A cambio de un porcentaje, algunos clientes reales de distintas instituciones financieras ayudaron a los criminales cibernéticos que vulneraron las aplicaciones y la infraestructura que utilizan los bancos para conectarse al sistema interbancario.
Ciberataque exitoso
En abril, un grupo de criminales cibernéticos se infiltró en el sistema financiero mexicano y vulneró las aplicaciones y la infraestructura que utilizan los bancos para conectarse al sistema interbancario. La acción le permitió robar una suma estimada en 400 millones de pesos mexicanos de cuentas concentradoras y no de clientes particulares. Hasta hace unos días no había confirmación de que lo ocurrido hubiese sido un ataque, solo que algunos bancos habían registrado grandes retiros de dinero mediante transferencias no autorizadas hacia cuentas falsas.
Las autoridades financieras informaron a las instituciones bancarias que además de que se encontraron cuentas recién abiertas por los ciberdelincuentes para sustraer los recursos que obtuvieron de las cuentas concentradoras, también se detectó que éstos ofrecieron a comerciantes y proveedores un pago a cambio de aceptar recibir trasferencias a sus cuentas bancarias y de esa forma retirar el efectivo.
Para perpetrar el ataque, los delincuentes duplicaron las órdenes de SPEI, aperturaron cuentas o enviaron lo sustraído a instrumentos de personas a las que les robaron la identidad al abrir cuentas a su nombre para sustraer el dinero.
El Banco de México y la Asociación de Bancos de México (ABM) trabajan de forma coordinada para incrementar las medidas de seguridad, tanto en sus conexiones con el SPEI como en la forma en que se retiran los recursos en ventanilla de las sucursales bancarias, por lo que entrará en vigor esta semana el tope de los 50 mil pesos para retirar efectivo.
Marcos Martínez, presidente de la ABM, indicó que los bancos se conectan al SPEI de forma directa o vía proveedores. “Uno de esos sistemas fue vulnerable a ‘hackers’, y por ahí se metieron”.
Explicó que por medio de este sistema desviaron recursos del banco, eran fondos que enviaba la institución bancaria a los cuentahabientes a través de SPEI; “hacían el depósito al cliente, pero (los ‘hackers’) abrían una cuenta y duplicaban el depósito. Esa cuenta la abrían en varios bancos, y después iban a la sucursal y retiraban el dinero”.
El Laboratorio de ESET Latinoamérica compartió una serie de consejos para el uso seguro de la banca en línea:
- Utilizar un dispositivo confiable: La mejor elección es utilizar uno propio, como la computadora, la tableta o el celular, porque así resulta más fácil detectar cualquier actividad sospechosa (por ejemplo, cuando el dispositivo se comporta de manera anormal).
- No conectarse desde cualquier red: No todas las redes tienen el grado de seguridad recomendable para utilizar la banca o para pagos en línea. Si no te queda otra opción, al menos utiliza una red privada virtual (VPN) de modo que las comunicaciones queden cifradas (y, así, por más que alguien las intercepte, no las podrá leer).
- Instalar las últimas actualizaciones: Instalar todas las actualizaciones del sistema operativo y del software que se utiliza, para no dejar abiertas posibles puertas de acceso que puedan aprovechar los ciberdelincuentes para conseguir tus datos o infectar el dispositivo.
- Utilizar un programa de seguridad confiable y actualizado: Antes de acceder a la cuenta de tu banca en línea o de hacer un pago por Internet, instala, configura y actualiza una solución de seguridad en varias capas, que proteja el dispositivo ante muchos tipos de códigos maliciosos.
- Crear una contraseña segura, fácil de recordar y difícil de adivinar: Revisa si la contraseña de la cuenta de tu banca en línea es realmente segura.
- Usa la autenticación en dos fases: Si el banco acerca la posibilidad de utilizar un segundo factor de autenticación (2FA) para proteger una cuenta, utilízalo, ya que es un método que permite verificar si fuiste tú quien se conectó o realizó alguna transacción.
- No dejarse engañar: Los ciberdelincuentes harán literalmente lo que sea para obtener información o datos confidenciales: fingirán que trabajan para un banco, harán llegar una notificación falsa o enviarán un correo electrónico con un enlace para cambiar la contraseña.
- Usa el botón “Desconectar”: Si un ciberdelincuente intenta acceder a una sesión, le resultará más difícil perjudicar al usuario cuando la cuenta está cerrada. Recuerda terminar todas tus sesiones una vez que hayas concluidos tus actividades.
- Activa las notificaciones por mensaje de texto: Si solo se ingresa a la cuenta de banca en línea una vez por mes o menos, activa la recepción de notificaciones en el teléfono celular: tener información actualizada sobre las últimas transacciones ayudará a reconocer cualquier actividad sospechosa.