Yuanxin y Jialiang, los chinos tras la estafa de la EMT de Valencia que acorrala a Joan Ribó

En un despacho de la Silvercop International Tower, un edificio construido en 1994, de más de veinte plantas de altura y una oficina del Bank of China en sus bajos, ubicado en la travesía Nathan de Mong Kok, el barrio comercial con mayor densidad de toda Hong Kong, se cerró el 31 de mayo de este año la constitución e inscripción de la sociedad JG Trade Co Limited. Menos de diez días después, el 10 de junio, nacía en este mismo territorio autónomo de China, centro financiero global, la mercantil, Shengyi Trading Limited. Las dos sociedades están ahora mismo en el centro de una investigación conjunta de la Policía Nacional española y hongkonesa, tutelada por jueces de los dos países, por haber servido de pantalla para estafar más de cuatro millones de euros a la Empresa Municipal de Transportes de Valencia mediante la técnica del fraude del CEO: la suplantación de la identidad de superiores para embaucar a un cargo intermedio y convencerlo para que realice transferencias de dinero a cuentas en el extranjero, normalmente en países en los que resulta complicado seguir el rastro.

JG Trade Limited y Shengyi Trading son, según las facturas y las órdenes de pago efectuadas desde una cuenta de la EMT depositada en la oficina central de CaixaBank en Valencia, las titulares respectivas de las cuentas 01261120121680 y 01261120133878 del Bank of China en Hong Kong, receptoras de una total de ocho abonos por importe de 4,04 millones de euros por indicación de Celia Zafra, la directora de negociado de administración de la empresa municipal de autobuses, por ahora única investigada en una causa que le ha costado el despido fulminante tras más de tres décadas en la compañía.

Tras las dos mercantiles, según ha podido averiguar El Confidencial a través del servicio ICRIS, el Cyber Search Center del Gobierno de la Región Especial de Hong Kong (pinche para ver uno de estos certificados), figuran dos ciudadanos chinos sin otros vínculos con empresas o sociedades hongkonesas. Zuo Jialiang, con pasaporte chino acabado en 913, es el único director o administrador de JG Trade, mientras que Lai Yuanxin, con pasaporte acabado en 015, ejerce el mismo cargo en Shengyi Trading.

Los ciudadanos chinos que aparecen tras las sociedades que recibieron los cuatro millones no figuran en otras mercantiles en Hong Kong

Los de Jialiang y Yuanxi son los dos únicos nombres propios de los que es posible tirar para arrancar la investigación internacional de una estafa que ha conmocionado la vida municipal valenciana y tiene arrinconados políticamente al alcalde Joan Ribó (Compromís) y el concejal de Movilidad y presidente de la EMT, Giusseppe Grezzi, por las agujeros de seguridad que ha evidenciado el caso y una gestión política del asunto lindante entre la torpeza y la soberbia, conceptos que suelen ir habitualmente unidos.

Hay un tercer nombre, el de Javier Parada, socio responsable de Ingeniería y Construcción de Deloitte, pero es completamente ajeno a los estafadores. Uno de ellos, el cómplice en España de los delincuentes, probablemente de nacionalidad española, suplantó la identidad de Parada, creó un correo de Deloitte asociado a su nombre con la extensión ‘.com’ (el oficial de la consultora es ‘.es’) y lo utilizó para comunicarse con Celia Zafra, cruzar con ella facturas y documentos y convencerla para que le facilitase papeles con las firmas y DNI de sus superiores y el suyo propio que sirvieron para falsificar las órdenes de pago y transferencias a Hong Kong.

Todo empezó con llamadas telefónicas del falso Parada a Zafra en la que le informó de una hipotética operación corporativa de adquisición de una empresa de transporte en China. Un correo también falsificado de alguien que decía ser Grezzi apuntaló ante la trabajadora de la EMT el rol de intermediario y asesor para todo del estafador. Entre el 3 y el 20 de septiembre, se cursaron con órdenes de pago con las firmas falsificadas ocho transferencias a Hong Kong. Una novena por importe de casi 700.000 euros no llegó a completarse porque para entonces ya eran demasiadas las alertas que estaban saltando y Caixabank decidió ponerse en contacto con el gerente de la EMT, Josep Enric García Alemany, para confirmar la orden, lo que paralizó el pago. El objetivo del fraude era alcanzar los 11 millones de euros, según los documentos ficticios que el falso Parada hizo llegar a Zafra.

