Situación

1. Empresa de manufactura
2. Ventas anuales: $17 mdd
3. Monto de fraude: $1 mdd
4. División: Ventas de menudeo
5. Tiempo: aproximadamente 1 año
6. Descubrimiento: Cuando el faltante era demasiado grande para la operación
7. Tipo de fraude: “Devoluciones falsas”

Antecedentes

1. La empresa, enfocada a mayoreo, se asoció con un ex-competidor para establecer ventas de medio-mayoreo.
2. Se monto una nueva instalación para la nueva división
3. El sistema de información aunque era el mismo operaba independiente

¿Cómo se realizó el fraude?

1. El gerente inició el fraude depositando los pagos de los clientes en cuentas propias
2. A los pocos días traspasaba los montos a las cuentas de la empresa
3. Pero fue incrementando el tiempo hasta que decidió quedarse con el dinero
4. Cuentas por cobrar del corporativo no detectaba el faltante hasta meses después
5. Cuando la presión era muy fuerte, el gerente cancelaba las facturas alegando devolución de mercancía por parte del cliente
6. Pagaba algunos pedidos con el dinero de otros (lapping)
7. Lo malo es que el material “devuelto” no entraba a almacén
8. No había conciliaciones bancarias

Lo que auditoría de IT debió haber hecho

1. Revisión de derechos asignados en el sistema (cancelación de facturas, movimientos fuera de periodo, etc.)
2. Reporte de movimientos fuera del período
3. Análisis de controles de acceso directo a base de datos
4. Revisión de análisis de riesgos de IT
5. Revisión de la segregación de funciones

¿Cómo podría auditoría de IT haber ayudado?

1. Al descubrir que el gerente tenía todos los derechos, se debieron haber tomado medidas para limitar esto, y reducir así sus opciones de cancelar facturas, realizar movimientos fuera de periodos, etc. Si esto se hubiera hecho, no le habría sido tan fácil cometer el fraude o habrían resultado evidentes algunas malas prácticas
2. El riesgo de que exista acceso directo a la BD es muy alto pues permite manipulaciones directas a los datos, sin pasar por los pocos o muchos controles del sistema de información
3. El análisis de riesgos hubiera revelado que debían implementarse varios controles de manera urgente. Pero la falta de estos se tomaba como parte de un “desorden operacional normal”, que auditoría de IT pasó por alto.

Situación

1. Empresa de servicios
2. Monto de fraude: $50,000 dólares
3. División: IT
4. Tiempo: 48 horas
5. Descubrimiento: Al llegar el recibo telefónico (<30 días)
6. Tipo de fraude: Uso no autorizado de troncales telefónicas

¿Cómo se realizó el fraude?

1. Alguien acceso el router que tenía Internet y las troncales telefónicas para establecer llamadas a Cuba.
2. Las llamadas no fueron bloqueadas pues no pasaron por el conmutador de ToIP y por ende tampoco por el tarificador.
3. El router era vulnerable y los servicios de ToIp y VoIP estaban disponibles en Internet

Lo que auditoría de IT debió haber hecho

1. Revisión de vulnerabilidades del gateway de voz
2. Revisión de arquitectura de seguridad
3. Revisión de la existencia de un análisis de riesgos para servicios de IT

¿Cómo podría auditoria de IT haber ayudado?

1. La revisión de vulnerabilidades habría revelado que el gateway de voz estaba expuesto desde Internet
2. Puesto que existían herramientas de seguridad pero no estaban implementadas de manera adecuada, debió haberse recomendado contar con una mejor arquitectura para reducir las vulnerabilidades
3. Se debió haber asentado que el análisis de riesgos considerará el escenario de que un externo tomara control del gateway de voz y lo utilizara para generar llamadas, al ser este un alto riesgo se habrían tomado medidas preventivas para evitar así el fraude

Situación

1. Empresa de manufactura
2. Monto de fraude: $20,000 dólares
3. División: Finanzas
4. Tiempo: horas
5. Descubrimiento: 24 horas
6. Tipo de fraude: Robo de identidad

¿Cómo se realizó el fraude?

1. Pharming (local)
2. Un usuario de finanzas acceso a un sitio Web, donde se ejecutó un código que modificó el archivo LHOST y la dirección del sitio del banco
3. Cuando el usuario entró al sitio de banca electrónica, los defraudadores entraron con él y al terminar la sesión ellos se “quedaron en el banco”
4. Sólo pudieron acceder una vez al banco y únicamente a una cuenta para pagos menores, de lo contrario el monto del fraude podría haber sido mayor .

Lo que auditoría de IT debió haber hecho

1. Análisis de vulnerabilidades de equipos de tesorería
2. Revisión de cumplimiento de recomendaciones de la institución bancaria con respecto a la seguridad en banca electrónica
3. Revisión de antivirus/antispyware instalados en computadoras de la empresa o en gateway (al menos una de las dos opciones)

¿Cómo podría auditoría de IT haber ayudado?

1. La revisión de vulnerabilidades debió revelar que no se contaba con una antispyware
2. Las instituciones bancarias cuentan ya con una lista de puntos de control sugeridos para reducir la posibilidad de fraude en banca electrónica. Esto debió haberse atendido.