El mayor ciberatraco en la historia de México mantiene en vilo al sistema bancario

El ciberataque millonario que ha puesto en jaque a los bancos de México se perpetró sigilosamente, con paciencia. Un grupo de hackers ha entrado en las entrañas del sistema de pagos electrónicos y se ha llevado alrededor de 300 millones de pesos (más de 15 millones de dólares), que después retiraron personalmente de las ventanillas bancarias con el paso de los días. "Es un ataque de una sofisticación tecnológica y logística del que no habíamos tenido ningún antecedente (...) fue de una escala que no habíamos visto", ha admitido este viernes el gobernador del Banco de México, Alejandro Díaz de León. La institución emisora ha activado un "plan de contingencia" que ha ralentizado las transacciones y ha causado molestias a miles de usuarios.

Aún no se sabe de dónde ha venido la amenaza ni si está del todo controlada, ha dicho Díaz de León a la cadena de televisión Televisa. Lo que sí ha confirmado el titular del banco central es que entre los principales afectados están una casa de bolsa, una caja popular y tres bancos, aunque no ha precisado los nombres.

El detonante de la crisis fue un ataque a una "institución pequeña y en un incidente relativamente menor" el pasado 17 de abril. Todo empezó, como se dice en México, como un "robo hormiga" que pudiera pasar como una falla común del sistema y que implicara el retiro paulatino de cantidades pequeñas en los propios bancos. Apenas unos minutos después de los ataques cibernéticos, llegaban personas a las sucursales bancarias para llevarse el dinero. La operación ha sorprendido a las autoridades no tanto por el monto, sino por la repetición de los ataques. Los retiros iban de los 200.000 pesos (10.000 dólares) hasta los 600.000 pesos (30.000 dólares), ha detallado el banco central.

Hay cientos de cuentas involucradas en al menos cinco bancos. Aunque las autoridades mexicanas ya han rastreado a los dueños detrás de las cuentas, no han querido revelar los nombres de los involucrados ni cuántos fueron. Los indicios de las autoridades mexicanas apuntan a que se trata de un grupo "con bastante tecnología", aunque nadie ha asumido la autoría ni la responsabilidad del ataque.

El siguiente atraco, el primero de mayor magnitud según el Banco de México, fue el pasado 26 de abril a un banco. Fue el primero de dos "epicentros" de la amenaza, ha dicho Díaz de León. El segundo fue el pasado 8 de mayo. El banco central ha sido sumamente cauteloso en el manejo de la crisis y en la información que ha difundido de lo sucedido, al argumentar que las investigaciones siguen en curso y con la promesa de que más adelante se harán públicas las piezas que faltan del rompecabezas. La Procuraduría General de la República (el equivalente a la Fiscalía nacional) encabeza las acciones penales para dar con los responsables.

El Banco de México ha promovido nuevas reglas para el Sistema de Pagos Electrónicos Interbancarios (SPEI). Son protocolos de seguridad temporales que tienen el objetivo de evitar nuevos ataques. En palabras del funcionario, el sistema bancario ha dejado de transitar por unos días por "las carreteras tradicionales" y ha optado por circular por "vías alternas", mientras se normaliza la situación. Díaz de León ha afirmado que desde el año pasado ya se había introducido una nueva regulación para fortalecer la seguridad del SPEI, pero ha señalado que la revisión de que los bancos la realizaran estaba prevista para finales de 2018. 

Hasta ahora, las autoridades mexicanas han repetido la promesa de que el sistema funcionará de forma regular con el paso de los días, sin mencionar una fecha exacta. Díaz de León ha dicho que más de la mitad de las transacciones ya se completan en cuestión de segundo y que el 99% se realiza con un máximo de dos horas. "Lo hemos mitigado y estamos extrayendo lecciones de cómo fortalecer el sistema", ha dicho el titular del banco central.

Los encargados de la ciberseguridad de la institución emisora aseguran que ya tienen la mayoría de "los parches" para "los agujeros" que abrieron los hackers. Las autoridades aún esperan a que concluyan los estudios forenses para dar por superado el ataque, que esfumó 300 millones, pero complicó el movimiento de muchos miles de millones más. En México, se llevan a cabo alrededor de 480 millones de operaciones electrónicas a través de SPEI, según datos de la Asociación de Bancos de México.