Delincuentes están hackeando cuentas de corredoras en línea en Japón y usándolas para inflar artificialmente acciones de bajo valor en todo el mundo. Desde febrero, el fraude ha alcanzado US$710 millones y no muestra señales de detenerse.
Los estafadores suelen utilizar las cuentas hackeadas para comprar con baja liquidez, tanto dentro como fuera del país, lo que permite a quienes ya tienen posiciones previas vender a precios inflados. Como respuesta, algunas casas de bolsa japonesas han dejado de procesar órdenes de compra de ciertas acciones chinas, estadounidenses y locales.
Ocho de las principales corredores del país, incluidas Rakuten Securities y SBI Securities, han reportado operaciones no autorizadas en sus plataformas. Estas brechas de seguridad han expuesto a Japón como un punto débil en los esfuerzos globales para proteger los mercados financieros del hackeo.
Esto también pone en riesgo la campaña del gobierno japonés para fomentar la inversión minorista a largo plazo, especialmente porque algunas víctimas no comprenden cómo fueron vulneradas sus cuentas y las firmas de valores, en general, no han asumido responsabilidad por las pérdidas.
Casos de estafa y la respuesta de las empresas
Mai Mori, una trabajadora a tiempo parcial de 41 años, dijo que su cuenta de jubilación de Rakuten Securities fue pirateada y utilizada para comprar acciones chinas en una transacción que le costó el 12% de sus fondos.
Cuando se dio cuenta, se puso en contacto con Rakuten, que le dijo que presentara una denuncia ante la policía. Sin embargo, la policía de la prefectura de Aichi no aceptó la denuncia porque, según ellos, la víctima no era ella, sino Rakuten Securities. Rakuten le dijo entonces que no era culpa suya y que, por lo tanto, no podía ayudarla, según Mori.
"La policía me dijo que, en la mayoría de los casos de fraude, las víctimas suelen acabar aceptando la pérdida en silencio", afirmó Mori. "Básicamente, no hay mucho que se pueda hacer".
En respuesta a preguntas de Bloomberg News sobre las transacciones fraudulentas y el caso de Mori, un portavoz de Rakuten afirmó que "seguiremos examinando cada caso de forma individual y responderemos de buena fe".
SBI declaró que estaba escuchando las circunstancias individuales y respondiendo con prontitud. SMBC Nikko Securities Inc. afirmó que revisaría las circunstancias de cada cliente afectado y consideraría respuestas individuales.
Monex Group Inc. también declaró que consideraría cada caso de forma individual. Matsui Securities Co. dijo que gestionará las indemnizaciones de acuerdo con las directrices del sector, y Nomura Securities Co. dijo que responderá con flexibilidad en función de las circunstancias individuales de los clientes afectados. Daiwa Securities Group Inc. dijo que está revisando la cuestión de las indemnizaciones relacionadas con las transacciones no autorizadas.
Mitsubishi UFJ Financial Group Inc. dijo que escuchará las circunstancias de cada caso y responderá con prontitud y sinceridad. La policía de Aichi no respondió a las múltiples solicitudes de comentarios.
Un inversor de Tokio en sus 50 años, que pidió anonimato, dijo que perdió US$347.608 luego de que su cuenta fuera usada para comprar acciones japonesas y chinas. Dijo que en la mañana del 16 de abril apareció de repente una notificación en su iPhone. Alarmado, llamó inmediatamente a su correduría y le dijeron que no podía congelar la cuenta.
Aunque solo había comprado fondos indexados que seguían el índice S&P 500 y nunca había comprado acciones individuales, su cuenta se utilizó para comprar acciones pidiendo fondos prestados a las corredoras.
Ante la caída de los precios, decidió vender los valores los días 17 y 18 para evitar más pérdidas. Debido al apalancamiento, la corredora de valores dijo que liquidaría sus participaciones en el S&P para cubrir sus pérdidas.
Una de las acciones que, según el inversor, se compró con su cuenta era DesignOne Japan Inc. El 16 de abril se negociaron 5,8 millones de acciones de esta empresa, frente a un promedio diario de 194.000 acciones en los últimos seis meses. Bloomberg no ha podido confirmar de forma independiente los detalles de las transacciones en la cuenta del inversor.
