Cómo fue el hackeo al Banco de Chile

La sustracción de US$ 10 millones fue el punto cúlmine de una sofisticada operación

que duró meses y que puede volver a ocurrir en Chile. Empresas de ciberseguridad
alertaron, en noviembre pasado, de este tipo de ataques.

Las alarmas sonaron el jueves 24 de mayo dentro del Banco de Chile. Un virus
había logrado entrar a la red de la institución y comenzaba a inutilizar computadores
anulando sus discos de arranque.

Mientras el equipo de seguridad enfocaba su atención en cerrar 9.000 terminales

para proteger datos e información de clientes, decenas de transferencias se
ejecutaban automáticamente desde cuentas del banco a destinos fuera del país.
Algunos de estos traspasos encendieron la alerta y fue en ese momento cuando
dentro de la institución se dieron cuenta de que el virus en los computadores era
una distracción y que el verdadero peligro era el robo de millones de dólares.

Planeando el robo

Una operación como esa demora meses", dice Joshua Provoste, encargado de
seguridad informática de la Fundación Datos Protegidos. Explica que para lograr
"distraer con el virus", los hackers deben haber infiltrado la red del banco mucho
antes, para conocer los hábitos de navegación de los usuarios y así "desarrollar
Ingeniería Social -el conjunto de anuncios, emails y todo tipo de comunicación sobre
un tema determinado- y lograr que alguien haga clic en un enlace o descargue un
archivo que permite al programa malicioso propagarse en el sistema". En este caso
lo hizo para anular los discos de arranque de los computadores.

Sin embargo, antes de introducir el virus a la red, los hackers encontraron alguna
vulnerabilidad para entrar al sistema Swift, la aplicación que ejecuta las
transferencias internacionales. Según explica Marcos Sandoval, experto en
seguridad y gerente de Estrategia y Negocios de AltaVoz, los atacantes "ya tenían
las claves y lo necesario para ejecutar esos traspasos y esperaron a hacerlo de
forma coordinada con el virus que funcionó como distractor."
Este grado de sofisticación ha hecho que este tipo de ataques hayan sido
bautizados como APT, advanced persistent threat. "Los hacen grupos de hackers
muy hábiles que siguen un patrón que ya se ha visto en desfalcos a otros bancos
en el mundo", como el ataque que sustrajo 300 millones de pesos desde Bancomext
en México en enero pasado, o los US$ 81 millones desde el Banco Central de
Bangladesh el 2016. Ambos hackeos se han atribuido al Grupo Lazarus,
patrocinado por el gobierno de Corea del Norte.

¿Qué tienen en común bancos en México, Bangladesh y Chile?

"Se trata de economías globalizadas y muy abiertas al comercio internacional, en

las que hacer traspasos a otros países no es difícil", explica Sandoval. Y esa es una
característica que los hackers explotan para sacar el dinero y para después hacerse
con él, ya que "lo reparten en pequeñas cantidades en muchas cuentas de países
en África o Asia Central, las llamadas cuentas mula".

A eso hay que sumar que es muy difícil dar con la ubicación geográfica de los
ladrones, pues "ocupan VPN -virtual private network- que va enmascarando la
dirección del computador en distintos países, haciendo que sea prácticamente
imposible de rastrear".

La advertencia

"Esto es mucho más sofisticado que un virus", dice un exhacker que pidió
mantener anonimato. "Los que hicieron esto conocen todas las aplicaciones del
banco, sus proveedores, a los usuarios de la red, los softwares en los que están
trabajando, todo. Ahí encuentran el punto débil y por ahí comienzan a hacer todo
este trabajo".
En noviembre de 2017, Kaspersky Lab, la prestigiosa empresa internacional de
seguridad informática, advirtió que la banca se enfrentaría a este tipo de ataques,
más sofisticados, este año: "Los bancos de la región (Latinoamérica) tendrán
que enfrentar la nueva realidad de múltiples ataques con técnicas y vectores
de ataques híbridos que permitirán a los atacantes sustraer grandes sumas
de dinero directamente de los activos del banco. Dichos ataques podrán ser
complementados con el uso de insiders, tecnologías maliciosas para los cajeros
automáticos, así como los servidores internos y otras estaciones dentro de las
propias redes de las instituciones bancarias."

Los próximos pasos

El gerente general del Banco de Chile, Eduardo Ebensperger, en entrevista

con Pulso, de La Tercera, reconoció que "este tipo de ataque requiere otro tipo de
sofisticación, otro tipo de conocimiento, y vamos a evolucionar de acuerdo a eso. Si
bien tenemos antivirus y una serie de controles y monitoreo, hay que intensificarlo.
Tomaremos todas las medidas que sean necesarias para seguir investigando y
resguardando a nuestros clientes como lo hemos hecho hasta ahora. Este es un
nuevo método, que desde Chile lo veíamos un poco lejos, pero ahora viene bajando
a Latinoamérica".
Desde la Asociación de Bancos e Instituciones Financieras (ABIF) declinaron
entregar nuevos comentarios sobre el tema. El día del ataque, la entidad difundió
un breve comunicado de prensa precisando que el problema sólo se acotaba a
Banco de Chile y que no existían "antecedentes sobre eventos similares que afecten
a otras entidades bancarias".
Desde algunos bancos comentaron que la industria está a la espera de las
definiciones que adopten las autoridades, sobre todo después de que el propio
Presidente Sebastián Piñera planteara el caso al comité político y solicitará estudiar
cambios legales para fortalecer las medidas de seguridad ante crímenes
informáticos. El gobierno convocó para este martes 12 de junio al comité
interministerial de Ciberseguridad, integrado por ocho subsecretarías y la Agencia
Nacional de Seguridad, donde se estudiarían nuevos requerimientos para el sector
público y privado (especialmente para actividades de atención de público y que
involucren dinero) en materia de protección ante ciberataques.

Se solicitó información sobre lecciones de este caso y eventuales ajstes regulatorios

a la Superintendencia de Bancos e Instituciones Financieras (SBIF), pero la entidad
respondió que no formulará declaraciones al respecto. El regulador ha estado bajo
presión por su conducta tras conocerse el hackeo al Banco de Chile (no se
constituyó en las oficinas de la entidad, sino que optó por monitoreo telefónico y
vía email), y enfrentó cuestionamientos en una sesión en la comisión de Economía
del Senado, especialmente tras admitir que no existen protocolos expresos para
actuar frente a ataques cibernéticos.