Así fueron los hackeos en el caso SPEI, según el Banco de México

La conexión usada por bancos e instituciones para operar en el sistema SPEI fue atacada cinco ocasiones en tres semanas provocando un desfalco por unos 300 millones de pesos (mdp) y lentitud en las transacciones de sus clientes, pero ¿cómo fue el "modus operandi" de ests hackers?

El Banco de México (Banxico), que ordenó una investigación forense para explicar el caso, divulgó ese jueves detalles sobre cómo actuaron los ciberdelincuentes. Agregó que los ataques fueron contra los sistemas o aplicativos usados por los participantes para preparar las órdenes de pago y conectarse al SPEI . Aseguró que el SPEI no ha sido blanco de ataques ni ha sido vulnerado ni ha tenido afectaciones en su operación.

Estos son los pasos que siguieron los hackers para realizar sus ataques:

1. Los hackers fabricaron o inyectaron órdenes de transferencia apócrifas (falsas) en los sistemas donde las instituciones financieras procesan las instrucciones de pago.

2. Los atacantes vulneraron la infraestructura tecnológica de las instituciones financieras y generaron en sus sistemas órdenes de transferencias "ilegítimas", con cargo a las cuentas de las entidades -no de los clientes-, en alguna etapa del proceso previa a su conexión al SPEI.

3. Todas las órdenes de transferencias tienen dos datos importantes: el número de cuenta emisora y de la cuenta receptora. En las órdenes apócrifas, los números de las cuentas emisoras son inventados y no corresponden a cuentas de clientes, pero las cuentas receptoras son reales.

Lee: Banxico endurece vigilancia a transferencias financieras de 50,000 pesos o más

4. La inserción de las órdenes falsas se hizo en una etapa del proceso ejecutado en los sistemas de los participantes que "no contaba con controles para asegurar que dichas órdenes fueran legítimas".

5. Los sistemas atacados firmaron y enviaron al SPEI las órdenes falsas validadas como si fueran legítimas.

6. El SPEI, al recibir las órdenes de transferencias, revisó que estén firmadas por las entidades financieras, las procesó y abonó el monto respectivo a la cuenta que le lleva a la entidad financiera receptora.

7. La institución receptora recibe del SPEI la confirmación de la liquidación o pago y abona el dinero en la cuenta que le lleva a su cliente, en este caso la cuenta especificada (y real ) especificada en la orden de pago falsa.

8. Los recursos ilegítimos fueron retirados mediante disposiciones en efectivo.

Banco de México detalló que el primer ataque cibernético contra una institución financiera ocurrió el 17 de abril y a partir de entonces identificó cuatro más: dos el 24 de abril, uno el 26 de abril y otro el 8 de mayo.