Banqueros, banco central, tras pesquisa, admiten ciberataque, salida fondos

15 de may. (Sentido Común) -- La Asociación de Bancos de México (ABM) y Banco de México, la autoridad monetaria del país, reconocieron que los problemas que venían afectando de manera negativa al Sistema de Pagos Electrónicos Interbancarios, mejor conocido como SPEI, tuvieron su origen en un ataque cibernético.

     Ambas entidades confirmaron que esos ataques devinieron en un robo de recursos de algunos bancos por parte de delincuentes, por un monto aún no determinado; mientras que también insistieron que a pesar del hackeó los fondos de los clientes no estuvieron comprometidos.

     “Se metieron al sistema, crearon cuentas falsas y desviaron dinero”, dijo Marcos Martínez, presidente de la ABM, en referencia a los sistemas que proveen compañías externas a los bancos para que estos se conecten con SPEI, en una entrevista en el programa Así las Cosas de W Radio.

     El banco central, que creo y administra el SPEI, agregó que fueron tres empresas proveedoras de sistemas de conexión de los bancos y de otras compañías financieras con el sistema de pagos, las que presentaron las vulnerabilidades que permitieron la intromisión al sistema y la extracción ilegal de fondos.  

     “Todo indica, con la información que tenemos al día de hoy, que sí se trata de un ciberataque y que afectó a este aplicativo” o a este sistema de conexión que usaron diversas instituciones para comunicarse con SPEI, dijo Alejandro Díaz de León, gobernador de Banxico, en una conferencia telefónica.

     En un principio, tanto los bancos como las autoridades, sin descartar la posibilidad de un ataque digital, habían dado a entender que el problema se debía a problemas de conexión con esos aplicativos. Sin embargo, ante los reportes de diversos medios que mencionaba que el origen del problema era una ataque cibernético, existió gran incertidumbre sobre la magnitud y los riesgos que tenía el problema, así como las cuentas que pudieron estar comprometidas.  

     Primero, la autoridad dijo que se trataba de “incidencias” en el sistema. La respuesta la dieron en respuesta a las quejas de los usuarios de la banca, quienes veían que sus transferencias se tardaban en ser registradas. Posteriormente, los problemas se transformaron en “vulnerabilidades” en el aplicativo, para ya calificar ahora el origen de los problemas en el sistema de pagos electrónico como ciberataque.

     Ahora además, las autoridades monetarias y la propia asociación de bancos reconoce que no sólo hubo un problema de lentitud en las transferencias, sino que además cinco instituciones bancarias sufrieron sustracción de fondos.

     En un inicio, para contrarrestar los problemas que presentaba el SPAI, Banco de México ordenó a un puñado de instituciones comenzar a usar un canal alterno que era más seguro, aunque más lento. Posteriormente, hasta 20 instituciones financieras que trabajan con los proveedores del aplicativo afectado por los ataques fueron también desconectadas del sistema para evitar comprometer al sistema. Las autoridades incluso han dicho que esa empresas proveedoras de esos sistemas de comunicación podrían ser sancionadas, si incumplieron con las reglas y requisitos que demandaba el banco central para proveer de esos servicios de comunicación.  

     Hasta ahora “no hay indicios de que se hayan visto afectados los recursos de los clientes”, agregó el gobernador del banco central en su conferencia telefónica.

     Diversos medios publicaron que el robo de recursos podría haber llegado a ser de hasta 400 millones de pesos (20.5 millones de dólares), la cual ni Banco de México ni los banqueros han precisado. 

     El banco central mexicano dijo que la investigación sobre el ciberataque está en curso, mientras que ABM agregó, en cuanto al monto ultrajado a cinco instituciones, que no podría proveer esa información de sus agremiados, ya que es una asociación y no una autoridad.

     Claro que Martínez, quien evitó nombrar a las instituciones afectadas, agregó que, contrario a los reportes periodísticos, era una "cantidad muy pequeña, es insignificante”.

     Según ambas partes los montos representan pérdidas para los bancos, aunque algunos de los que originalmente reconocieron sufrir “incidentes”, como Banco del Bajío, o BanBajío, o Banco Mercantil del Norte, o Banorte, negaron cualquier afectación económica a sus resultados y a sus clientes. Ambos bancos cotizan en el mercado de valores mexicano.

     En lo que avanzan las investigaciones, el banco central mexicano comenzó a tomar cartas en el asunto para que algo similar no vuelva a ocurrir. El Instituo Central, por ejemplo anuncio la creación a su interior de una división de ciberseguridad a fin de reforzar la integridad de los sistemas de transferencias electrónicos, como el SPEI, y que a pesar del asalto considera que es seguro. 

    Además, el banco central emitió una circular para dar mejores directrices frente a los problemas que enfrentan diversas instituciones financiera en materia de conexión con el SPEI y con “el propósito de continuar propiciando el buen funcionamiento de los sistemas de pagos y el sano desarrollo del sistema financiero, así como la protección de los intereses del público”.

     En esas circular, el banco central pide también a los intermediarios financieros reforzar sus elementos de seguridad de sus operaciones, sobre todo cuando intercambian comunicación con los sistemas de Banco de México. 

     En el ámbito regulatorio, el Instituto Central amplió los límites de tiempo que tienen las instituciones financieras para reconocer, en el saldo del receptor, una transferencia interbancaria. Además, ahora los retiros en efectivo o cheques que un usuario quiera realizar tras una transferencia interbancaria, por cantidades superiores a 50 mil pesos (dos mil 516 dólares), podrán tardar hasta un día en aprobarse, a fin de que el banco receptor tenga tiempo suficiente para verificar la confiabilidad del traspaso. 

     Estas nuevas reglas son respuestas directas al modo de operación de los delincuentes que extranjero de manera ilegal dinero de la banca el mes pasado. Los atacantes digitales crearon, por ejemplo, cuentas fantasma a través de las cuales recibieron las transferencias para después retirar el dinero en efectivo en la entidad receptora.