificó la identidad de quienes llamaron, la protección de las cuentas empresariales y la respuesta del banco ante una posible pauta de fraude repetida.
Dos empresas de Florida perdieron unos 6,5 millones de dólares
K&A Rosario Holdings y MJR Fund, empresas de la zona de Orlando, presentaron en mayo una demanda contra First Horizon ante un tribunal federal de esa ciudad. Según la querella, el 3 de marzo una persona llamó y se identificó como Misael Rosario, responsable de K&A y encargado de MJR. Dijo que había «cambiado a un iPhone 14» y necesitaba un nuevo token para acceder a las cuentas de las compañías.
Un representante del servicio de atención al cliente del banco emitió otro token. La guía de cuentas empresariales de First Horizon explica que el token instalado en una aplicación móvil genera un código nuevo cada 60 segundos. Para iniciar pagos, los clientes empresariales necesitan tanto ese código como una contraseña.
Unos 80 minutos después de la llamada, una de las cuentas envió seis transferencias por un total de 4,85 millones de dólares. Para el 5 de marzo, las cuentas de ambas compañías habían enviado 12 transferencias por unos 6,5 millones. Más de 4,5 millones de dólares siguen sin recuperarse, según la demanda.
Victor Velarde, abogado de las empresas, dijo que sus clientes desconocen cómo obtuvo el autor de la llamada sus credenciales de banca en línea. La querella afirma que la llamada se hizo desde California, aunque los responsables de las compañías viven en Florida y solo habían facilitado al banco números de teléfono de ese estado. También señala que el interlocutor pronunció el apellido Rosario de dos maneras distintas.
Un bufete denuncia transferencias por 17,3 millones
Unas cinco semanas antes, Rabideau Klein, un bufete de Palm Beach (Florida), sufrió un incidente similar. Una demanda independiente sostiene que una persona llamó con la misma explicación del «nuevo iPhone» para solicitar un token de sustitución. En cuestión de horas, salieron de la cuenta de depósito en garantía del bufete 13 transferencias por unos 17,3 millones de dólares.
La cuenta contenía fondos destinados a operaciones inmobiliarias. El bufete ha recuperado unos 10,7 millones y calcula que quedan aproximadamente 6,55 millones sin recuperar, según la demanda.
El incidente comenzó el 27 de enero, cuando un correo de phishing permitió a un atacante acceder a una cuenta de correo del bufete en Microsoft 365. Al día siguiente, logró que la compañía telefónica del bufete desviara sus llamadas a un número bajo su control. Esa misma noche utilizó la opción «Olvidé mi nombre de usuario o contraseña» de la banca en línea de First Horizon para restablecer la contraseña de Guy Rabideau y obtener su identificador de usuario.
A continuación, llamó al banco haciéndose pasar por Rabideau y pidió un token nuevo. Cuando le preguntaron por el número de cuenta, primero dijo que estaba buscando el número de cuenta «de ellos» y luego aportó la información correspondiente. También facilitó un nombre comercial que no coincidía exactamente con los registros del banco, los cuatro últimos dígitos del número de la Seguridad Social de Rabideau y el identificador que acababa de mostrar la web de First Horizon.
Tras transferir la llamada al departamento de gestión de tesorería, otro representante pidió el identificador de usuario, el nombre completo, el correo electrónico y los cuatro últimos dígitos del número de cuenta. El empleado ofreció enviar un código de verificación al teléfono registrado por el bufete. El interlocutor pidió recibirlo mediante una llamada de voz, y el representante accedió. La llamada con el código fue desviada al atacante. Después, el banco envió por correo electrónico un enlace para activar el token, que también fue interceptado.
Los registros del banco reflejaron inicios de sesión desde Chicago durante las horas siguientes, afirma la demanda. El atacante también creó un segundo identificador de usuario a nombre de Rabideau, lo vinculó a su propio correo y teléfono y dejó sin acceso a la banca en línea a otros cuatro empleados del bufete.
En ambos casos, las transferencias incluyeron pagos a una misma empresa, Shaoxing Fanshun Import and Export. Según la demanda de K&A, cuatro transferencias por un total de 2,29 millones de dólares salieron de su cuenta hacia esa compañía. Los documentos judiciales no explican si las dos empresas tenían algún otro vínculo.
