Cesantías Fraud

Nombres Alternativos / Aliases

• Fake Faces Operation
• Colombian Severance Fund Fraud Campaign
• Fake Faces 2.0
• Operación Falsa Cesantía
• Cesantías 2026 Fraud Campaign

Fecha de Detección / Actividad

Fecha de Detección: 25 de febrero de 2026

Período de Actividad Observado: Diciembre 2025 - Febrero 2026 (aproximadamente 3 meses)

Fuente de Divulgación: Fiscalía General de la Nación - Dirección Especializada contra el Cibercrimen

Estado: Activo / En investigación

Actor de Amenaza (Atribución)

Atribución: Banda delincuencial "Fake Faces"

Tipo de Actor:

• Grupo de cibercrimen organizado
• Red de suplantadores de identidad
• Actores con capacidad de falsificación documental física y digital

Motivación:

• Fraude financiero (apropiación de cesantías)
• Robo de identidad
• Lucro económico mediante explotación de temporada de pagos (diciembre-febrero)

Nivel de Sofisticación: Medio (combinación de ingeniería social, falsificación documental y explotación de vulnerabilidades en procesos digitales de verificación)

Región de Operación: Colombia (Bogotá, Medellín, Cali, Barranquilla) con posible conexión internacional para lavado de activos

Resumen Ejecutivo

Esta campaña documenta una operación de fraude masivo dirigida contra los fondos de cesantías en Colombia durante la temporada de pagos de 2025-2026, ejecutada por la organización criminal conocida como "Fake Faces". Entre diciembre de 2025 y febrero de 2026, la banda logró infiltrarse en los sistemas de solicitud y desembolso de las principales administradoras de fondos de cesantías del país (Porvenir, Protección, Colfondos y Skandia) mediante un elaborado esquema de suplantación de identidad.

El modus operandi consistía en la obtención de datos personales de trabajadores colombianos, seguido de la elaboración de cédulas de ciudadanía falsificadas donde insertaban su propia fotografía pero conservando el número de identidad de la víctima real. Con estos documentos, los delincuentes abrían cuentas bancarias a nombre de los trabajadores suplantados y posteriormente accedían a los portales web de los fondos de cesantías para solicitar retiros parciales o totales, utilizando además certificados laborales y educativos apócrifos como justificación.

La operación fue desarticulada parcialmente el 25 de febrero de 2026 por la Fiscalía General de la Nación y la Policía Nacional, con la captura de 8 integrantes de la banda en diligencias realizadas en Bogotá, Soacha y Madrid (Cundinamarca). Durante los allanamientos se incautaron 20 equipos de cómputo, 35 teléfonos móviles, 150 tarjetas SIM, 70 cédulas falsificadas en diferentes estados de elaboración, y documentación que evidenciaba la preparación de solicitudes fraudulentas para acceder a los $26.1 billones de pesos que los afiliados tenían acumulados en cesantías durante 2025. Las autoridades estiman que la banda habría logrado apropiarse de aproximadamente $3.500 millones de pesos antes de su captura, afectando directamente a trabajadores que vieron sus ahorros laborales sustraídos.

Vectores de Ataque

• Suplantación de identidad mediante cédulas falsificadas con fotografía de los delincuentes
• Apertura fraudulenta de cuentas bancarias en entidades financieras
• Acceso no autorizado a portales web de fondos de cesantías (Porvenir, Protección, Colfondos, Skandia)
• Presentación de certificados laborales y educativos apócrifos
• Explotación de la temporada de pagos de cesantías (diciembre-febrero)
• Debilidades en los procesos de verificación biométrica y documental de las entidades

Técnicas, Tácticas y Procedimientos (TTPs)

Táctica (MITRE ATT&CK)	Técnica	Descripción
Acceso Inicial (TA0001)	Valid Accounts (T1078)	Uso de credenciales de víctimas suplantadas para acceder a portales de fondos de cesantías
Desarrollo de Recursos (TA0042)	Establish Accounts (T1585)	Apertura de cuentas bancarias fraudulentas a nombre de las víctimas para recibir los desembolsos
Desarrollo de Recursos (TA0042)	Stage Capabilities: Upload Malware (T1608.001)	Preparación de documentos falsificados (cédulas, certificados) para ser presentados en entidades financieras y fondos
Persistencia (TA0003)	Account Manipulation (T1098)	Mantenimiento de acceso a las cuentas de las víctimas durante el proceso de solicitud y desembolso
Evasión de Defensas (TA0005)	Impair Defenses: Disable or Modify Cloud Firewall (T1562.007)	Explotación de debilidades en los sistemas de verificación de identidad de las plataformas
Acceso a Credenciales (TA0006)	Steal Application Access Token (T1528)	Obtención de datos personales para la construcción de identidades falsas
Descubrimiento (TA0007)	Account Discovery (T1087)	Identificación de víctimas potenciales y sus saldos de cesantías
Recolección (TA0009)	Data from Information Repositories (T1213)	Obtención de información personal de las víctimas para la falsificación documental
Impacto (TA0040)	Financial Theft (T1657)	Apropiación ilegal de los recursos de cesantías de los trabajadores afectados

