Crónica

Cómo fue el hackeo al Banco de Chile

La sustracción de US$ 10 millones fue el punto cúlmine de una sofisticada operación que duró meses y que puede volver a ocurrir en Chile. Empresas de ciberseguridad alertaron, en noviembre pasado, de este tipo de ataques.

Por Rodrigo Diez, Gabriela Villalobos y Marcela Gómez

Lunes 11 de junio de 2018

A+ A-

Las alarmas sonaron el jueves 24 de mayo dentro del Banco de Chile. Un virus había logrado entrar a la red de la institución y comenzaba a inutilizar computadores anulando sus discos de arranque.

Mientras el equipo de seguridad enfocaba su atención en cerrar 9.000 terminales para proteger datos e información de clientes, decenas de transferencias se ejecutaban automáticamente desde cuentas del banco a destinos fuera del país. Algunos de estos traspasos encendieron la alerta y fue en ese momento cuando dentro de la institución se dieron cuenta de que el virus en los computadores era una distracción y que el verdadero peligro era el robo de millones de dólares.

Planeando el robo

"Una operación como esa demora meses", dice Joshua Provoste, encargado de seguridad informática de la Fundación Datos Protegidos. Explica que para lograr "distraer con el virus", los hackers deben haber infiltrado la red del banco mucho antes, para conocer los hábitos de navegación de los usuarios y así "desarrollar Ingeniería Social -el conjunto de anuncios, emails y todo tipo de comunicación sobre un tema determinado- y lograr que alguien haga clic en un enlace o descargue un archivo que permite al programa malicioso propagarse en el sistema". En este caso lo hizo para anular los discos de arranque de los computadores.

Sin embargo, antes de introducir el virus a la red, los hackers encontraron alguna vulnerabilidad para entrar al sistema Swift, la aplicación que ejecuta las transferencias internacionales. Según explica Marcos Sandoval, experto en seguridad y gerente de Estrategia y Negocios de AltaVoz, los atacantes "ya tenían las claves y lo necesario para ejecutar esos traspasos y esperaron a hacerlo de forma coordinada con el virus que funcionó como distractor."

Este grado de sofisticación ha hecho que este tipo de ataques hayan sido bautizados como APT, advanced persistent threat. "Los hacen grupos de hackers muy hábiles que siguen un patrón que ya se ha visto en desfalcos a otros bancos en el mundo", como el ataque que sustrajo 300 millones de pesos desde Bancomext en México en enero pasado, o los US$ 81 millones desde el Banco Central de Bangladesh el 2016. Ambos hackeos se han atribuido al Grupo Lazarus, patrocinado por el gobierno de Corea del Norte.

Especial Corea del Norte

El ejército de hackers de Pyongyang

Se estima que el régimen norcoreano cuenta con un ejército de 6.000 hackers, quienes tienen como misión recaudar bitcoins que alimenten las alicaídas arcas de la nación.

¿Qué tienen en común bancos en México, Bangladesh y Chile?

"Se trata de economías globalizadas y muy abiertas al comercio internacional, en las que hacer traspasos a otros países no es difícil", explica Sandoval. Y esa es una característica que los hackers explotan para sacar el dinero y para después hacerse con él, ya que "lo reparten en pequeñas cantidades en muchas cuentas de países en África o Asia Central, las llamadas cuentas mula".

A eso hay que sumar que es muy difícil dar con la ubicación geográfica de los ladrones, pues "ocupan VPN -virtual private network- que va enmascarando la dirección del computador en distintos países, haciendo que sea prácticamente imposible de rastrear".

La advertencia

"Esto es mucho más sofisticado que un virus", dice un exhacker que pidió mantener anonimato. "Los que hicieron esto conocen todas las aplicaciones del banco, sus proveedores, a los usuarios de la red, los softwares en los que están trabajando, todo. Ahí encuentran el punto débil y por ahí comienzan a hacer todo este trabajo".