First Horizon sostiene que sus controles funcionaron
First Horizon, con sede en Memphis (Tennessee), niega haber gestionado de forma deficiente los riesgos en el caso de Rabideau Klein y se defenderá en ambas demandas. Un portavoz del banco afirmó que sus «sistemas, controles y salvaguardas funcionaron según lo previsto». La entidad dijo que se opondrá enérgicamente a las reclamaciones de K&A y MJR.
En el caso de Rabideau Klein, First Horizon atribuye las pérdidas a problemas de seguridad del bufete. El banco sostiene que el correo de phishing inició el incidente y que la firma había rechazado una medida de control para las transferencias que le recomendó. Esa función exige que un segundo usuario apruebe cada transferencia antes de enviarla. Los documentos presentados por el bufete muestran que firmó un formulario para rechazarla.
Velarde dijo que K&A y MJR no renunciaron activamente a ningún procedimiento de seguridad, pero no aclaró si las empresas utilizaban la doble aprobación. First Horizon no ha detallado públicamente cómo verifica a las personas que solicitan tokens de sustitución ni si modificó sus procedimientos tras el incidente de enero.
La demanda pregunta si el banco conocía el método
K&A y MJR sostienen que First Horizon podría haber conocido un método similar antes de las transferencias de marzo. La demanda afirma que, después de que Rabideau Klein denunciara el fraude el 29 de enero, el banco tenía «conocimiento efectivo» de que alguien había accedido a cuentas de clientes alegando haber cambiado de iPhone y de que se sospechaba que las transferencias a Shaoxing Fanshun eran fraudulentas.
Las empresas argumentan que esos antecedentes pueden ser relevantes para determinar si los procedimientos de seguridad del banco eran «comercialmente razonables» conforme al artículo 4A del Código Comercial Uniforme de Estados Unidos. Esta norma regula, en términos generales, el reparto de responsabilidad por transferencias bancarias: el banco puede asumir las pérdidas de una operación no autorizada, aunque el resultado puede variar si actuó de buena fe y siguió procedimientos de seguridad comercialmente razonables acordados con el cliente.
First Horizon ha pedido al tribunal que elimine esas alegaciones de la demanda de K&A. Sostiene que los abogados de los demandantes las tomaron de litigios no relacionados y que son improcedentes e irrelevantes. K&A cita una resolución judicial de 2012 para respaldar su argumento de que no actuar ante advertencias de fraude en poder del banco puede influir en la evaluación de la razonabilidad de sus controles.
Las directrices federales recomiendan verificar números registrados
En 2021, el Consejo Federal de Examen de Instituciones Financieras (FFIEC) advirtió a los bancos sobre ataques de ingeniería social dirigidos a los servicios de atención al cliente y a los equipos de asistencia informática. Entre los controles recomendados figuraban enviar códigos de un solo uso a dispositivos registrados previamente, devolver las llamadas a números ya archivados, marcar los identificadores de llamada desconocidos y establecer procedimientos para cambios de número o de operador telefónico.
En el caso de Rabideau Klein, el banco envió el código al número registrado del bufete, pero el atacante ya había conseguido que la compañía telefónica desviara las llamadas. El caso muestra que enviar un código a un número registrado no confirma por sí solo quién lo recibe.
Jim Mortensen, asesor estratégico en fraude y prevención del blanqueo de capitales en Datos Insights, afirmó que las comprobaciones basadas en conocimientos —como deletrear un nombre o facilitar los cuatro últimos dígitos del número de la Seguridad Social— ya no bastan para cumplir las mejores prácticas. Para las solicitudes de sustitución de tokens de clientes empresariales, recomienda llamar a un número registrado y exigir la confirmación de un segundo administrador.
Mortensen señaló que la ingeniería social tiene más posibilidades de éxito cuando la aprobación de un restablecimiento depende principalmente del criterio de un empleado, en vez de una verificación de identidad basada en sistemas. El desenlace de las demandas dependerá de cómo valore el tribunal los pasos de verificación de First Horizon, las medidas de seguridad de las cuentas de sus clientes y lo que el banco sabía sobre la presunta pauta de fraude.