Ahí fue, más de veinte días después de arrancar la estafa, cuando los máximos responsables de la empresa tuvieron conocimiento de lo que estaba ocurriendo. García Alemany, que había vuelto de vacaciones el 9 de septiembre, presentó el 24 de septiembre la correspondiente denuncia ante el Grupo de Delitos Tecnológicos de la Policía Nacional con el primer relato de los hechos.

TE PUEDE INTERESAR

La EMT de Valencia no está sola: el 'fraude del CEO' o cómo robar 23.000M en tres años

Rubén Rodríguez

El estallido del caso dejó en evidencia una estafa millonaria, pero también un enorme agujero de seguridad. ¿Cómo sabían los estafadores que Zafra tenía poderes en las cuentas? ¿Por qué la eligieron a ella y no a alguno de sus superiores? ¿Por qué coincidió la estafa con una importante entrada de tesorería de un préstamo del Banco Europeo de Inversiones de 19 millones que hizo posible la existencia de disponibilidad de caja para hacer los pagos? Son preguntas que se suman a otra que por ahora tampoco tiene respuesta: ¿Por qué Zafra no se comunicó personalmente o por teléfono con sus superiores para confirmar el relato y las órdenes de transferencias?

Todo indica que los criminales tenían estudiada la empresa, su organigrama, su situación contable… Auditorías operativas internas venían advirtiendo desde 2016 hasta 2018 de importantes déficits en materia de seguridad informática y protocolos de actuación. La más reciente llegó este mismo mes de octubre de la mano de Ernst & Young. El documento, al que tuvo acceso El Confidencial junto con voluminosa documentación relativa al caso, acredita que la EMT está muy lejos de los niveles óptimos de madurez en ciberseguridad. En una escala de 1 a 5, la empresa de autobuses se sitúa en el 1,2, dice la auditoría de EY.

Un primer dictamen pericial de análisis informático encargado de urgencia al CSIRT de Telefónica descartó la existencia de ‘malware’ o acceso no regulares desde la cuenta de Celia Zafra. No obstante, a partir del rastreo y análisis de los numerosos correos cruzados, los analistas llegaron a varias conclusiones. Que los estafadores emplearon el teléfono para comunicarse con la empleada más que el ‘mail’ y que algunas de las cuentas estaban alojadas en servidores de Israel. El rastro en francés de algunos correos y el descuadre en husos horarios lleva a los peritos a especular con la posibilidad de que fueran enviados desde algún país del África francófona.

Los estafadores falsearon cuentas de correo de Deloitte, pero también de la CNMV, como destinatario añadido de las comunicaciones entre Zafra y Parada con el objetivo de dar verosimilitud al relato con el que engañaron a la trabajadora, cuyo despido ha sido criticado por los sindicatos. El ritmo de correo es frenético, las órdenes de pago de las ocho transferencias llevan detrás más de un centenar de correos electrónicos. Entre ellos facturas fabricadas ‘adhoc’ por las sociedades de Hong Kong, con sus direcciones y número de teléfono que nadie se molestó en contrastar. Las órdenes vinculan los números de cuenta de JG Trade Co y Shengyi Trading Limited en el Bank of China de Hong Kong. Como es habitual, CaixaBank no cotejó el número de cuenta con su titular, sino que comprobó únicamente que el IBAN (código de país+código de control) era el correcto. No obstante, si las cuentas no estuvieran asociadas a los beneficiarios que figuraban en las órdenes es algo que debería haber extrañado al receptor, el Bank of China. Esa es la duda, si los estafadores usaron de forma engañosa el nombre de sociedades hongkonesas existentes o si realmente ingresaron en sus cuentas el dinero robado. Si es así, los administradores de estas mercantiles, Jialiang y Yuanxin, estarían en la lista de sospechosos com primeros actores de la estafa.

La duda es si los estafadores usaron de forma engañosa el nombre de sociedades hongkonesas o si realmente eran titulares de las cuentas

Consumada la estafa, en fase de investigación policial y judicial, era inevitable la polémica política y la exigencia de responsabilidades, una asignatura en la que el equipo de Joan Ribó, con el concejal de Movilidad y presidente de la EMT, Giuseppe Grezzi a la cabeza, ha suspendido con estrépito. La primera reacción de Grezzi fue descargar toda la responsabilidad sobre Zafra, despedida de la compañía. Ni la directora de Gestión y Área Financiera, María Rayón, ni el gerente Josep Enric García Alemany, que fue quien denunció el caso a la Policía, han recibido ningún apercibimiento. Es más, García Alemany fue refrendado en su puesto en un consejo de administración celebrado menos de dos semanas después de conocerse el escándalo con una mejora de su salario de 70.000 a 75.000 euros. El ascenso salarial estaba planificado, pero Grezzi decidió no bloquearlo pese a la presión de sus socios del PSPV y de la oposición.

