Foto: KIKE TABERNEREl hurto fraudulento de 4,04 millones en la EMT supuso una grave crisis política. Mientras que la empresa achaca la responsabilidad únicamente a la directiva engañada, la Agencia de Protección de Datos abre expediente sancionador a la firma por infracciones graves de seguridad.
VALÈNCIA. Fueron momentos de mucha tensión. Era inconcebible pero ocurrió: hace dos años, el 24 de septiembre de 2019, el gerente de la Empresa Municipal de Transportes de València en aquel momento, Josep Enric García, comunicaba al grupo de Delitos Tecnológicos de la Policía Nacional que la firma, dependiente del Ayuntamiento, había sufrido una estafa.
Delincuentes anónimos habían suplantado la identidad del presidente de la firma, el edil Giuseppe Grezzi, y un abogado de Deolitte para engañar a la que fuera jefa de Administración de la EMT, Celia Zafra, y que ésta les facilitara los datos necesarios para cursar hasta ocho transferencias de 4,04 millones de euros en total a dos cuentas radicadas en Hong Kong para una falsa compraventa empresarial. Hace dos años se describía el timo.
La estafa podría haber sido mucho más gravosa, pues los estafadores pretendían embolsarse hasta 11,4 millones de euros por esta inexistente operación empresarial. Sin embargo, tres semanas después de que se iniciara la estafa, empleados de la entidad bancaria que dio curso a las transferencias, Caixabank, advirtieron al gerente de la EMT de las salidas sospechosas de dinero que se estaban produciendo.
Se paralizó todo, se denunció, e incluso se advirtió a la Interpol, que lanzó el aviso a las autoridades hongkonesas para que bloquearan las cuentas receptoras del dinero. Fue en balde, apenas quedaban allí 150.000 euros de los cuatro millones: los titulares de las cuentas -que la policía considera mulas, al no ser lo estafadores reales- habían centrifugado el dinero entre una veintena de sociedades. Se perdió el rastro del dinero. Hoy en día, sigue perdido.
"Fue un shock completo equiparable a cuando te dicen que alguien muy querido ha muerto". Son las palabras con las que se refirió Zafra a lo que sintió cuando se enteró de que había formado parte de una estafa sin saberlo. "Mucha gente piensa que esto es como el timo de la estampita, pero esto es mucho más", aseveró la ex jefa de Administración sobre el fraude recientemente.
Al principio de todo, recibió una llamada telefónica del presunto abogado de Deloitte, quien le comentó la operación de compraventa que se disponía a hacer la EMT en el país asiático y que Grezzi iba a anunciarlo en rueda de prensa, por lo que le pedía discreción y la firma de una cláusula de confidencialidad. "En principio, todo me extraña", confesó Zafra, quien en ningún momento detectó nada raro en su acento: "Mis compañeras alguna vez cogieron la llamada y hablaron con él y no notaron ningún acento extraño".
Tras varios contactos telefónicos y por correo electrónico con los defraudadores, y habiéndoles facilitado las firmas de sus superiores para hacer las transferencias convencida de que la operación era real, la que fuera directiva de la empresa municipal manifestó su inquietud sobre cómo se estaba desarrollando todo: "Le dije al presunto abogado que no estaba cómoda trabajando así, con tanto secretismo y la cláusula de confidencialidad", aseguró la pasada semana en la radio Intereconomía Valencia.
Tras destaparse el fraude, Zafra colaboró en la elaboración de la denuncia y poco después, fue despedida por la empresa al haberse saltado los protocolos internos de seguridad: había facilitado las firmas de sus superiores por correo a los estafadores. La ex directiva llevó la cuestión a los juzgados y, aunque en primer instancia la justicia tumbó el despido, el TSJ lo acabó avalando como procedente.
El Tribunal de Cuentas, por su parte, también considera a Zafra presunta responsable en términos contables de lo sucedido. Así pues, hasta que resuelva definitivamente, requirió a la ex directiva una fianza de 4,2 millones de euros -lo defraudado junto con intereses-, montante que Zafra no pudo aportar, por lo que el Tribunal le embargó una plaza de garaje.
Lo acontecido no tuvo nada que ver con un ciberataque: ninguno de los sistemas de la EMT fue comprometido, como constataron los peritos. Así pues, la firma municipal que preside Grezzi organizó toda su defensa descargando la responsabilidad de lo sucedido en Zafra y en Caixabank, que dio curso a las transferencias con firmas en PDF y no en formato digital como era habitual, y rechazó de plano que cualquier deficiencia interna hubiera facilitado la estafa.
