Cómo unos ladrones robaron 12 millones de dólares de Ecuador sin moverse del sitio

Unos hackers son nuevos millonarios, después de robar un banco enviando un mensaje del sistema usado por las entidades financieras para comunicarse.

El caso se dio a principios del 2015, cuando Wells Fargo, una compañía de servicios financieros, inició dos transferencias de dinero de cuentas del Banco del Austro en Ecuador.

Una de las transferencias fue de 9 millones de dólares, y fue a parar a las cuentas de varias compañías de Hong Kong. La segunda transferencia fue de 3 millones de dólares, y fue a parar a Dubai. Todo lo relacionado con estas transferencias parece legal y en orden, el problema llegó cuando en el Banco del Austro se dieron cuenta de que les faltaban 12 millones de dólares.

La “mensajería instantánea” de los bancos

Para cuando todo el mundo se dio cuenta de que estaban ante un robo con todas las letras, era demasiado tarde. Las cuentas a las que fue a parar el dinero eran de empresas fantasma, y los responsables se escaparon con el dinero. Pero, ¿cómo es posible que alguien pudiese simplemente mover tal cantidad de dinero a su cuenta bancaria sin que nadie sospechase nada?

La clave está en SWIFT, el sistema usado por las entidades bancarias y financieras para comunicarse entre sí de manera segura. Es un estándar, y por lo tanto es bien conocido, pero no por ello es inseguro, y el hecho de que 9.000 entidades financieras de todo el mundo confíen en este sistema es una prueba de ello.

swift 1

Sin embargo, ningún sistema es completamente seguro, y en los últimos meses SWIFT está ocupando más titulares de lo que les gustaría a los bancos. El pasado febrero, por ejemplo, un banco de Bangladesh perdió 81 millones de dólares después de hacer caso a un mensaje SWIFT similar. Y podrían haber sido más si en uno de los mensajes los hackers no hubiesen escrito mal una palabra (“Foundation”, fundación, fue escrita como “fandation”).

Cómo es posible robar un banco enviando un mensaje

swift 3

La mensajería SWIFT es bastante simple, y se basa en una serie de códigos con distinto significado. Por ejemplo, los diferentes tipos de operaciones tienen cada una su propio código, y cada entidad está representada por un sólo código. De esta manera la comunicación entre entidades es posible, aunque pertenezcan a países diferentes y sus sistemas internos funcionen de manera diferente.

swift 2

Los hackers se aprovechan de este estándar para realizar operaciones fradulentas. Y digo hackers porque los bancos no aceptan cualquier mensaje SWIFT que les llega, este tiene que estar autenticado. Así que para mandar un mensaje autenticado, los hackers antes tuvieron que entrar en el sistema de una entidad, ganando permisos y probablemente usando mucha ingeniería social hasta alcanzar el nivel que necesitaban para mandar mensajes SWIFT.

Estos casos están dando la vuelta al mundo, y con razón. El hecho de haya sido tan fácil realizar estos robos (al menos aparentemente) seguro que ya ha motivado a algunas mentes a encontrar un método de comunicación entre bancos más seguro.