En el hackeo al Sistema de Pagos Electrónicos Interbancarios (SPEI), personas mayores de 50 años fueron usadas como “mulas” para abrir cuentas bancarias y están plenamente identificadas por los bancos que recibieron esos depósitos.

Así lo aseguró Luis Ramírez, director de estrategias corporativas de IT Lawyers, firma especializada en asesoría y análisis de problemas de seguridad de diversas instituciones financieras.

El Gobernador del Banco de México, Alejandro Díaz de León, explicó que fueron 900 retiros en efectivo en diversas cuentas.
Ramírez señaló que su firma calcula que fueron mil 200 transacciones de 75 cuentas que se abrieron entre enero y marzo de 2018.

“Los bancos tienen estas cuentas plenamente identificadas. Son de Estado de México, Ciudad de México, Guadalajara y Nuevo León”, dijo.

Los retiros se realizaron los primeros días de mayo de estas 75 cuentas de personas que fueron utilizadas como “mulas”.

A estas personas les dieron un porcentaje por los retiros.

“Los bancos tienen los videos de seguridad, tienen plenamente identificados a quienes retiraron y la pregunta es por qué no lo informan”, agregó.

Para poder desviar el dinero de un banco y llevarlo a cuentas abiertas en otros, los hackers duplicaron las órdenes de pago que las instituciones financieras generan dentro del SPEI, según explicación del Banco de México.

Cuando un cliente hace una operación interbancaria, el banco emisor genera una orden de pago que envía al SPEI para que el dinero llegue a otro banco.

Dichas órdenes fueron duplicadas y el hacker extrajo recursos del banco emisor y lo envió hacia múltiples cuentas.

Ramírez agregó que los hackers se dieron cuenta del vacío que hay en la fase media del sistema del SPEI, donde se verifica que la cuenta que envió el depósito realmente existe.

Agregó que el Banxico siempre ha dado por hecho que el banco que recibe el depósito verifica en esta fase media que la cuenta emisora existe, es decir, que está registrada con el nombre completo del titular y un número que la identifica.

Sin embargo, dicha verificación no se hacía, y con este vacío fue posible que los hackers introdujeran códigos y Clabes (Claves Interbancarias), que permitieron duplicar órdenes de pago.

“Los hackers que se dieron cuenta de este vacío, trabajaron para firmas que hacen los aplicativos o software, o para las instituciones financieras afectadas y tienen acceso a los sistemas del SPEI, saben cómo funcionan”, destacó.

Criticó que la falla fue no hacer estrategias de inteligencia.

“Ninguna autoridad, ni la policía cibernética, ni las instituciones financieras cuentan con un tercero que recopile todas las vulnerabilidades de la banca”, dijo.

Jessika Becerra
Agencia Reforma