Como quedaría comprobado definitivamente en las conclusiones de la comisión de investigación política, aprobadas también por el presidente de la EMT, la empresa presentó deficiencias en el procedimiento de conciliación bancaria y en el control de la tesorería, así como en la falta de un protocolo organizado para la delegación de funciones en situación de baja o permiso.
"No se puede verificar en ningún protocolo ni relación de funciones de los puestos" a quién correspondía la tarea de revisar las cuentas, rezaba el documento, quien incidía en que la superior de Zafra, María Rayón, que estaba de baja "no había delegado formalmente ninguna tarea" durante este período e incluso esta directiva aseguró entrar alguna vez a ver las cuentas, sin percatarse de la salida extraña de dinero.
Así las cosas, otro factor a tener en cuenta durante el fraude fue el hecho de que, entre vacaciones y bajas, en el departamento sólo había dos trabajadoras cuando se produjo la estafa, lo que también influyó en el desarrollo de los acontecimientos. "El reducido número de personas en el departamento fue, sin duda, una de las claves para que los trabajos relacionados con la conciliación bancaria no se llevasen a cabo con la debida diligencia". Ello, unido al hecho de que Rayón no delegó ninguna función, llevó a concluir que "existieron tareas que quedaron desatendidas" aquellos días.
La cuestión quedó ahí porque la Agencia Española de Protección de Datos (AEPD) archivó su investigación tras la denuncia presentada por el Partido Popular al considerar que no había habido brecha digital en el seno de la firma. Sin embargo, las alegaciones presentadas por el grupo municipal popular han hecho que la Agencia abra recientemente un expediente sancionador a la EMT por posibles fallos de seguridad durante el fraude.
Así pues, la AEPD considera que la firma podría haber vulnerado el Reglamento General de Protección de Datos al "no utilizar las medidas técnicas y organizativas apropiadas para garantizar la seguridad de los datos personales" porque no fue "capaz de garantizar un procesamiento de los datos personales apropiado a los riesgos derivados de su tratamiento" y eso implica unas "vulnerabilidades en las medidas de seguridad implantadas".
En el documento de inicio de procedimiento sancionador de la Agencia, al que ha tenido acceso este diario, el organismo señala que para este tipo de infracciones se estipula una multa de 10 millones de euros en términos generales. Sin embargo, al ser administración pública, la EMT se salvará de la multa administrativa.
Tras conocer la reapertura del caso por la Agencia, el consejero de la EMT por parte del PP, Carlos Mundina, indicó que lo recogido en el documento de la AEPD "apunta directamente a Grezzi y los responsables de la compañía", por lo que exigió el cese del edil. "Después de escuchar a los responsables y trabajadores de la empresa pública en la comisión de investigación, y tras los auditorias de la Sindicatura de Comptes y la Intervención General del Ayuntamiento, es evidente que no habían ni protocolos de control y la gestión en la EMT era un caos", sentenció Mundina al respecto este viernes.
El concejal de Ciudadanos Narciso Estellés, criticó que no haya habido "ni un solo gesto de Ribó o de Grezzi asumiendo responsabilidad alguna". El edil recordó que esta "lamentable manera de proceder ha sido amparada en todo momento por los socios de gobierno del PSPV" y criticó que no se haya conseguido recuperar "ni solo euro" mientras que los gastos en defensa son elevados. Asimismo, incidió en que el tiempo ha dado la razón a quienes dijeron "que la comisión de investigación se cerró en falso" al conocerse la decisión de la AEPD, en la que manifestó confianza para que lleve a cabo "todos los análisis y dictámenes pertinentes sobre las posibles vulnerabilidades graves".
Mientras, el Juzgado de Instrucción número 18 de Valencia prosigue con la investigación del caso sin dar con los autores del fraude y sin conseguir, por ende, recuperar el dinero defraudado. La EMT ha invertido ya esfuerzos económicos por valor de 130.000 euros en despachos de abogados con motivo de la estafa.
El juez ya ha ordenado remitir sendas comisiones rogatorias internacionales a Kenia e Israel para averiguar los datos de los titulares de dos líneas de teléfono y una IP desde donde se enviaron los mensajes y se hicieron las llamadas a la trabajadora de la empresa municipal, tal como constató el Grupo de Delitos Informáticos de la Policía Nacional.
Asimismo, el titular del juzgado ha hecho lo propio con dos comisiones rogatorias a Dublín (Irlanda) y Denver (Estados Unidos), para solicitar información a Google y a Sengrid -otra plataforma de gestión de correo electrónico y marketing- sobre los propietarios de las cuentas de email desde las que se cometió la estafa. El juez busca con ellas seguir otra de las pistas señaladas por el Grupo de Delitos Tecnológicos: que se utilizaron hasta cuatro cuentas de correo electrónico, con los que suplantaron a un supuesto abogado de Deloitte y al presidente de la EMT.