En noviembre de 2017, Kaspersky Lab, la prestigiosa empresa internacional de seguridad informática, advirtió que la banca se enfrentaría a este tipo de ataques, más sofisticados, este año: "Los bancos de la región (Latinoamérica) tendrán que enfrentar la nueva realidad de múltiples ataques con técnicas y vectores de ataques híbridos que permitirán a los atacantes sustraer grandes sumas de dinero directamente de los activos del bancoDichos ataques podrán ser complementados con el uso de insiders, tecnologías maliciosas para los cajeros automáticos, así como los servidores internos y otras estaciones dentro de las propias redes de las instituciones bancarias."

Los próximos pasos

El gerente general del Banco de Chile, Eduardo Ebensperger, en entrevista con Pulso, de La Tercera, reconoció que "este tipo de ataque requiere otro tipo de sofisticación, otro tipo de conocimiento, y vamos a evolucionar de acuerdo a eso. Si bien tenemos antivirus y una serie de controles y monitoreo, hay que intensificarlo. Tomaremos todas las medidas que sean necesarias para seguir investigando y resguardando a nuestros clientes como lo hemos hecho hasta ahora. Este es un nuevo método, que desde Chile lo veíamos un poco lejos, pero ahora viene bajando a Latinoamérica".

Desde la Asociación de Bancos e Instituciones Financieras (ABIF) declinaron entregar nuevos comentarios sobre el tema. El día del ataque, la entidad difundió un breve comunicado de prensa precisando que el problema sólo se acotaba a Banco de Chile y que no existían "antecedentes sobre eventos similares que afecten a otras entidades bancarias".

Desde algunos bancos comentaron que la industria está a la espera de las definiciones que adopten las autoridades, sobre todo después de que el propio Presidente Sebastián Piñera planteara el caso al comité político y solicitará estudiar cambios legales para fortalecer las medidas de seguridad ante crímenes informáticos. El gobierno convocó para este martes 12 de junio al comité interministerial de Ciberseguridad, integrado por ocho subsecretarías y la Agencia Nacional de Seguridad, donde se estudiarían nuevos requerimientos para el sector público y privado (especialmente para actividades de atención de público y que involucren dinero) en materia de protección ante ciberataques. 

PAUTA.cl solicitó información sobre lecciones de este caso y eventuales ajustes regulatorios a la Superintendencia de Bancos e Instituciones Financieras (SBIF), pero la entidad respondió que no formulará declaraciones al respecto. El regulador ha estado bajo presión por su conducta tras conocerse el hackeo al Banco de Chile (no se constituyó en las oficinas de la entidad, sino que optó por monitoreo telefónico y vía email), y enfrentó cuestionamientos en una sesión en la comisión de Economía del Senado, especialmente tras admitir que no existen protocolos expresos para actuar frente a ataques cibernéticos.

A+ A-

Para recibir el newsletter de Pauta ingresa tu correo

Relacionados

<p>La medicina complementaria en debate</p>
Crónica

Tres visiones sobre por qué limitar la medicina complementaria

Hay diferencias sobre el efecto de este tipo de prácticas y sus riesgos para los pacientes, pero hay consenso para una mayor regulación.

Crónica

El Colegio Médico reprocha el avance de las prácticas alternativas en la red pública

El gremio rechaza que terapias no reguladas y prestadores sin certificación tengan espacio en el sistema público.

<p>El Ministerio de Salud no sabe cuántos recursos se destinan a la ">
Crónica

El Gobierno desconoce cuánto se gasta en terapia floral y otras sanaciones

Salud admite que desconoce cuántos los recursos públicos involucrados en estas prácticas, ya que los fondos provienen de los presupuestos de operación de los hospitales.

<p>Las medicinas alternativas en la salud pública y su nivel de formalidad</p>
Crónica

Ocho de cada 10 terapias "alternativas" en la salud pública carecen de reconocimiento oficial

Aromaterapia, reiki y biomagnetismo, entre otras, se realizan con fondos públicos sin contar con un reglamento.