De nuevo se mostró la vulnerabilidad de la seguridad cibernética con las recientes fallas en el SPEI. Ahora las víctimas no fueron instituciones bancarias, los hackers apuntaron a las aseguradoras; pero, ¿qué falló ahora?
La alerta fue encendida por Banco de México el martes 23 de octubre después de que la aseguradora AXA reportara haber sido víctima de un ciberataque a través del Sistema de Pagos Electrónicos Interbancarios (SPEI). Horas más tarde, al menos 16 de las empresas se desconectaron del servicio por el riesgo de ataque.
¿Qué falló ahora en el SPEI?
De acuerdo a la empresa israelí MER Group, especializada en seguridad cibernética e inteligencia, tras los ataques registrados en el primer semestre del 2018 en contra de los bancos, la vigilancia se intensificó y enfocó en dicho sector, dejando el frente descubierto en otros participantes como las aseguradoras, lo cual fue astutamente bien aprovechado por los hackers.
“A diferencia de hace unos meses, hoy vemos que están atacando a los participantes del SPEI, pero que forman parte de la industria aseguradora, no como el anterior, donde vimos ataques a Casas de Bolsa y bancos”, dijo en entrevista con Expansión Héctor Miranda, especialista en tecnología y seguridad cibernética de MER Group. “Se pusieron a verificar únicamente a instituciones financieras bancarias y no a entidades con otros distintos niveles de tipos de riesgo”, añadió.
Hackers burlan medida de seguridad de Banxico
De acuerdo a fuentes cercanas citadas por El Financiero, en el ataque a Axa, los ciberdelincuentes decidieron reducir los montos de robo para evitar generar alertas en el sistema financiero mexicano.
El plan de los atacantes era hacer transferencias de más de 200 mil pesos; sin embargo, al correr el riesgo de ser detectadas por las autoridades financieras, decidieron reducir el monto a 49 mil 999 pesos, por debajo del umbral de 50 mil impuesto por Banxico en mayo pasado, después de los ciberataques a la banca.
“Al reducir a ese monto, se brincan las alertas, los bancos que tienen mejores controles las vieron y frenaron, pero algunas las han alcanzado a cruzar a un tercer banco y dispersaron, es gente que conoce bien el sistema y saben hacia dónde van”, dijo una fuente conocedora del tema, citada por el medio.
Tras los ataques cibernéticos registrados a Bancomext y bancos privados en los primeros cuatro meses del año, el Banco de México (Banxico) adoptó nuevas medidas para fortalecer la seguridad en los participantes del SPEI: se creó un comité de ciberseguridad de reacción y la banca invirtió en una plataforma para comunicarse entre sí en caso de algún ataque cibernético.
Sin embargo, los expertos han resaltado la necesidad de unificar las reglas de protección para los proveedores que conectan a algunas instituciones al SPEI, ya que los ciberataques a instituciones bancarias tuvieron en común tres proveedores, cuyas conexiones fueron vulneradas.
De acuerdo a datos de la Organización de los Estados Americanos (OEA), el 37 por ciento de las instituciones financieras en América Latina fueron víctimas de ciberataques exitosos en 2017.
