Asalto al tren del dinero virtual
Kaspersky detecta unos 325.000 nuevos programas de malware cada día. Lo avisó en diciembre de 2014: “Son 125.000 más que en 2012”. Un año después esa cifra disminuyó ligeramente -en 15.000 unidades para ser exactos- y la compañía de ciberseguridad atribuyó las causas a los propios cibercriminales: “Quieren ahorrar”, dijo. En febrero del año pasado, una banda de delincuentes de la red contaba más de 1.000 millones de dólares en robos, todos ellos perpetrados en 100 entidades financieras de 30 países. Más cerca quedan los 81 millones de dólares que otro grupo de cibercriminales sustrajo del Banco de Bangladesh este febrero.
“Nadie tiene la seguridad perfecta”, dice Luis Corrons, director técnico de PandaLabs. “Los ataques de Bangladesh son súper avanzados. Están hechos a conciencia y dirigidos a esa entidad”, continúa. El informe de Kaspersky sobre ciberamenazas financieras en 2014 reseñaba que había menos delitos que el año anterior, pero que estos eran más cuantiosos. Una de las tres razones que esgrimía la compañía rusa para justificar esa disminución era que los cibercriminales estaban revirtiendo la tendencia: en vez de lanzar más ataques masivos contra los usuarios, preferían lanzar menos y concentrar fuerzas, dirigiéndolos a una compañía o entidad específica.
El robo del Banco de Bangladesh pudo venir desde dos sitios, explica Corrons a eldiario.es: “Un usuario llevó el malware al banco [en un pendrive o en CD, por ejemplo] o bien, llegó desde el exterior”. En enero de 2015 otro banco, esta vez de Ecuador, sufrió un robo similar. Y a finales de ese mismo año ocurrió lo mismo con una entidad vietnamita. En el caso del banco ecuatoriano, los ladrones sustrajeron cerca de 12 millones de dólares. Del vietnamita desaparecieron 1,1 millones de dólares. Fue entonces cuando muchos especularon con que el sistema SWFIT había sido hackeado, cosa que desmintió el mes pasado la compañía. “Ni la red, ni los servicios centrales de mensajería, ni el software de SWIFT se han visto comprometidos”, dijeron.
Moviendo millones de un lado a otro
El sistema SWIFT “lo utilizan todos los bancos para hacer pagos de dinero entre ellos”, continúa Corrons. En diciembre de 2010, había más de 9.000 entidades financieras utilizando la red SWIFT de 209 países. Se fundó en Bruselas en 1973 para comunicar bancos entre sí y fue a través de esta red como los ciberdelincuentes atacaron a las tres entidades financieras de Bangladesh, Vietnam y Ecuador. “Por lo que sabemos hasta ahora, es un red segura”, dice Corrons.
En el caso de Bangladesh, los delincuentes intentaron extraer más de 951 millones de dólares. Una cifra que al final se quedó en 81 millones debido a un error ortográfico en la cuenta de la entidad bangladesí, que se encontraba alojada en el Banco de la Reserva Federal de Nueva York. Mientras lanzaban las peticiones, alguien de la banda se confundió al introducir el nombre de una sociedad. Escribió Fondation en vez de Foundation, lo que condujo a error al sistema, haciendo que las transferencias se detuviesen.
“Los atacantes del Banco de Bangladesh consiguieron llegar al terminal conectado al SWIFT y allí ejecutaron un malware que se encargó de modificar cierto software para hacerse pasar por un usuario autorizado”, continúa Corrons. En un primer momento, la policía del país asiático culpó del robo a la propia entidad financiera por usar switches (conmutadores) baratos -de 10 dólares- en los equipos que se conectaban a la red SWIFT. Más tarde se supo que habían infectado la red local de la entidad y, un mes después, el gobernador del Banco de Bangladesh dimitió.
Corrons cuenta, además, otro dato curioso: “Había dos grupos de atacantes más aparte del que hizo el robo dentro del banco. Cuando fueron a investigar qué es lo que había pasado, se los encontraron ahí”. Por otra parte, hace apenas un mes supimos que el Banco del Austro demandó a su homólogo Wells Fargo por ordenar las transferencias.
No todo el SWIFT es perfecto
“Cuando vas a hacer este ataque, tus potenciales víctimas son cualquier entidad financiera del mundo. Pero siempre vas a por las que crees que tienen medidas de seguridad no muy buenas o las peores”, dice Corrons. El modus operandi de los cibercriminales de Ecuador y Vietnam fue el mismo. Primero infectaron la red local para así acceder al sistema SWIFT y desde ahí ordenar las transferencias, haciéndose pasar por un usuario autorizado. “Los bancos tienen terminales específicamente dedicados a conectarse dentro de sus oficinas a esta red. No está todo el banco, solo unos pocos usuarios que se suponen tienen permiso a entrar”, dice Corrons.
El director técnico de PandaLabs ve “menos riesgo” de que se ataque a una entidad española que a una entidad de otro país. “Tengo una opinión muy buena de los equipos de BBVA, Santander y La Caixa”, aunque sí incluye una crítica al sistema SWIFT que utilizan estos: “Te dice que tú, aunque te conectes a mi red, te pido que tomes las medidas de seguridad suficientes y necesarias para que todo sea seguro”.
Nos pusimos en contacto con La Caixa y Bankia. Este último no respondió ya que nadie en la entidad fue capaz de contestar a las preguntas de eldiario.es. Por su parte, La Caixa asegura que “CaixaBank dispone de dos Centros de Proceso de Datos propios para la gestión y almacenaje de datos, con un volumen de transacciones al mes de más de 1.000 millones de operaciones”. Además, el banco cuenta con la certificación ISO 27001 y ha obtenido la acreditación de CERT recientemente. “Tenemos una estadística de cero incidencias en banca digital durante 2015 y un 100% de cifrado de datos críticos en funcionamiento”, cuenta La Caixa. Todos estos procedimientos se ponen a trabajar cuando el banco inicia una operación a través de la red SWIFT.
Corrons compara cómo se conecta a SWIFT una entidad financiera y cómo lo hace Visa o Mastercard: “Dicen, bueno cuando te conectes a la red SWIFT, lo vas a hacer desde tu banco, con este equipo, que yo tengo certificado que es seguro y con el que he tomado determinadas medidas de seguridad”. Asegura que “SWIFT debería, al menos, tener una especie de certificación y decir 'si te quieres conectar de tu banco a la red, hasta que yo no te diga que todo está ok, no puedes entrar'”. Y concluye: “¿Eso eliminaría todas las barreras? No, pero se asegurarían que hubiera un mínimo de seguridad”.
