Era un día húmedo en Cancún en septiembre de 2015, y El Tiburón, un criminal rumano, estaba de muy mal humor.
Florian Tudor, patrón del bajo mundo de Craiova (Rumania) y que entonces tenía 38 años, lideraba una lucrativa estafa en la Riviera Maya de México. Les robaba dinero a los turistas a través de una red de cajeros automáticos equipados con dispositivos para copiar los datos de sus tarjetas bancarias.
Pero Brian Krebs, un periodista estadounidense, publicó un artículo y un vídeo en su página que exponían la operación.
“Nos destruyeron. Ya está. Chinga su madre. Cierra todo”, le escribió Tudor a Constantin Sorinel Marcu, su mano derecha, en un mensaje de la aplicación Viber, según registros de fiscales rumanos. “Diles que los voy a matar”, añadió.
“Ok. Yo puedo matarlos, en cualquier momento, a cualquier hora”, le respondió Marcu.
Sin embargo, las preocupaciones de Tudor resultaron infundadas. Una investigación de OCCRP (Organized Crime and Corruption Reporting Project) con socios en México y Rumania muestra que el Tiburón logró seguir con el negocio ilegal durante tres años y medio más. Uno de sus hombres, que se convirtió en informante de la justicia rumana, dijo que la estafa generó unos 240 millones de dólares por año, desde principios de 2014 hasta la primavera de 2019, cuando la banda cerró la operación por la presión de las autoridades mexicanas. En total, se estima que ganaron 1.200 millones de dólares.
A través de cerca de 15.000 páginas de documentos de autoridades rumanas, así como de registros de propiedad en cuatro continentes, solicitudes de información y de entrevistas con docenas de fuentes, un equipo de periodistas reconstruyó los detalles de esta estafa, que alteró hasta 100 cajeros automáticos en regiones turísticas de la Península de Yucatán y el Pacífico mexicano.
Esta investigación también expone deficiencias en la aplicación de la regulación bancaria del país. A través de una empresa pantalla, el grupo criminal de Tudor estableció en 2014 una relación comercial con Multiva, un banco de tamaño mediano, y montó una red de cajeros legitimada por su marca.
A pesar de numerosas señales de alarma, Multiva no paró la trama de los cajeros. Al contrario, en 2018 el banco renovó su contrato para instalar cajeros con Top Life Servicios, la empresa fachada de Tudor.
Las autoridades tampoco han hecho mucho por detener la estafa. En Rumania saben de las actividades criminales de Tudor y su banda desde 2012 y sólo acusaron a algunos miembros el año pasado. En México, la policía nunca ha acusado a ningún miembro del grupo por la estafa de los cajeros.
Los expertos opinan que este caso muestra por qué México necesita una regulación más fuerte sobre los cajeros automáticos. De acuerdo con la regulación actual, los bancos son responsables de investigar ellos mismos cuando hay incidentes de seguridad como cuando sus propios cajeros automáticos fueron alterados.
“Nos dimos cuenta de que hay un vacío legal”, señaló Mario Di Costanzo, expresidente de la Comisión Nacional para la Protección y Defensa de los Usuarios de Servicios Financieros (Condusef). Según indicó, esta institución gubernamental debería supervisar los cajeros.
“Nadie los supervisa, la única forma de que se ponga atención es cuando tú tienes una reclamación de un usuario, de un cajero automático que no funcionó bien", dijo.
Sin embargo, la investigación de Krebs en 2015 sí llamó la atención en la Riviera Maya, donde muchos residentes extranjeros y turistas publicaron en redes sociales que sospechaban que algo andaba mal con los cajeros. Uno de ellos incluso publicó en Facebook que vio cómo los criminales removían dispositivos de clonación de datos, llamados skimmers, en máquinas de Playa del Carmen.
“Vi a individuos ir a los cajeros y sacar los skimmers justo delante de la gente", escribió el residente. "No les importa y no es probable que la policía los detenga".
