Los 300 millones de pesos robados durante el ciberataque al Sistema de Pagos Electrónicos Interbancarios (SPEI) están apareciendo en cuentas bancarias de particulares.

Eduardo Osuna, director general de BBVA Bancomer, señaló que detectaron cuentas de clientes que recibieron parte de esos recursos.

«No fuimos afectados en el hackeo. Bancomer lo único que tuvo fue que recibimos dinero en algunas cuentas que se dispersaron y es parte de la investigación que está haciendo la autoridad. Dinero que llegó a cuentas de clientes que estaban abiertas de manera normal», admitió.

Extraoficialmente Citibanamex y Banorte están en la misma situación.

Alejandro Díaz de León, Gobernador del Banxico señaló que tienen identificadas 900 operaciones donde los retiros promedio eran de 200 mil a 300 mil pesos.

«Estaban de acuerdo con quien orquestaba el ataque. Se quedaban con una parte y la otra parte la entregaban a otra», dijo Díaz de León en entrevista radiofónica.

Luis Ramírez, director de estrategias corporativas de IT Lawyers, aseguró que en el hackeo, personas mayores de 50 años fueron usadas como «mulas» para abrir cuentas bancarias y están plenamente identificadas por los bancos que recibieron esos depósitos.

El directivo de la empresa especializada en asesoría y análisis de problemas de seguridad de diversas instituciones financieras señaló que su firma calcula que fueron mil 200 transacciones de 75 cuentas que se abrieron entre enero y marzo de 2018.

«Los bancos tienen estas cuentas plenamente identificadas. Son de Estado de México, Ciudad de México, Guadalajara y Nuevo León», dijo.

Los retiros se realizaron los primeros días de mayo de estas 75 cuentas de personas que fueron utilizadas como «mulas».

A estas personas les dieron un porcentaje por los retiros.

«Los bancos tienen los videos de seguridad, tienen plenamente identificados a quienes retiraron y la pregunta es por qué no lo informan», agregó.

Para poder desviar el dinero de un banco y llevarlo a cuentas abiertas en otros, los hackers duplicaron las órdenes de pago que las instituciones financieras generan dentro del SPEI, según explicación del Banco de México.

Cuando un cliente hace una operación interbancaria, el banco emisor genera una orden de pago que envía al SPEI para que el dinero llegue a otro banco.

Dichas órdenes fueron duplicadas y el hacker extrajo recursos del banco emisor y lo envió hacia múltiples cuentas.

Ramírez agregó que los hackers se dieron cuenta del vacío que hay en la fase media del sistema del SPEI, donde se verifica que la cuenta que envió el depósito realmente existe.

Agregó que el Banxico siempre ha dado por hecho que el banco que recibe el depósito verifica en esta fase media que la cuenta emisora existe, es decir, que está registrada con el nombre completo del titular y un número que la identifica.

Sin embargo, dicha verificación no se hacía, y con este vacío fue posible que los hackers introdujeran códigos y Clabes (Claves Interbancarias) que permitieron duplicar órdenes de pago.

«Los hackers que se dieron cuenta de este vacío trabajaron para firmas que hacen los aplicativos o software, o para las instituciones financieras afectadas y tienen acceso a los sistemas del SPEI, saben cómo funcionan», destacó.

Criticó que la falla fue no hacer estrategias de inteligencia.

«Ninguna autoridad, ni la policía cibernética ni las instituciones financieras, cuenta con un tercero que recopile todas las vulnerabilidades de la banca», dijo.

Con información de Reforma