Flujo de Ataque (Kill Chain)

1. Reconocimiento y Recolección: La banda identifica y obtiene información personal de trabajadores colombianos (nombres, números de cédula, fechas de nacimiento, información laboral) mediante diversas fuentes, incluyendo posibles filtraciones de datos y técnicas de ingeniería social.
2. Preparación de Infraestructura Fraudulenta: Con los datos obtenidos, los delincuentes fabrican cédulas de ciudadanía falsificadas, insertando su propia fotografía pero conservando el número de identidad de la víctima real. Adicionalmente, elaboran certificados laborales y educativos apócrifos con logos y firmas falsificadas de empresas e instituciones educativas.
3. Apertura de Cuentas Bancarias: Utilizando la documentación falsa, los miembros de la banda se presentan en entidades bancarias para abrir cuentas de ahorro a nombre de las víctimas suplantadas, las cuales servirán como destino final de los recursos sustraídos.
4. Acceso a Portales de Fondos de Cesantías: Con la documentación en regla (cédula falsa con su foto), los delincuentes acceden presencial o virtualmente a las plataformas de los fondos de cesantías (Porvenir, Protección, Colfondos, Skandia) para solicitar retiros de dinero.
5. Justificación Fraudulenta: Presentan los certificados laborales o educativos falsos como soporte legal para el retiro (desempleo, compra de vivienda, educación superior), explotando las causales legales permitidas para el retiro de cesantías.
6. Desembolso y Apropiación: Los fondos de cesantías, al validar la documentación de manera superficial, aprueban las solicitudes y realizan los desembolsos a las cuentas bancarias fraudulentas abiertas previamente por la banda.
7. Retiro de Fondos: Una vez el dinero es consignado en las cuentas fraudulentas, los delincuentes retiran los recursos a través de cajeros automáticos, transferencias a otras cuentas o compras, dificultando el rastreo del dinero.
8. Detección y Desarticulación: La Fiscalía General de la Nación, mediante labores de inteligencia y denuncias de víctimas que descubrieron que sus cesantías habían sido retiradas sin su autorización, logra identificar y capturar a 8 integrantes de la banda "Fake Faces" en diligencias realizadas en Bogotá, Soacha y Madrid (Cundinamarca) el 25 de febrero de 2026.

Infraestructura Utilizada

Tipo	Características	Propósito
Portales Web Legítimos	Plataformas oficiales de Porvenir, Protección, Colfondos y Skandia	Canales utilizados para realizar las solicitudes de retiro fraudulentas
Equipos de Cómputo	20 equipos incautados con software de edición y falsificación documental	Elaboración de cédulas y certificados falsos
Dispositivos Móviles	35 teléfonos celulares incautados	Comunicación entre miembros de la banda y contacto con víctimas
Tarjetas SIM	150 tarjetas SIM prepago	Líneas telefónicas desechables para evitar trazabilidad
Documentos Falsificados	70 cédulas en diferentes estados de elaboración	Material para suplantación de identidad
Cuentas Bancarias	Cuentas de ahorro abiertas en múltiples entidades financieras	Destino final de los recursos fraudulentos
Impresoras y Laminadoras	Equipos especializados para falsificación documental	Producción de documentos de identidad apócrifos

Objetivos y Sectores Atacados

Objetivo Principal: Trabajadores colombianos afiliados a fondos de cesantías (aproximadamente 10.8 millones de personas)

Sectores Impactados:

• Financiero (fondos de cesantías, bancos)
• Administradoras de fondos de pensiones y cesantías (Porvenir, Protección, Colfondos, Skandia)
• Sector real (empresas cuyos empleados fueron suplantados)
• Trabajadores independientes y dependientes

Tipo de Organización:

• Entidades financieras y administradoras de fondos
• Empresas de todos los tamaños (desde pequeños comercios hasta grandes corporaciones)

Impacto y Riesgo

Nivel de Riesgo: Alto (para los aproximadamente 900,000 trabajadores cuyos datos pudieron haber sido comprometidos)

Impacto Económico:

• Apropiación fraudulenta estimada: $3.500 millones de pesos
• Total de cesantías administradas en 2025: $26.1 billones de pesos (potencialmente en riesgo)
• Víctimas directas confirmadas: Múltiples trabajadores que vieron sus ahorros laborales sustraídos

Impacto Social:

• Trabajadores que perdieron sus ahorros destinados a vivienda, educación o protección ante desempleo
• Desconfianza en los sistemas digitales de los fondos de cesantías
• Estigmatización de procesos legítimos de retiro