El informe inicial de la Policía concluyó que Celia Zafra no estuvo implicada en el fraude, al menos de forma consciente. Los investigadores no detectaron ningún tipo de relación entre la mencionada directiva y los estafadores. Los técnicos de Telefónica, la operadora de la empresa municipal, concluyeron en otro informe que Zafra habría sido inducida por los estafadores a colaborar en el fraude "mediante técnicas de ingeniería social".
De esta manera, a juicio de los agentes de la Policía Nacional, se trató de una organización de personas que contaron con los dos ya mencionados testaferros, titulares de sendas cuentas bancarias que recibieron los cuatro millones de euros y que funcionaron como cuentas 'puente'.
Otra de las dudas que se ha planteado es si hubo algún tipo de colaboración desde dentro de la empresa que hubiera facilitado a los defraudadores información sensible como las vacaciones de los directivos -buena parte de ellos estaban en período vacacional cuando se inició la estafa-. Los agentes consideraron que esto no es probable.
El incidente supuso un gran desgaste a nivel político para las dos fuerzas que conforman el gobierno municipal: Compromís y PSPV. El edil responsable de la firma, al ser presidente de la misma, era y es el concejal de Movilidad Sostenible, Giuseppe Grezzi, perteneciente a la coalición valencianista que lidera el alcalde Joan Ribó. La brecha abierta entre su formación y los socialistas que lidera Sandra Gómez no ha hallado algo similar en este gobierno de coalición.
El fraude de la EMT desata la primera gran crisis de gobierno entre Compromís y PSPV en València
La oposición -PP, Ciudadanos y Vox- presionó sobremanera para que Grezzi asumiera las responsabilidades políticas por lo sucedido. Los socialistas, conscientes de la gravedad del suceso, optaron por arbitrar el conflicto y bailar en aguas movedizas: por un lado, mantener el ejecutivo local vivo, por otro, exigir algún tipo de responsabilidad a sus socios para atajar la sangría mediática y política.
La edil socialista Elisa Valía -consejera de la EMT-, presidió una comisión de investigación política constituida en el seno de la empresa y no en el pleno, y acabó protagonizando con Grezzi uno de los conflictos más arduos del ejecutivo local al instarle a abandonar la comisión cuando interviniesen empleados de la EMT que el italiano preside para evitar interferencias. Él se negó, como reflejan las conversaciones que publicó Valencia Plaza, y estalló una crisis "sin precedentes" entre Compromís y PSPV, en palabras del vicealcalde, Sergi Campillo.
Grezzi: "No voy a salir de la comisión de investigación aunque se haya votado"
Sandra Gómez, vicealcaldesa socialista, a todo esto, de luna de miel. Y el alcalde aprovechó para apartarla precipitadamente del consejo rector de La Marina como represalia por lo que Compromís consideraba una falta de respeto al acuerdo de gobierno. Semanas después, Grezzi asumió la postura del PSPV.
Pero no acabaría aquí la cosa. El foco se puso sobre la empresa municipal que dependía del concejal de Compromís y se descubrió que el secretario del Consejo de Administración de la firma, que hasta el momento se elegía sin concurso y 'a dedo', resultaba ser socio en el bufete de abogados del cuñado del alcalde. Un escándalo que todavía crispó más el ambiente político municipal, con la oposición abundando en su exigencia de cese para Grezzi, y la intervención de la EMT por el Ayuntamiento. Al fin y al cabo, el secretario dimitió y fue sustituido por un habilitado nacional del consistorio, como en el resto de firmas y organismos municipales.
Con todo, en realidad uno de los puntos de fricción más relevantes era la asunción de responsabilidades por el fraude. Según publicó El Mundo, poco después del fraude, Grezzi amenazó en el seno del grupo municipal con abandonarlo si no recibía el apoyo suficiente, y pasarse al grupo mixto, lo que hubiera dejado al gobierno municipal en minoría en el pleno.
Mientras que la derecha exigía al gobierno municipal la cabeza de Grezzi, los socialistas manifestaban, conscientes de la complejidad de la situación, su complacencia con el cese del gerente de la EMT. A la postre, y tras meses de negociación entre Compromís y PSPV, se efectuó la salida de Josep Enric García, revestida de dimisión para iniciar una etapa nueva en la firma municipal al haber cumplido un ciclo. Un pequeño error de 15.000 euros de más en la indemnización puso la guinda al vodevil.
