Un mail, una llamada y 4 millones robados a la EMT de València que volaron a Hong Kong: así fue el 'fraude del CEO' más salvaje de España

La mesa de trabajo de la jefa de Administración de la Empresa Municipal de Transporte (EMT) de València, en un entresuelo de la tranquila plaza del Correo Viejo del barrio del Carmen, está vacía. La mujer —de 60 años, solvente profesional, casada con un financiero y con tres hijos— trabajaba en la casa desde 1981. Ahora está despedida y es la única imputada en la causa que investiga el más salvaje fraude del CEO que haya sufrido una empresa pública en España. Sin decir nada a nadie, dio alas a los cuatro millones de euros de la EMT que, transferencia a transferencia, volaron durante 20 días a Hong Kong, donde otro juez sigue el rastro de la rocambolesca estafa.

La mujer se llama Celia Zafra y la mañana del martes tres de septiembre, sentada ante esta misma mesa ahora vacía, recibió una llamada telefónica.

Un tal J. P., que se presentaba como abogado fiscalista de Deloitte y que “hablaba castellano sin acento”, expuso a la jefa de Administración de la EMT una insólita OPA secreta que, pilotada por el concejal y presidente de la entidad, Giuseppe Grezzi, se anunciaría el 18 de septiembre. A la mujer, según declaró ante el juez, “por un momento le extrañó” porque solía hablar con otras personas de Deloitte, pero buscó en Internet y vio que, efectivamente, un socio de la firma responde a las iniciales de J. P.

Zafra interpretó que ella “era la persona de más alto rango que se encontraba ese día en la empresa” (aunque lo cierto es que el director de gabinete del gerente estaba trabajando). En esa llamada, el falso abogado le anuncia que debe firmar un contrato de confidencialidad.

La EMT de València está presidida por el concejal del área de Movilidad Sostenible, Giuseppe Grezzi, de Compromís. Celia Zafra era, hasta su despido, la jefa de Administración de la EMT y sus superiores jerárquicos eran, en orden ascendente, la jefa de Finanzas, Esmeralda Aparici; la directora de Gestión, María Rayón, y por encima de ambas, el gerente Josep Enric García Alemany. El gerente estaba de vacaciones en México (su mujer es de origen mexicano) y se reincorporó al trabajo el 9 de septiembre, mientras que María Rayón estaba de baja por maternidad.

A las 11.13, el falso abogado de Deloitte envía el primer e-mail de la estafa en el que adjunta las cláusulas de confidencialidad “para tener una trazabilidad de esa operación y los actos administrativos, a petición de vuestra jerarquía”. Zafra responde que el archivo adjunto estaba vacío y, entre medias, recibe el primer (falso) e-mail del supuesto concejal Giuseppe Grezzi, con un lenguaje francamente sospechoso: “Buenos días Celia, ¿acaso mi abogado el Dr. P. ha entrado en contacto contigo en relación con un caso confidencial?”.

La jefa de Administración no reparó en que el mail 'ggiuseppe@emtvalencia.es' era falso (de hecho Grezzi ni siquiera tiene correo electrónico corporativo de la EMT). Cuando Zafra respondía a ambos e-mails le aparecía el verdadero y único correo con el que se estaba comunicando —respuesta@cnmv.pw— con un dominio del antiguo paraíso fiscal de las Islas Palaos. El correo estaba anonimizado y, por la diferencia en la configuración horaria y otros indicios, un dictamen pericial encargado a Telefónica concluye que la localización “parece estar fijada en ciertos países francófonos de África”.

A las 12.36, el falso abogado J.P. vuelve a enviar la cláusula de confidencialidad y escribe: “perdone por el desagrado”. A las 12.58, Zafra devuelve la cláusula firmada. El falso compromiso de confidencialidad, con un logo de Deloitte y relativamente plausible, exige un silencio total por parte de la directiva y amenaza incluso con sanciones disciplinarias y reclamaciones económicas en caso de incumplimiento. A la mujer, según declaró al juez, el pacto de confidencialidad le pareció “algo muy importante en este asunto” y le dio una total “trascendencia”.

