Van seis alertas de ciberataques al sistema financiero desde mayo

Desde abril-mayo, cuando se registraron los (hasta ahora) más importantes ataques a los sistemas de conexión al Sistema de Pagos Electrónicos Interbancarios (SPEI) en algunas entidades, las autoridades han emitido seis alertas al sector financiero mexicano. De igual forma, dijeron fuentes, se han lanzado tres notificaciones sobre este tema.

En agosto, el presidente de la Comisión Nacional Bancaria y de Valores, Bernardo González Rosas, informaba que hasta ese momento eran cuatro las alertas. A éstas se suman dos con la emitida este martes, tras el ataque del que fue víctima la aseguradora AXA en sus sistemas de conexión al SPEI.

La emisión de alertas, ha aclarado el funcionario, forma parte de los acuerdos alcanzados entre autoridades y jugadores del sistema financiero tras los ataques de abril y mayo y tienen como finalidad actuar a tiempo para evitar que cualquier incidente pueda generalizarse a todo el sistema.

Las bases de coordinación firmadas entre autoridades y los diferentes integrantes del sistema financiero mexicano establecieron, entre otras cosas, la creación del Grupo de Respuesta a Incidentes de Seguridad de la Información (GRI), que es el que actúa ante estas alertas.

Al respecto, especialistas en ciberseguridad de la firma israelí, Mer Group, coincidieron en que las autoridades financieras de México tuvieron una reacción más oportuna y madura al elevar a rojo el nivel de alerta en disposiciones de ciberseguridad, tras confirmarse inconsistencias entre las operaciones de la aseguradora AXA y sus cuentas de tesorería.

“Cuando se presenta un incidente de seguridad, una empresa madura actúa de inmediato y pasa a un esquema alterno las operaciones para evitar un contagio sistémico mayor. Con la alerta roja emitida a escasas horas del aviso de la aseguradora AXA, se recibe la señal de que hay alguien a cargo”, explica Héctor Miranda, especialista en tecnología y seguridad cibernética en Mer Group.

Respuesta oportuna ante coordinación

Jazmin Rodríguez, gerente de Proyectos de ciberseguridad de la misma firma, sostiene que siempre habrá quien quiera vulnerar al sistema y el hecho de tener una respuesta oportuna que proteja al conjunto evidencia que hay una serie de acciones para contener la incidencia, coordinación entre las instituciones financieras y las autoridades, así como una ruta trazada y ensayada para control de daños. “Todo lo que no hubo en el incidente de abril y mayo”, indicó.

Precisamente, las bases de coordinación entre los integrantes del sector financiero marcan que las autoridades financieras deberán mantener una coordinación efectiva a fin de determinar los principios en materia de seguridad de la información que cada una podría implementar mediante la regulación que le corresponde.

En materia de entidades financieras privadas, se les obliga a crear un equipo interno de identificación y respuesta a incidentes sensibles de seguridad de la información, además de que éstos tienen que establecer una estrategia de comunicación para proveer información clara, oportuna y relevante a sus clientes y usuarios.

“La autoridad financiera respectiva evaluará si el incidente tiene el nivel de impacto informado por la entidad; en caso de que se trate de un incidente sensible de seguridad de la información, dará aviso de inmediato a los miembros del GRI a través del mecanismo de comunicación que establezcan al respecto”, señalan las bases.

En éstas se destaca la inmediatez con la que deben actuar tanto las entidades como la autoridad, para poner en alerta y evitar que se genere un impacto mayor a todo el sistema financiero.

Una de estas alertas que la autoridad dio a conocer fue la de julio pasado, cuando la plataforma de activos virtuales, Bitso, sufrió un ataque, sin que éste pasara a mayores. Esa vez se alertó a todo el sistema para que estuvieran al pendiente y en constante monitoreo, lo mismo que ahora con AXA.

Nuevo análisis forense

Los especialistas de Mer Group advirtieron que el paso a seguir por las autoridades financieras y la institución que dio el aviso “será un nuevo levantamiento de análisis forense, que permita identificar el problema, validar los medios por los que entró el ataque y verificar que no sean los mismos por donde se presentó el previo”.

Por ahora, no hay elementos suficientes para suponer si se trató de un incidente de seguridad similar al de abril y mayo o si se trata de un programa residente reactivado en los sistemas de conexión al Sistema de Pagos Electrónicos Interbancarios, advirtió la especialista.

No obstante, fuentes consuladas por este diario refirieron que el modus operandi de los atacantes de los sistemas de AXA habría sido el mismo que se utilizó en abril y mayo contra bancos como Banorte, Banjército y otros intermediarios.

Es decir, se habría atacado el proveedor de servicios de conexión al SPEI, con el que, además de AXA, trabajaban otros intermediarios financieros.

Retrasos en transacciones

Algunos bancos, como Citibanamex, alertaron a sus usuarios que, tras la alerta roja emitida por el Banco de México en torno al sistema de pagos, podría haber retrasos en la dispersión de fondos de algunas operaciones.

“Estamos fortaleciendo el monitoreo de las transacciones, por lo que pudiera haber retrasos en la dispersión de fondos de algunas operaciones. Asimismo, informamos que no se han presentado incidentes en las plataformas de Citibanamex”, señaló el banco en un breve pronunciamiento.

La Comisión Nacional para la Protección y Defensa de los Usuarios de Servicios Financieros destacó, por su parte, que está atenta y tendrá informados a los clientes, a quienes pidió reporten cualquier anomalía.

Cronología de los ciberataques

• El 17 de abril un participante del SPEI registró un ataque cibernético.
• A partir de esa fecha, se identificaron cuatro eventos adicionales de ataque cibernético: dos el 24 de abril, uno el 26 de abril y uno más el 8 de mayo.
• En julio pasado, se registró otro ataque a la plataforma de activos virtuales, Bitso, y se lanzó la primera alerta por parte de las autoridades.
• El 23 de octubre se registró un ataque a los sistemas de pago de AXA.
• Autoridades y expertos han dicho que este tipo de ataques seguirá, por lo que debe haber coordinación para actuar y evitar daños.

valores@eleconomista.mx