Respuesta del gobierno
El 22 de abril, el ministro de Finanzas Katsunobu Kato declaró que el gobierno ha pedido a las corredoras que dialoguen de buena fe con los clientes sobre posibles compensaciones.
La Asociación de Corredores de Japón está presionando para que se adopte la autenticación multifactor obligatoria. Su presidente, Toshio Morita, criticó la negativa generalizada a compensar aunque reconoció que cada firma puede fijar su propia política.
"No es aceptable denegar de forma generalizada la indemnización", declaró Morita en una conferencia de prensa el 16 de abril. "Las empresas deben tener en cuenta las circunstancias de cada cliente y responder de forma adecuada".
Los casos de operaciones fraudulentas subieron de 33 en febrero a 736 en la primera quincena de abril, según la Agencia de Servicios Financieros de Japón, la cual no reveló las pérdidas sufridas por las víctimas. Esto pone en riesgo la meta gubernamental de atraer a más personas al mercado.
La ampliación de un programa de exención fiscal para pequeñas inversiones provocó un aumento interanual del 20% en las cuentas de ahorro individuales japonesas a finales de 2024, según la FSA.
Sin embargo, el impulso se está desvaneciendo. El gobierno podría no alcanzar su objetivo de 34 millones de usuarios en cinco años, dijo Yusuke Maeyama, del Instituto de Investigación NLI.
"Para quienes ya invertimos, existe la sensación de que las firmas financieras deben hacer su trabajo", dijo Maeyama. "Pero para quienes aún no invierten, esto puede ser intimidante. Y cuando surgen estos problemas, solo refuerzan esos miedos".
El modus operandi
Los delincuentes que están detrás de estas estafas usarían técnicas denominadas "adversary-in-the-middle" e "infostealers" para acceder a las cuentas, según Nobuhiro Tsuji, experto en ciberseguridad de SB Technology.
El primer método aprovecha tanto sitios web falsos como legítimos para robar cookies, los pequeños archivos de texto almacenados en los navegadores web que contienen datos de la sesión.
El ataque suele comenzar atrayendo al usuario a un sitio falso a través de un correo electrónico de phishing o un anuncio malicioso. A continuación, el sitio falso redirige al usuario al sitio legítimo, donde se interceptan sus credenciales de inicio de sesión.
En algunos casos, los atacantes crean interfaces muy elaboradas, por ejemplo, una parte del navegador muestra el sitio real mientras que la otra muestra el falso, para engañar a los usuarios.
Por el contrario, los ladrones de información son un tipo de malware diseñado específicamente para robar información confidencial, como identificaciones y contraseñas. Ocultos en correos electrónicos, anuncios maliciosos o sitios web fraudulentos, estos programas pueden infectar el dispositivo de un usuario y extraer silenciosamente todos los datos personales almacenados, a menudo sin que el usuario se dé cuenta de que ha sido comprometido.
Según un estudio realizado por el Macnica Security Research Center, se han producido al menos 105.000 casos de filtración de credenciales en Japón.
Una de las debilidades de Japón es que la gente tiende a utilizar navegadores en lugar de aplicaciones móviles, que ofrecen una mejor protección, según Yutaka Sejiyama, subdirector de Macnica. En el extranjero no se ha producido un aumento similar de los casos.
Muchas de las víctimas han compartido sus historias en Internet. Mai Mori escribió una serie de publicaciones en las que detallaba el hackeo de su cuenta. Luego se unió a un grupo que compartió información sobre sus casos y trabajó conjuntamente con un abogado, pero, ante el tiempo y el esfuerzo que ello requería, finalmente lo abandonó.
En su lugar, está considerando cerrar su cuenta en Rakuten, pero no sabe cuál de sus competidores acudirá. Las agencias de corretaje presenciales cobran comisiones más altas y le preocupa que la presionen para comprar acciones que no quiere. En cualquier caso, se siente atrapada.
"Somos tan impotentes", afirma Mori. "No sirve de nada", cerró.