A partir de ese momento, y durante 20 días seguidos, Zafra no hablará con nadie del asunto: los estafadores acaban de conseguir aislar a la directiva a la que irán dando instrucciones sin que nadie descubra nada.

A las 12.46, el falso Grezzi le envía otro correo en el que explica la enigmática OPA y le recuerda que la operación debe ser manejada “únicamente por ti”. “En ningún caso quiero que hables con nadie hasta el anuncio oficial de la compra”, dice. También le asegura que ha firmado una cláusula de confidencialidad y le prohíbe hacer “ninguna ilusión [sic] sobre este asunto ya sea oral o telefónicamente”, que es el “procedimiento establecido” por, nada más y nada menos, que la Comisión Nacional del Mercado de Valores (CNMV). El “Dr. P.”, en referencia al falso abogado, será la “única persona a cargo” que llevará “la gestión diplomática a seguir”. “Gracias por escribirme y confirmar”, responde Zafra.

La operación consiste en adquirir una empresa extranjera por 11,4 millones de euros. La directiva de la EMT dijo al juez que desde un principio sospechó de la extraña propuesta pero recordó que, un año antes, Grezzi había anunciado que la empresa municipal asumía la gestión del parking de la plaza de Brujas, “cosa de la que no estaban enterados los trabajadores”. La mujer pensó que la operación podía tener que ver con un proyecto “que se comentaba en la empresa discretamente” sobre puntos de recarga eléctrica de automóviles.

Zafra, rauda y eficaz, intenta hacer la primera transferencia de 343.419 euros a través de Bankia pero se hace tarde y en la entidad bancaria ya no cogen el teléfono. La directiva decide entonces hacerlo mediante el servicio operativo de banca institucional de Caixabank. La cuenta de la EMT en la entidad tiene un saldo de 24 millones de euros por el crédito del Banco Europeo de Inversiones (BEI) que recibió la empresa pública en agosto, un dato que sabían pocas personas en la casa. El estafador insiste en que la transferencia se haga mediante carta de pago, “por las exigencias de la CNMV para asegurar la trazabilidad”.

A las 14.59, la mujer se salta un protocolo interno de la EMT —ante el juez no recordó por qué motivo— y envía un documento antiguo con la firma del gerente de la EMT. Luego le envía una factura con la firma de la directora de Gestión, María Rayón. El estafador ya tenía las firmas de los dos apoderados, necesarias para rubricar las cartas de pago para el banco. Cuando 20 días más tarde, se destapara la estafa, Zafra ocultó a sus superiores que había enviado las firmas, según denunció el gerente de la EMT ante la Policía.

Casi a las cuatro de la tarde, la directiva envía al estafador la carta de pago para la primera transferencia y el malhechor se la devuelve firmada. A pesar de que Rayón estaba de baja por maternidad y que García Alemany continuaba en México (y, más llamativo aún, de que acababa de servirle las firmas en bandeja), Zafra pensó que la carta de pago se habría firmado “a través del despacho de Grezzi”, según declaró ante el juez.

La firma del gerente en la carta de pago es exacta porque simplemente la han copiado y pegado en el documento. La firma de María Rayón, por el contrario, estaba superpuesta a un cuño en el documento que envía previamente Zafra, con lo cual el estafador se ve obligado a trazarla él mismo, sin demasiado éxito. En la carta de pago, la firma de Rayón tiene cierto parecido con la original pero no es la misma.

La factura no tiene desglosado el IVA, no incluye sello ni firma, tiene un concepto muy genérico y aporta una cuenta de Bank of China en Hong Kong. A las 17.01, el servicio operativo de Caixabank confirma a Zafra que el pago se ha hecho con éxito. “CaixaBank no puso ningún inconveniente a que la transferencia se llevase a cabo del modo ordinario, es decir, ordenándola a través del sistema informático”, declara la directiva.

Los primeros 343.419 euros habían volado a Hong Kong sin billete de vuelta. Aquel 3 de septiembre, Zafra se fue “muy tarde a casa”.

