En 2015 y 2016, se reportaron una serie de ciberataques que utilizaron la red bancaria SWIFT , lo que resultó en el robo exitoso de millones de dólares. [1] [2] Los ataques fueron perpetrados por un grupo de piratas informáticos conocido como APT 38 [3] cuyas tácticas, técnicas y procedimientos se superponen con el infame Grupo Lazarus que se cree que está detrás de los ataques a Sony . Los expertos coinciden en que APT 38 se formó después de las sanciones de marzo de 2013 y las primeras operaciones conocidas relacionadas con este grupo ocurrieron en febrero de 2014. Si la atribución a Corea del Norte es precisa, sería el primer incidente conocido de un actor estatal que utiliza ciberataques para robar fondos.
Los ataques explotaron vulnerabilidades en los sistemas de los bancos miembros, lo que permitió a los atacantes obtener el control de las credenciales SWIFT legítimas de los bancos. Los ladrones luego usaron esas credenciales para enviar solicitudes de transferencia de fondos SWIFT a otros bancos, los cuales, confiando en que los mensajes eran legítimos, enviaron los fondos a las cuentas controladas por los atacantes. [1]
Los primeros informes públicos de estos ataques provinieron de robos en el banco central de Bangladesh y en un banco de Vietnam.
Según un informe del New York Times , un robo de 101 millones de dólares del banco central de Bangladesh a través de su cuenta en el Banco de la Reserva Federal de Nueva York fue atribuido a cibercriminales que explotaron vulnerabilidades del software Alliance Access de SWIFT . No fue el primer intento de este tipo, reconoció la sociedad, y la seguridad del sistema de transferencias estaba siendo sometida a un nuevo examen en consecuencia. [4] [5]
Poco después de los informes sobre el robo al banco central de Bangladesh, se informó de un segundo ataque, aparentemente relacionado, ocurrido en un banco comercial en Vietnam. [1]
En ambos ataques se utilizó un malware creado para emitir mensajes SWIFT no autorizados y ocultar el envío de los mensajes. Una vez enviados los mensajes SWIFT que robaron los fondos, el malware eliminó el registro de la base de datos de las transferencias y tomó medidas adicionales para evitar que los mensajes de confirmación revelaran el robo. En el caso de Bangladesh, los mensajes de confirmación habrían aparecido en un informe en papel; el malware alteró los informes en papel cuando se enviaron a la impresora. En el segundo caso, el banco utilizó un informe en formato PDF; el malware alteró el visor de PDF para ocultar las transferencias. [1]
Además, la agencia de noticias Reuters informó el 20 de mayo de 2016 que ya había habido un caso similar en Ecuador a principios de 2015, cuando se transfirieron fondos del Banco del Austro a cuentas bancarias en Hong Kong . Ni el Banco del Austro ni Wells Fargo , a quienes se les pidió que realizaran las transacciones, informaron inicialmente los movimientos a SWIFT como sospechosos; las implicaciones de que las acciones en realidad eran un robo solo surgieron durante una demanda de la BDA presentada contra Wells Fargo. [2]
Después de los dos informes iniciales, dos empresas de seguridad informaron que los ataques involucraron malware similar al utilizado en el hackeo de Sony Pictures Entertainment en 2014 y afectaron a 12 bancos en el sudeste asiático. [6] [7] Ambos ataques se atribuyen a un grupo de piratas informáticos apodado Lazarus Group por los investigadores. Symantec ha vinculado al grupo con Corea del Norte . [8] Si la participación de Corea del Norte es cierta, sería el primer incidente conocido de un actor estatal que utiliza ciberataques para robar fondos. [9] [10]
Si el ataque se originó en Corea del Norte, los robos tendrían profundas implicaciones para las relaciones internacionales. Sería el primer caso conocido de un actor estatal que utiliza ataques cibernéticos para robar fondos. [10]
Los robos también pueden tener consecuencias para el régimen de sanciones internacionales que pretende aislar la economía de Corea del Norte. El robo puede representar un porcentaje significativo del PIB actual de Corea del Norte. [10]
La confianza en el sistema SWIFT es un elemento importante de la banca internacional desde hace décadas. Los bancos consideran que los mensajes SWIFT son fiables y, por lo tanto, pueden seguir las instrucciones transmitidas de inmediato. Además, los robos en sí mismos pueden amenazar la solvencia de los bancos miembros. [6] "Se trata de un asunto importante y afecta directamente a la banca", dijo el director general de SWIFT, Gottfried Leibbrandt, quien agregó: "Los bancos que se vean comprometidos de esta manera pueden verse obligados a cerrar". [6]
Tras los ataques, SWIFT anunció un nuevo régimen de controles obligatorios que deberán cumplir todos los bancos que utilicen el sistema. [11] SWIFT inspeccionará a los bancos miembros para comprobar su cumplimiento e informará a los reguladores y a otros bancos en caso de incumplimiento.
Los funcionarios de SWIFT han hecho reiteradas declaraciones de que se espera que los ataques al sistema continúen. [5] [11] En septiembre de 2016, SWIFT anunció que tres bancos más habían sido atacados. En dos de los casos, los piratas informáticos lograron enviar órdenes SWIFT fraudulentas, pero los bancos receptores las consideraron sospechosas y descubrieron el fraude. Según los funcionarios de SWIFT, en el tercer caso, un parche en el software de SWIFT permitió al banco atacado detectar a los piratas informáticos antes de que se enviaran los mensajes. [11]