El equipo de Ribó se ha enzarzado con CaixaBank en un cruce de reproches vía burofax sobre quién es responsable de guardar la vigilancia

La posición del concejal ha sido desde el principio la desaguar culpas fuera de la empresa antes de asumir posibles deficiencias en los protocolos y controles internos. Ello ha derivado en un cruce de reproches entre la empresa pública y CaixaBank, también personada en la causa, aunque no como perjudicada, como pretendía. El juez Víctor Gómez le denegó esta condición porque podría tener responsabilidad civil subsidiaria. El pasado 10 de octubre, apelando al deber de custodia y protección de los fondos en depósito en el banco, Grezzi remitió un burofax con acuse de recibo a la sede de central del banco en Valencia reclamando el retorno de las ocho transferencias a las dos sociedades de Hong Kong. El escrito se ampara en el Código Civil para reclamar a la entidad financiera presidida por Jordi Gual la devolución de las operaciones “no autorizadas” porque no se exigió “la autenticación reforzada del cliente” que establece la Ley de Pagos.

“Manifiestas brechas de seguridad

La reclamación del concejal de Ribó no tardó en tener respuesta. En una carta de contestación, el banco se excusó explicando, entre otras cosas, que informó directamente a la directora de Gestión y Área Financiera, María Rayón, de las transferencias sexta y octava los días 17 y 20 de septiembre a través del correo electrónico corporativo. A la vez, según la entidad financiera, la propia Rayón, que firmaba otras órdenes pese a encontrarse de baja por acumulación de horas de lactancia, accedió en esas fechas a la banca online de la cuenta sobre la que se cargaron las transferencias “y ninguna manifestación no objeción formuló a estas”.

El banco sostiene que las órdenes de pago fueron confirmadas y cursadas conforme a los protocolos internos, incluyendo llamadas telefónicas a la ordenante. “El hecho de que la EMT haya sido objeto de un fraude interno propiciados por unas manifiestas debilidades internas de seguridad, no supone ninguna responsabilidad de CaixaBank”, sostiene la respuesta al ayuntamiento fechada el 24 de octubre y firmada por Juan Blasco, director del área jurídica de la dirección territorial en la Comunidad Valenciana. “CaixaBank no guarda ningún nexo causal con el fraude sufrido en el seno interno de la EMT ni con la ausencia de medidas de control o prevención en la EMT para evitar el delito”, apuntilla.

El secretario de la EMT, socio del cuñado del alcalde, ha tenido que dimitir tras elaborar un informe exculpatorio del equipo directivo y Grezzi

El gerente y la responsable de finanzas admitieron en la comisión de investigación sobre la estafa haber accedido al servicio electrónico de Caixabank el 17 y 18 de septiembre, pero sostienen que no analizaron los movimientos. Son fechas claves, porque si esto es así una observación detallada de los saldos contables de la empresa habría evidenciado el impacto de las transferencias. Al menos dos podrían haberse evitado.

La puntilla política para Ribó ha sido la revelación de los vínculos que el secretario de la EMT mantiene con uno sus familiares. Salvador Martínez Tarín, asesor legal de la empresa municipal, ha tenido que dimitir tras haber facturado más de 200.000 euros desde 2015 por su labor. La razón de la denuncia es que el diario ‘Las Provincias’ destapó que fue fundador de Abastos Abogados, despacho profesional que comparte con Daniel Pérez, pareja de la hermana (cuñado, por tanto) del alcalde de Valencia. La vinculación familiar de los letrados con el primer edil, ha acorralado todavía más al primer edil hasta el punto de haber tenido que forzar la salida de Martínez Tarín.

Este elaboró un informe en el que desaconsejaba denunciar la estafa económica al Tribunal de Cuentas apelando a la ausencia de indicios que implicasen responsabilidad en los miembros de consejo de administración y el equipo directivo. “No consta al secretario-asesor ninguna prueba ni indicio que acredite que algún miembro del consejo de administración o su director gerente hayan participado personalmente en el fraude. Tampoco consta que hayan incumplido el deber general de diligencia, el de lealtad o que se haya producido situación alguna de conflicto de intereses”. En definitiva, una valoración exculpatoria quizás algo apresurada que, junto a la relación familiar de uno de sus socios con el alcalde, le ha costado el puesto, si bien su renuncia ha sido vestida como voluntaria por motivos “personales”.