Dos días después —el jueves 5 de septiembre— el estafador vuelve a telefonear y le pide los DNI del gerente y de la directora de Gestión. Zafra los envía (el 10 de septiembre también enviaría su propio DNI). El viernes 6 a punto está de desbaratarse el plan. El servicio operativo de Caixabank detecta que la firma de Rayón no coincide con la de su DNI y avisa a Zafra, quien envía un Whatsapp a su superior. “Dicen los de Caixabank que, cuando puedas, te pases por allí a firmar, porque hay diferencias entre tu firma actual y la del DNI”, advierte la directiva. “Sin prisas”, añade.

Rayón, de baja por maternidad, habla por teléfono con Zafra, a la que considera “excepcionalmente estricta” en su trabajo y “muy celosa de los procedimientos”. En esa conversación la directiva, cumpliendo el (falso) acuerdo de confidencialidad, no comenta detalle alguno sobre la operación ni le da demasiada importancia a la advertencia del banco. Caixabank no insistió.

Catastróficamente la estafa sigue su curso. Aquel día, otros 320.524 euros vuelan de nuevo a Hong Kong con una segunda transferencia que sigue la misma operativa.

El lunes 9 de septiembre, el día en que el gerente de la EMT se incorpora al trabajo tras sus vacaciones, Zafra advierte al estafador que García Alemany ha vuelto y, por tanto, ya podía entregarle las siguientes cartas de pago en persona. Pero, según declaró ante el juez, el malhechor le dijo que no podía ponerse en contacto “de ninguna manera” por la cláusula de confidencialidad. Aquella jornada, otros 457.892 euros se esfuman de nuevo.

La directiva le dice a su misterioso interlocutor que “no se siente cómoda trabajando así” y el falso abogado J.P. le propone hablar personalmente con Grezzi. Ella le responde que no moleste al concejal. “A los cinco minutos”, la voz telefónica le dijo que había hablado con Grezzi y que “estaba muy agradecido con su trabajo”, según contó la mujer en su declaración.

El martes 10 de septiembre, Zafra recuerda al falso abogado de Deloitte que debían enviar “todos los originales de las cartas dando orden de transferencias”. El día siguiente, miércoles 11 de septiembre, la cuenta de la EMT transfiere otros 480.786 euros a Bank of China. El viernes 13 gestionan otro sablazo por importe de 686.838 euros y Zafra, “sin motivo especial”, propone cambiar de entidad bancaria para no hacer “tantas transferencias con el mismo banco”, según declaró ante el juez. El estafador, en una estrambótica respuesta, se negó y aclaró que “los bancos eran muy cotillas” y supondría un “riesgo para la confidencialidad”.

El servicio operativo de Caixabank continúa ejecutando las transferencias a pesar de las sospechas por la firma de Rayón. En todas las cartas de pago, las firmas de los apoderados aparecen escandalosamente pixeladas. La última transferencia, además, se hace a una cuenta hongkonesa a nombre de una empresa británica disuelta hace cinco años, un dato fácilmente comprobable en registros abiertos que no hace saltar las alarmas en Caixabank.

El martes 17 de septiembre el sablazo es de 572.365 euros. Por primera vez entra en escena J. M. G. R., el gestor de la cuenta de la EMT en Caixabank (que hasta el 9 de septiembre estaba de vacaciones). En una primera conversación, Zafra rompe por primera vez el (falso) acuerdo de confidencialidad que había cumplido a rajatabla y le comenta al gestor de la cuenta que la operación consiste en adquirir una compañía, “sin darle muchas explicaciones”. El personal del servicio operativo de la entidad, localizado en Barcelona, no le ha comunicado nada sobre las sospechas iniciales por la firma de Rayón; Zafra tampoco le dice nada. El gestor, que no tenía aún sospecha alguna pero que ya pide a Zafra los originales de las cartas de pago y las facturas, “le dio a la tecla” y el medio millón zarpó a Hong Kong, de nuevo, sin billete de vuelta.

