A casi un mes del ciberataque al sistema financiero, el Gobernador del Banco de México, Alejandro Díaz de León, reconoció que se desconocen los responsables, la tecnología utilizada y hasta la mecánica para generar cuentas y robar el dinero.

En conferencia de prensa, el funcionario explicó que aún no se tienen resultados de la investigación forense y tampoco se descarta que se dejaran abiertas “ventanas” para nuevos ataques.

“Se está detectando qué vulnerabilidad se explota y qué riesgo hay de que hayan dejado aplicativos latentes.

“En la experiencia internacional es alrededor de seis meses el tiempo que tardan quienes se introducen en este sistema para aprender la mecánica operativa antes de que sean detectados” agregó.
Díaz de León explicó que cuando un cliente inicia la transferencia en línea a una cuenta, su banco autentica, valida la identidad y prepara la orden de pago y la envía la Sistema de Pagos Electrónicos Interbancarios (SPEI).

“Es en ese último punto donde creemos que se vulneró el proceso de algunos participantes (bancos y casas de bolsa)”, dijo.

“Quienes perpetraron este ataque, son conocedores profundos de este sistema y este tipo de ataques busca cual es el eslabón más vulnerable de esta cadena y ahí concentran su esfuerzo”.

Aunque estimó que el monto del daño hasta ahora suma 300 millones de pesos, no detalló si todos fueron extraídos del sistema o que proporción está “atorada” en alguna parte del proceso de transferencias.

Agregó que hasta hoy se desconoce cómo se crearon múltiples cuentas falsas para dispersar el dinero y retirarlo.

“Es difícil ahorita adelantar alguna conclusión, es todavía difícil poder decir exactamente cuál fue el modus operandi.

“En cuanto así que fue dentro fuera de la República, no tenemos el día de hoy información evidencia suficiente para poder asegurar una o la otra”, agregó.

Cuestionado sobre el papel que tienen las empresas proveedoras de aplicativos o software para conectarse al SPEI, dijo que hasta el momento no podía identificar responsables.

Sin embargo, abrió la posibilidad a que los propios bancos e instituciones financieras que usan un aplicativo para conectarse al SPEI también sean responsables.

“Si el aplicativo del proveedor estaba funcionando de manera adecuada y residía en unos servidores sin una norma de seguridad que correspondía, ahí tiene la culpa el participante (banco), no el proveedor.

“Por eso no queremos dar el nombre de algún proveedor del aplicativo, y que se pudiera entender que es el responsable”, aseguró.

Se comprometió a realizar más adelante un reporte minucioso sobre el caso.

Jessika Becerra
Agencia Reforma