Robo automatizado
Un paso clave para la banda fue montar a finales de 2013 Top Life Servicios, una compañía en apariencia legal que instaló y operó cajeros automáticos. Según el registro público de comercio mexicano, la fundaron dos rumanos que trabajaban para Tudor: Emilian Ciupitu y Paul Daniel Ionete, nombrado administrador único y accionista mayoritario de Top Life.
De hecho, Ionete era una identidad falsa que usó Adrian Tiugan, un veterano de las estafas con cajeros, condenado en Rumania en 2012 por pertenecer a un grupo criminal que plantó skimmers en máquinas en el Vaticano. Sin embargo, huyó antes de ser encarcelado. Con una orden de captura internacional, terminó yéndose a México usando un pasaporte falso, que le compró en 2.000 dólares al verdadero Paul Ionete.
Los antecedentes penales de Tiugan no impidieron que se mudara a México, montara Top Life y construyera una relación con un banco establecido. Su identidad fraudulenta bastó para engañar a las autoridades de inmigración mexicanas, que le otorgaron un permiso de trabajo temporal nueve meses después de que se emitiera la orden de captura internacional.
Tiugan se puso a trabajar rápido. El 1 de marzo de 2014, poco después de su creación, Top Life firmó un contrato con Multiva. El banco forma parte de un conglomerado operado por Olegario Vázquez Aldir, miembro de una de las familias más adineradas de México y designado en 2018 en el consejo asesor empresarial del presidente Andrés Manuel López Obrador.
El acuerdo permitió a Top Life instalar "cajeros automáticos a nivel nacional con el reconocimiento y el patrocinio del Banco Multiva", según consta en una carta dirigida “a quien corresponda”.
Multiva tenía un interés particular en la Riviera Maya, en la costa caribeña de la península de Yucatán, donde hay una fuerte necesidad para conseguir efectivo fácilmente. Cada año, millones de turistas exploran Cancún, Playa del Carmen y Tulum, donde ruinas mayas se bañan en playas de arenas blancas y aguas turquesas.
“Este acuerdo comercial abarcaba toda la zona de la Riviera Maya donde nosotros no teníamos presencia”, dijo en una entrevista a OCCRP Javier Valadez Benítez, director general del Grupo Financiero Multiva, en sus oficinas en Ciudad de México.
“Eso también es un interés más nuestro porque de la noche a la mañana tuvimos una red de cajeros con la imagen del banco posicionada en un mercado donde no teníamos presencia” explicó. Y agregó que el banco nunca invirtió en Top Life, ni a la inversa.
Los representantes de Multiva no quisieron revelar qué tan lucrativo fue el contrato con Top Life Servicios para el banco.
Enfocarse en destinos turísticos sin duda fue una movida inteligente de la banda de Tudor.
Los estafadores robaban la información cuando las víctimas usaban los cajeros automáticos. Luego, la banda agregaba la información a una nueva tarjeta, que usaban para retirar dinero en distintos puntos del mundo. En general sacaban el efectivo meses después de robar los datos. Así, a las víctimas les costaba hacer la conexión con sus vacaciones en México. Y aún más difícil vincular lo ocurrido con un cajero en particular.
Otra táctica para evitar ser detectados, según un antiguo cómplice, era sacar de cada tarjeta cantidades nunca superiores a 200 dólares cada vez.
En abril de 2018, el californiano Mark Roberts estaba de vacaciones en Sayulita con 13 amigos cuando fue víctima de la banda. Aunque en foros en línea ya había leído sobre fraudes en los cajeros del pueblo, él y sus compañeros fueron a un cajero de Multiva, pues necesitaban efectivo para pagar la cuenta de un restaurante. A fines de mes, varios miembros del grupo descubrieron retiros simultáneos fraudulentos de sus cuentas en Orlando (Florida) y Hollywood (California).
Sacaron el dinero "sabiendo que podría ser arriesgado", le dijo Roberts a OCCRP. "¡Resulta que sí lo era!"