El día siguiente, miércoles 18 de septiembre, la directiva habla de nuevo con J. M. G. R. y, por primera vez, hace referencia explícita a la confidencialidad pero le asegura que era la última transferencia antes de que el concejal Giuseppe Grezzi anunciara públicamente la operación. Aún había que transferir 629.601 euros. El gestor le da de nuevo a la tecla y envía un e-mail a Zafra recordándole que debe llevarle “los originales”. Zafra, diligentemente, se lo recuerda al estafador.

La estafa sigue a pesar de otra catastrófica casualidad. El lunes 16, Zafra sube un fichero de pago a la aplicación de banca electrónica para abonar 600.000 euros a proveedores, una operación habitual que nada tenía que ver con la estafa que secretamente se estaba desarrollando. El fichero del pago, en la misma cuenta de Caixabank, lo firman el gerente (el martes 17) y la jefa de Gestión (el 18), ambos con sus respectivos identificadores y claves electrónicas. “En ningún caso es necesario acceder a la cuenta de Caixabank y en ningún momento aparecen en la pantalla ni el saldo disponible ni los últimos movimientos”, explicó el gerente de la EMT, Josep Enric García Alemany, en un comunicado.

El fraude continúa en marcha sigilosamente aunque queda poco para que se descubra la farsa. En un momento que la directiva despedida no puede concretar, el estafador le pregunta por teléfono si trabaja “en un despacho sola o en un open office”. También intenta que le dé un número de móvil pero la mujer le dice que no tiene teléfono de empresa.

El viernes 20 de septiembre, otra transferencia de 549.470 euros llega a Bank of China. El gestor advierte que no ha salido nada en la prensa de la supuesta OPA de Grezzi pero Zafra contesta que “haya salido o no [en la prensa] ésta iba a ser la última transferencia”. El hombre, según declaró ante el juez cuando fue citado como testigo, la notó “un poco fastidiada” y “cansada” por la situación. Ese viernes, 17 días después del inicio de la monumental estafa, al gestor le salta la alerta interna del banco porque se estaban realizando operaciones “con clientes de banca extranjera”, lo cual implicaba llevar a cabo una actividad de seguimiento. La EMT no tenía firmado un documento del banco (el modelo 5433) que le permitiría operar en China.

Inmediatamente, el gestor pide a la directiva de la empresa “las facturas acreditativas” de los cuatro millones que, a pesar de que la EMT no podía operar en China, la entidad transfirió a las dos cuentas en Hong Kong del estafador. La alerta, que no citaba explícitamente, le obligaba a llevar un “seguimiento continuo” de la actividad de la cuenta de la EMT. “Disponemos de controles internos que nos permiten analizar si la operativa desarrollada por nuestros clientes es coherente con su actividad y con los antecedentes registrados en nuestros sistemas”, escribe a Zafra el gestor en un e-mail a las 13.07.

La directiva no contesta aquel viernes y el lunes siguiente, 23 de septiembre, a las 7.59 de la mañana, le escribe al falso abogado para que “le confirme si atiende la solicitud que hace” el gestor. A las 9.56 Zafra le insiste en que el gestor del banco ha vuelto a reclamar por teléfono que le envíe las facturas, esta vez “por imperativo legal”. Como J.P. no responde al e-mail, a las 10.13, la mujer envía por fin las ocho facturas por un valor total de 4.040.000 euros. A las 10.50, el falso abogado de Deloitte vuelve a dar señales de vida y le envía otra factura para una nueva transferencia de 698.285 euros. Zafra habla por teléfono con J. P. y le dice que “mantener la confidencialidad es insostenible” pero el falso abogado le responde que no se preocupe. A las 12.48 el estafador le envía una nueva carta de pago y el documento 5433 que reclamaba Caixabank, ambos firmados.

El gestor de la cuenta recibe las facturas de las transferencias y sospecha porque “para estar comprando una compañía” le parecen “faltas de consistencia”. Indicaban un “concepto simple, no había sello y no había firmas”, declara ante el juez. J. M. G. R. contacta con el gerente de la EMT. “Me llama y me dice que tiene que hacer una transferencia a China y que necesita la confirmación”, recuerda García Alemany, quien sospechó que algo grave estaba pasando porque era “extrañamente críptico y se le veía preocupado”.