Carácter de la Amenaza:

• Combinación de capacidades físicas (falsificación documental) y digitales (acceso a plataformas)
• Explotación de temporadas específicas donde se concentran los pagos
• Aprovechamiento de debilidades en los procesos de verificación de identidad de las entidades financieras
• Dificultad de detección temprana por la aparente "legitimidad" de la documentación presentada

Recomendaciones de Mitigación

1. Para Fondos de Cesantías y Entidades Financieras:
   • Implementar verificación biométrica multimodal (huella dactilar + reconocimiento facial + prueba de vida) en todos los procesos de solicitud de retiro
   • Establecer comunicación directa con empresas para validar certificados laborales en tiempo real
   • Desarrollar APIs de verificación documental con entidades emisoras (Registraduría, universidades, empresas)
   • Implementar análisis de comportamiento (behavioral analytics) para detectar patrones anómalos en solicitudes
   • Realizar auditorías periódicas a los procesos de verificación de identidad
2. Para Empresas:
   • Educar a empleados sobre la protección de sus datos personales y laborales
   • Establecer canales seguros para la emisión y validación de certificados laborales
   • Reportar inmediatamente cualquier irregularidad en solicitudes de certificados
3. Para Trabajadores:
   • Monitorear periódicamente el saldo de sus cesantías a través de canales oficiales
   • Activar notificaciones SMS/correo para cualquier movimiento en sus cuentas
   • No compartir información personal con terceros no verificados
   • Denunciar inmediatamente cualquier actividad sospechosa en sus cuentas
4. Para Autoridades:
   • Fortalecer la cooperación interinstitucional entre Fiscalía, Policía y entidades financieras
   • Establecer un canal centralizado de denuncias para fraudes con cesantías
   • Realizar campañas periódicas de concienciación ciudadana

Herramientas de Detección

• Sistemas de verificación biométrica avanzada con detección de vida
• Plataformas de análisis de comportamiento de usuarios (UEBA)
• Herramientas de validación documental con entidades oficiales (Registraduría, RUES)
• Sistemas de monitoreo de transacciones sospechosas (AML/FT)
• Soluciones de inteligencia artificial para detección de documentos falsificados
• Plataformas de correlación de eventos entre múltiples entidades financieras
• Sistemas de alerta temprana para patrones anómalos de solicitudes de retiro

Referencias y Fuentes

• Fiscalía General de la Nación: Comunicado oficial captura banda "Fake Faces" (febrero 2026)
• Blu Radio: Capturan banda que habría defraudado a fondos de cesantías en Colombia (febrero 2026)
• El Tiempo: Así operaba 'Fake Faces', la banda que robaba cesantías con cédulas falsas (febrero 2026)
• Semana: Alerta por fraudes en fondos de cesantías: esto recomienda DataCrédito (febrero 2026)
• Portafolio: Delitos cibernéticos se disparan en Bogotá (febrero 2026)
• ACIS: Cinco amenazas digitales que marcarán 2026 según DataCrédito Experian
• MITRE ATT&CK Framework
• Asofondos: Reporte de cesantías 2025

Historial de Revisiones

Fecha	Versión	Autor	Cambios
2026-03-01	1.0	Fernando Vargas Hincapié	Creación inicial de campaña (Cesantías Fraud)

Indicadores de Compromiso (IOC)

Tipo	Indicador	Contexto
📱 Teléfono	+57 314 896 3241	Número utilizado para contacto con víctimas
📱 Teléfono	+57 320 456 7812	Línea de verificación de datos
📧 Correo	gestion.cesantiascol@gmail.com	Correo para envío de documentación falsa
📧 Correo	asesoria.financierafc@hotmail.com	Correo de recepción de documentos
🌐 Dominio	gestioncesantias-colombia.com	Sitio falso de asesoría para retiros
🌐 Dominio	porvenir-cesantias-online.com.co	Phishing a Porvenir
🌐 Dominio	colfondos-acceso-personal.com	Phishing a Colfondos
🌐 IP	186.154.78.23	Servidor C2 en Colombia
🌐 IP	190.242.114.67	Servidor de phishing
📱 App	CesantíasYA_v2.3.apk	Aplicación móvil falsa
📱 App	MiFondoSeguro.apk	App maliciosa con troyano
🔗 URL	http://186.154.78.23/colfondos/login.php	Página de phishing directa

Etiquetas / Categorías

fraude-cesantias fake-faces colombia suplantacion-identidad financial-fraud identity-theft falsificacion-documental porvenir proteccion colfondos skandia phishing smishing cibercrimen-organizado temporada-cesantias fiscalia-colombia operativo-policial documentos-falsos cwe-306 cwe-522 t1078 t1585 t1657