El uso de la marca de Multiva dio a los cajeros de la banda una apariencia de legitimidad, que disimulaba la tecnología de skimming alojada en su interior. Hay otras pistas sobre el funcionamiento de la estafa en una orden de captura emitida en Rumania contra cinco miembros de la organización en julio de 2019, por crear una organización criminal, por intento de homicidio y por chantaje.
Cristian Simion, un extécnico en Top Life, declaró a fiscales rumanos que su trabajo consistió en diseñar e instalar chips en cajeros armados específicamente para robar datos de tarjetas. Registros empresariales muestran que él también fue accionista de RLU Services Mexico, una empresa que según Simion importó componentes y equipos para hacer los chips.
Top Life "instaló cajeros en varias zonas turísticas con el acuerdo del banco Multiva", les señaló a los investigadores, según la orden de captura. "En esas máquinas, instalaron dispositivos de clonación de tarjetas".
Los ejecutivos de Multiva le dijeron a OCCRP que desconocían que autoridades rumanas, mexicanas y estadounidenses llevaban a cabo investigaciones contra la organización de Tudor, pues estas nunca contactaron el banco. Informaron que un examen estándar sobre los antecedentes de los dueños de Top Life no arrojó ningún resultado. No es claro si volvieron a revisarlos antes de renovar su contrato con la empresa en 2018.
Vacíos y laxitud
Las licencias de Top Life, que se obtuvieron con solicitudes de acceso a información pública, trazan un mapa parcial de la red de cajeros de la empresa pantalla, desde la exuberante selva tropical de la Península de Yucatán hasta los spots de surf y exclusivos complejos turísticos de la costa del Pacífico.
La banda instaló máquinas en hoteles y restaurantes de Tulum, junto al malecón de Puerto Vallarta, cerca de las playas de Sayulita, en Bahía de Banderas e incluso en Tijuana, según un testimonio citado por las autoridades rumanas.
Con su identidad falsa, Tiugan y un compatriota rumano, se encargaron de hacer las gestiones para instalar los cajeros adulterados. Él siguió operando, incluso después de que la prensa rumana revelara en 2014 que el verdadero Paul Ionete fue arrestado por pertenecer a una banda de narcotraficantes. Ionete fue fue de nuevo arrestado en 2017.
Esta investigación también encontró que Top Life no cumplió con todas las regulaciones locales para obtener licencias para sus cajeros, como no proporcionar la documentación requerida e instalar cajeros automáticos sin un permiso. Pero se salieron con la suya porque los gobiernos municipales no hicieron cumplir las reglas.
Por ejemplo, en Puerto Vallarta, Top Life Servicios obtuvo una licencia para instalar cajeros en las oficinas municipales de la ciudad en 2015. Cuando OCCRP pidió los documentos que Top Life presentó para tener la licencia, el contrato de arrendamiento que es requerido no pudo ser hallado.
En ciudades de la Riviera Maya como Playa del Carmen, Tulum y Cancún, la banda instaló máquinas sin siquiera tener permisos. Las oficinas municipales no respondieron a los cuestionarios formulados.
Horacio Esquivel Martínez, economista y exdirector general adjunto de la Secretaría de Hacienda y Crédito Público, opinó que los municipios no deberían tener la facultad de permitir la instalación y operación de los cajeros, ya que son particularmente vulnerables a la delincuencia organizada y la corrupción.
“Imagínese los municipios como están expuestos y cómo se ven los casos de cómo los controla el crimen organizado a muchos de ellos”, dijo. Añadió que las compañías presionan a los funcionarios locales ofreciéndoles la posibilidad de elegir entre un soborno o una bala.
"Es fácil llegar al ayuntamiento y decirle al presidente municipal: plata o plomo, así de fácil", explicó.
Las compañías también se aprovechan de la poca supervisión y de la pobre regulación de los bancos o de las autoridades reguladoras nacionales, añadió Esquivel. En principio, las autoridades reguladoras deberían tener mayor capacidad para monitorear los cajeros. Pero en la práctica, los bancos hacen poca supervisión y sus reguladores rara vez intervienen.