El gerente, que en ese momento sólo sabía que había transferencias anteriores a Hong Kong, pregunta a Esmeralda Aparici, la superior directa de Zafra, que no sabe nada. García Alemany no entiende nada pero ordena al gestor que aborte esa última transferencia de casi 700.000 euros. Zafra, contactada telefónicamente por Rayón, dice que “ellos me obligan a no decirte nada”. “Yo pensaba que le había dado un desdoblamiento de la personalidad, que algo le había pasado”, recuerda Rayón. La situación “era totalmente surrealista” para la jefa de Gestión que acudió, junto a todo el equipo de la EMT, a una suerte de gabinete de crisis organizado para evaluar los daños. “Es ahí cuando empezamos a ver la magnitud del desastre”, apunta el gerente.

Cuando finalmente sus compañeras convencen a Celia Zafra de que el abogado J. P. es en realidad un estafador y de que el auténtico concejal Giuseppe Grezzi no estaba pilotando OPA alguna, la directiva llora “a lágrima viva”, no de forma histérica, pero “muy desconsolada”. “¿Cómo me han podido engañar?”, repetía la mujer. Zafra se acaba de dar cuenta de que, durante 20 días, ha estado siguiendo solícitamente las instrucciones de un estafador.

La prioridad en aquel momento era evitar que le diera un síncope o un ataque de ansiedad, recuerda el gerente, porque la veían “tremendamente preocupada, al límite”. Zafra empieza a imprimir los correos intercambiados con el estafador. Sobre la hora de comer, por allí van y vienen la jefa de Finanzas, Esmeralda Aparici, la directora de Gestión, María Rayón, la abogada de la EMT, Virgina Álvarez o el director de gabinete, Toni Martínez, entre otros. El gerente avisa al concejal Giuseppe Grezzi, quien recuerda que primero sintió “incredulidad” y luego “rabia y enfado”. “Es un momento duro”, dice el auténtico Grezzi.

De repente, en pleno gabinete de crisis, suena el teléfono fijo de la directiva. Era el estafador, que se interesaba por la última transferencia de 700.000 euros. La jefa de finanzas pone su móvil a grabar y todos guardan silencio. La escena es tensa. Zafra, rápidamente recompuesta, contesta al teléfono:

Celia Zafra: Sí, dígame.

Estafador: Dos.

C. Z.: ¿Cómo?

E: Hemos sido cortados.

C. Z.: Cortados, ¿a qué se refiere?

E: A la llamada.

C. Z.: Ah, ¿qué se ha cortado la llamada?

E: Sí.

C. Z.: Ah, dígame.

E: Estamos esperando de momento el [sic] orden de transferencia.

C. Z.: Sí, mire, pues es que los del banco están muy pesados, ya se lo he dicho antes. Entonces, estaban queriendo confirmación de uno de los dos apoderados. Como usted me dijo que yo no podía ponerme en contacto con ninguno de los implicados, pues el del banco está intentando localizar.

E: Mmm, de acuerdo, vale, pues esperamos entonces.

C. Z.: ¿Cómo?

E: De acuerdo, esperamos entonces, no pasa nada.

C. Z.: Yo en cuanto tenga el ok y reciba el SWIFT de la transferencia, se lo enviaré.

E: De acuerdo, pues entonces [inaudible] cuanto antes.

C. Z.: Muy bien, muchas gracias.

E: Hasta luego.

C. Z.: Adiós.

Esa será la última conversación entre la directiva y el estafador, quien, contrariamente a lo que Zafra declara ante el juez, habla un castellano bastante correcto pero con un acento probablemente de origen magrebí. La mujer le dijo al juez que nunca “notó ningún acento extraño” y que le dio la impresión de que el estafador ya sospechaba en el momento de la llamada que había sido descubierto.

