¿Creías que la autenticación de dos factores era la panacea? No tanto si te llama un robot muy convincente

En los Países Bajos continúa la investigación sobre la distribución de una herramienta para interceptar códigos de verificación de un solo uso. Las autoridades informan de una nueva persona implicada en este caso y de la ampliación del número de sospechosos vinculados con la venta de un servicio malicioso para eludir la protección adicional de cuentas.

El 10 de febrero en la región de Brabante Oriental, agentes de la unidad contra la cibercriminalidad detuvieron a un residente de Dordrecht de 21 años. La investigación considera que difundía un sistema para interceptar contraseñas de un solo uso y lo vendía a otros delincuentes a través de una cuenta en el mensajero Telegram. El detenido se convirtió en el tercer implicado en el caso. Anteriormente, en abril y agosto de 2025, fueron arrestados el desarrollador y el coautor de esta solución.

Se trata de un servicio llamado «JokerOTP». Se usaba para realizar llamadas telefónicas automáticas a posibles víctimas. Durante esa llamada, el sistema informaba de un supuesto intento de acceso no autorizado y pedía introducir con urgencia un código de un solo uso. De ese modo, los delincuentes obtenían acceso a cuentas y eludían la verificación de dos factores.

Las contraseñas de un solo uso suelen emplearse como una capa adicional de protección al iniciar sesión y en operaciones financieras. El código se envía por SMS o correo electrónico y tiene una vigencia limitada. En el esquema descrito, esta medida de seguridad se convertía de hecho en una herramienta de intrusión, porque los usuarios mismos introducían la combinación secreta bajo presión y en estado de alarma.

La responsable de la unidad cibernética, Annuk Bonekamp, explicó que el esquema se basaba en la intimidación y la sensación de urgencia. Se infundía en las personas el riesgo de perder acceso o dinero, por lo que accedían a seguir las instrucciones de la llamada automática. Como resultado, los delincuentes tomaban el control de las cuentas y las utilizaban para operaciones fraudulentas, incluidas compras de mercancías y acceso a servicios de inversión.

La investigación continúa. En los documentos del caso aparecen decenas de compradores de «JokerOTP» en el territorio de los Países Bajos. La investigación pretende identificar a estas personas y remitir el material a la fiscalía para su posterior procesamiento. Según la policía, las acciones de estos participantes provocan no solo pérdidas financieras, sino también un estrés emocional grave en las víctimas. Se señala que muchas víctimas sienten vergüenza, aunque los métodos de ingeniería social empleados están diseñados para un amplio grupo de usuarios.