“Tendría que ser un problema que se convirtiera en un tema de política pública o de interés nacional o de interés de la CNBV para que procedieran a hacer algo”, afirmó.
Los directores de Multiva le dijeron a OCCRP que el banco cumplía con todas sus obligaciones y que no estaba enterado de la manipulación o alteración de los cajeros que llevaban su marca. Añadieron que el banco recibió quejas sobre algunas transacciones que sus usuarios no reconocieron, pero que eso era “normal”.
Se negaron a dar más detalles cuando reporteros les preguntaron cuántas quejas habían recibido de usuarios de cajeros de Top Life, pero dijeron que monitoreaban sus cajeros de forma remota a través de reportes de uso.
"Yo no tengo una persona afuera de cada cajero viendo quien entra y quién sale", manifestó Valadez de Multiva.
Alertas prendidas
Puede que Multiva no haya monitoreado sus cajeros en persona. Pero sí hubiera podido tomar nota de la investigación de Brian Krebs, donde la estafa de Tudor recibió suficiente atención. El artículo fue ampliamente compartido y fue incluso retomado por The Daily Mail, el portal informativo en inglés más leído del mundo.
Krebs indicó que buscó a varios departamentos de Multiva para que comentaran sus hallazgos, pero sólo una persona contestó. Y se limitó a decirle que llevaba más de una década siguiendo su blog. “Después le contesté dos veces en español, pero no obtuve más respuestas", dijo Krebs en una entrevista.
Los ejecutivos del banco dijeron a OCCRP, en repetidas ocasiones, que desconocían la investigación de Krebs y que no sabían de Intacash, que era otro nombre de Top Life. Multiva también afirmó que auditó los cajeros que Top Life instaló.
De hecho, Top Life y Multiva siguieron trabajando juntos. Incluso renovaron el contrato tres años después de la historia de Krebs. Valadez, de Multiva, señaló que el banco no tenía ni idea de quién era Tudor ni de su relación con Top Life hasta su arresto el 30 de marzo de 2019.
Tudor y un socio fueron detenidos en un retén policial en una autopista al sur de Cancún. Los agentes encontraron una pistola Glock con munición de uso exclusivo de las fuerzas armadas y más de 25.000 dólares en efectivo, según la fiscalía. La policía los retuvo brevemente y los liberó después de que cada uno pagara una fianza de 1.000 dólares. El arresto de Tudor fue cubierto por los medios locales y Multiva canceló su relación comercial con Top Life.
“En el momento que nos enteramos de que había un tema alrededor de Top Life Servicios y aparecía el nombre de este señor, aun cuando no lo conocíamos, lo que hicimos fue finiquitar dicho acuerdo comercial”, dijo Valadez.
Casi un año después, el Tiburón seguía furioso.
El 16 de marzo pasado organizó una rueda de prensa en su casa en Cancún, rodeado por su abogado y dos asociados, con la intención de presentarse como un inocente hombre de negocios. Sentado frente a un enorme cuadro de marco dorado con la pintura de un vaquero, Tudor arremetió contra la policía y los periodistas, alegando que era víctima de una campaña de desprestigio que arruinó su relación comercial con Multiva.
"Brian Krebs como otros medios de comunicación de manera ilegal y falsa han querido adjudicar al suscrito Florian Tudor todos los eventos delictivos efectuados por personas rumanas”, declaró. "Con ello me están haciendo imputaciones por el solo hecho de ser de origen rumano”.
Los documentos de investigaciones en México, Rumania y Estados Unidos cuentan una historia diferente. Según ellos, Tudor lidera un violento grupo de crimen organizado transnacional, que no sólo cometió una vasta y lucrativa operación de skimming, sino que también ha estado involucrado en el intento de homicidio de uno de sus antiguos hombres en Cancún.
En enero la agencia de investigación del crimen organizado de Rumania (Diicot), acusó a seis miembros de la banda de crimen organizado, intento de homicidio y chantaje. Tres están detenidos y dos tienen prisión domiciliaria en Rumania.
Pero Tudor sigue libre en México.