La tarde del lunes 23 Zafra imprime todos los correos y los responsables de la EMT recaban toda la información disponible y reconstruyen la cronología de los hechos. Primero piensan que se trata de un ciberataque, no entienden cómo el estafador ha podido conseguir las firmas de los dos apoderados.

Zafra se va a su casa y oculta los dos correos que envió al malhechor con las firmas de sus apoderados. Esa misma tarde, el gerente de la EMT contacta telefónicamente con el Grupo de Delitos Tecnológicos de la Policía Nacional y al día siguiente (martes 24) denuncia los hechos. Por la tarde, siguiendo indicaciones de Caixabank, denuncia electrónicamente la estafa ante las autoridades policiales de Hong Kong. La Policía española avisa a la oficina de Interpol en Madrid para que informe urgentemente a las autoridades hongkonesas que bloquean las dos cuentas destinatarias de los cuatro millones. El bloqueo de las cuentas llega tarde: sólo quedan 150.000 euros, el resto ha sido transferido a otras cuentas.

El miércoles 25, un responsable de la EMT revisa de nuevo el servidor de la empresa y localiza los dos correos que faltaban y que explican cómo pudo obtener el falso abogado las firmas de los apoderados: la jefa de Administración se los había servido en bandeja (todo empieza a encajar). El gerente acude de nuevo a la Policía y amplía la denuncia inicial señalando que Zafra ocultó a sus superiores los dos correos con las firmas que envió al estafador, “fundamentales para el esclarecimiento de los hechos”, apostilla García Alemany.

El viernes 27 de septiembre por la mañana, el gerente despide a Celia Zafra por incumplir varios protocolos de seguridad de la empresa en la que llevaba más de tres décadas trabajando. Esa misma mañana, coincidiendo con un consejo de administración de la EMT, se hace pública la estafa. Por la tarde, la directiva despedida estaba citada a declarar ante la Policía como investigada no detenida pero prefiere hacerlo más adelante ante el juez. Su abogado matiza ante los agentes que Zafra “no se niega a dar toda la información que se le reclama”.

El titular del Juzgado de Instrucción número 18 de Valencia, que investiga el caso, imputa a Celia Zafra. Es, por el momento, la única investigada en la causa. La Policía no puede localizar al estafador porque anonimizó sus comunicaciones. La actuación de la mujer, considerada muy solvente en su trabajo, ha sido, como mínimo, extraña. Varias fuentes de la EMT se preguntan si, más allá de Zafra, hubo un topo en la empresa que colaboró en la estafa. La mayoría de las fuentes consultadas descartan esa posibilidad.

El juez, que también lleva la instrucción del caso Taula, parece intentar delimitar el papel en este embrollo de Celia Zafra, cuya familia gestiona o participa en hasta tres SICAV millonarias. La mujer reconoció durante su declaración el pasado 12 de noviembre que había enviado las firmas de los apoderados al estafador y no aclaró categóricamente si su familia tiene cuentas en el extranjero.

La fenomenal estafa ha derivado en una crisis, probablemente la peor, entre los socios que gobiernan el Ayuntamiento de València, Compromís y PSPV-PSOE, a cuenta de la comisión de investigación sobre el fraude. La oposición, por su parte, pide la cabeza de Grezzi y del gerente de la EMT. De momento, sólo ha rodado colateralmente la cabeza del secretario de la empresa pública por los vínculos de su bufete con el del cuñado del alcalde, Joan Ribó. La investigación judicial del fraude, tanto en España como en Hong Kong, va para largo. Caixabank, a pesar de que la alerta interna tardó 17 días en saltar, descarta cualquier tipo de responsabilidad por estos hechos y rechaza devolver el dinero, mientras que la EMT considera que fue responsable subsidiaria del robo.

Celia Zafra, quien para su desgracia recibió aquella primera llamada del estafador la mañana del 3 de septiembre, ha declinado hacer declaraciones para este reportaje. El fraude, tras 20 días de e-mails y llamadas, pudo ser de 11 millones de euros pero se quedó en cuatro.

El sableo supone, aproximadamente, un 3,5% del presupuesto anual de la EMT de València.