Ciberataques a cajeros: una combinación de técnicas sofisticadas con información privilegiada

Los expertos en seguridad informática coinciden en señalar que este tipo de amenazas a estas máquinas son muy comunes, han estado en el punto de mira desde hace tiempo , pero que, en este caso, todo apunta que para poner en práctica esta serie de ataques a entidades bancarias (por ahora se desconocen el nombre de los afectados) se han combinado «sofisticadas técnicas informáticas» con información privilegiada de primer orden, lo que ha permitido una fuga de datos para provocar que determinados cajeros automáticos de una serie de entidades bancarias emitieran dinero sin control alguno. En estos casos, descubiertos por la firma rusa de seguridad Grupo IB , instalaron un software específico para enviar código malicioso a estas máquinas expendedoras.

Ha trascendido, sin embargo, que la autoría viene de un grupo cibercriminal organizado denominado Cobalt , responsable de atacar una red de cajeros automáticos en más de una docena de países de Europa -incluyendo España- Reino Unido, Rusia, Países Bajos o Polonia. La fórmula del ataque ha sido aplicar un método rápiod de «hacking» que obliga a los cajeros a expedir dinero en efectivo. Aparentemente sencillo y peligroso a su vez.

A raíz de este incidente, Diebold Nixdorf y NCR Corp, dos de los mayores proveedores de cajeros automáticos del mundo, ya han reconocido estos ataques, aunque han salido al paso para tranquilizar a los usuarios, ya que han estado trabajando con sus clientes para reducir así esta potencial amenaza que puede poner en riesgo la viabilidad de las entidades financieras y el dinero de muchos ahorradores. Sin embargo, el director general del Instituto Nacional de Ciberseguridad (INCIBE), Alberto Hernández , ha aseguraod que se «trabaja en atajar ataques a infraestructuras críticas» como los cajeros automáticos en Europa, y que estos «se van a producir cada vez más» en España, aunque de momento tienen «bajo impacto».

Llama especialmente la atención que en esta ocasión se haya producido un «ataque desde dentro» cuando, asegura a este diario Francisco Sancho , de Intel Security España , por regla general los ataques dirigidos a entidades bancarias lo que han intentado ha sido suplantar la identidad de los clientes mediante técnicas para duplicar tarjetas o robar datos de las credenciales sin que las víctimas sean conscientes.

«La naturaleza de lo ataques es muy curiosa porque no se quería dejar rastro alguno», sostiene Sancho, quien asegura que los ciberdelincuentes centraron sus esfuerzos en «una estrategia bien diseñada» para explotar las vulnerabilidades de cualquier dispositivos porque -recalca- habitualmente los cajeros automáticos funcionan, a tal efecto, como un ordenador convencional y, por tanto, pueden contener vulnerabilidades que en manos de piratas informáticos pueden explotarse con el objeto de llenarse los bolsillos sin riesgo alguno.

Los expertos consideran que es necesario disponer de modelos de protección «integrales» que sean capaces de impedir la ejecución de software fraudulento, bloquear los intentos de reemplazar archivos legítimos, evitar la conexión de hardware que no sea de confianza y activar funciones de cifrado para impedir la manipulación de datos desde fuera. «El modus operandi de estos ataques, al igual que los que sucedieron este verano en Taiwán y Tailandia, desvelan una combinación de sofisticadas técnicas de hacking junto con un profundo conocimiento de la infraestructura del banco y las operaciones de los cajeros automáticos. Ya sabíamos que estos ataques eran muy propensos a extenderse a otros países y regiones y ahora le ha llegado el turno a Europa», destaca Juan Ramón Aramendia , experto en ciberseguridad de la firma S21sec . En su opinión, el desafío de seguridad más importante al que se enfrentan hoy en día los cajeros de todo el mundo es la existencia de hardware y software «heterogéneo y heredado» que, junto con la falta de políticas de actualización y la generalización del uso de sistemas de uso masivo como Windows «hacen de estas redes entornos intrínsecamente vulnerables».

El equipo de analistas de Kaspersky Lab ha descubierto, además, ataques que parecen estar utilizando una vulnerabilidad de «día-cero» en el editor de texto de InPage, un paquete de software utilizado por personas de habla urdú y árabe, así como por organizaciones de todo el mundo. El «exploit» se ha utilizado en ataques contra bancos en varios países asiáticos y africano que llega a la víctima a través de un correo electrónico fraudulento con el documento infectado adjunto y que, al explotar con éxito la vulnerabilidad, el «malware» informa a un servidor de comando y control y descarga herramientas legítimas de acceso remoto . En algunos casos se descargan programas maliciosos basados en el código fuente del troyano bancario ZeuS . «Los ciberatacantes ajustan sus tácticas al comportamiento de su público mediante el desarrollo de exploits para software personalizado. Dado que el software local no es un objetivo común de los creadores de exploits, siguen siendo viables durante mucho tiempo», añade Denis Legezo , experto en seguridad de Kaspersky Lab .

Para Hervé Lambert , Global Consumer Operations Manager de PandaLabs en Panda Security, actualmente la sociedad está conectando demasiadas cosas a internet, a la «nube», y pese a que en principio se está llevando a cabo «en pro de nuestro bienestar» se ha dejado en un segundo plano la protección de los aparatos electrónicos. «Nos hacemos la vida más fáciles, pero la hacemos a costa de la seguridad», considera en conversación con ABC. A su juicio, «a dia de hoy se está demostrando que la seguridad no es la mejor que se debería tener en muchos casos».