Hackeo al SPEI en México cumple un año… y no hay detenidos

El sistema financiero mexicano cumple un año de que fue víctima del que es considerado hasta ahora el mayor robo cibernético, ya que se sustrajeron de 5 instituciones unos 300 millones de pesos vía ventanillas bancarias, con la complicidad de un gran número de personas.

Sin embargo, se desconocen los avances en la investigación y no se consignado a los responsables.

Salvador Mejía, socio director de Asimetric, consideró que al ser un caso emblemático, y por el hecho de que nunca había ocurrido algo similar en el sistema financiero, se esperaba una investigación más expedita y también personas consignadas.

"Hubiera esperado por parte de la autoridad una investigación fulminante. A un año no se tiene certeza de los participantes, no hay acusaciones en forma en contra de los que tengan detectados, esto entra en el apartado del absurdo, debió investigarse de forma rápida y expedita", mencionó.

De acuerdo con el informe del Banco de México (Banxico), las cinco instituciones vulneradas que entregaron información sobre las operaciones no reconocidas, detectaron que el dinero robado se envío a 836 diferentes cuentas en 10 instituciones de crédito.

Las cuentas se abrieron en 97 diferentes plazas del país y el 80 por ciento del monto total de las transferencias no reconocidas se envió a 23 plazas.

El análisis forense entregado al banco central informó que se requirió contar, por parte de los atacantes, con un conocimiento profundo de la infraestructura tecnológica y de los procesos de las instituciones vulneradas, así como del acceso a ellas.

Para estos ataques, se utilizaron técnicas comunes como robo de credenciales, escalamiento de privilegios, movimientos laterales entre servidores, inserción de archivos o ejecución de instrucciones y borrado de bitácoras.

Al respecto Mejía, reconoció que no sólo son empleados de bajo nivel como cajeros los involucrados, sino se ha demostrado que incluso en niveles más altos hay participantes en fraudes.

Según conocedores de la investigación, desde el año pasado se tiene plenamente identificado a empleados bancarios que participaron junto con las 'mulas' para sacar el dinero, sin que se tenga conocimiento público de que hayan sido detenidos alguno de ellos.

"Al principio hubo un gran silencio, a un año no entendemos por qué no hay acusaciones formales ni resultados, no sabemos quién ejecuto", dijo Mejía.

Ernesto Torres, vicepresidente de la ABM, explicó que el hackeo de hace un año dejó lecciones al sistema y que el tema de ciberseguridad es el de mayor riesgo, no sólo para los bancos sino para todos.

Información obtenida por El Financiero, revela que durante los ataques, las cuentas y personas que se detectó que fueron utilizadas no ameritaron que fueran bloqueadas por la Unidad de Inteligencia Financiera en ese momento, incluso, a las personas que se corroboró que participaron tampoco fueron incluidas en ese listado.