El Banco de México (Banxico) informó a la Comisión Permanente del Congreso de la Unión que no fue blanco de ataques ni vulnerado por el hackeo a cinco instituciones financieras, ocurrido entre el 24 de abril y el 8 de mayo pasados.

En la Gaceta Parlamentaria se publicó el documento de 29 cuartillas, donde se indica que el sistema central del SPEI tampoco sufrió algún ataque y sigue procesando órdenes de transferencia con seguridad entre los participantes, aunque en algunos casos con retrasos en los tiempos de servicio.

Asimismo, se precisa que el SPEI (Servicio de Pagos Electrónicos Interbancarios), los recursos y la información de los clientes de las instituciones financieras afectadas estuvieron seguros y fuera de peligro.

Se detalla que actualmente, Banxico hace una revisión profunda de todos los elementos regulatorios de seguridad de la información relacionados con el SPEI, con el propósito de reforzar los procesos de supervisión, autoevaluación y el involucramiento de todas las capas de gobierno corporativo de las instituciones participantes en la materia.

El Banco de México expone cómo ocurrieron estos ataques, a partir del 17 de abril, cuando un participante del SPEI detectó que sus sistemas emitieron órdenes de transferencia de fondos no autorizados.

A partir de esa fecha, se identificaron cuatro eventos similares en otros participantes, dos el 24 de abril, uno el 26 de abril y otro más el 8 de mayo.

Estas operaciones se enviaron a 836 diferentes cuentas en 10 instituciones de crédito. Las cuentas se abrieron en 97 diferentes plazas de la República y 80 por ciento del monto total de las transferencias no reconocidas se envió a 23 plazas.

En el informe se establece que Banxico identificó el “modus operandi” para realizar estas transacciones financieras y los participantes afectados se percataron de estas órdenes de transferencias apócrifas mediante alertas producto de sus procesos de validación de operaciones y a través de alertas por parte de otros participantes receptores de operaciones sospechosas.

Banxico destaca que en todos los casos identificados y reportados en donde hubo incidente cibernético, los participantes tenían aplicativos de conexión al SPEI desarrollados por un tercero.

“No obstante, la vulnerabilidad pudo tener su origen tanto en los sistemas desarrollados por terceros, como en la infraestructura de los participantes en la que fue instalado”.

En la mayoría de los casos, los participantes recurren a proveedores externos para realizar esta conexión entre sus sistemas centrales denominados “core” y la infraestructura del Banco de México para la operación del SPEI.

Se resalta que los recursos y la información de los clientes nunca estuvieron en riesgo. “Quienes cometieron estas acciones buscaron vulnerar las conexiones de los participantes con el SPEI”, lo cual involucró únicamente recursos de la institución afectada.

Tras estos ciberataques, Banxico aplicó un programa preventivo de seguridad, pues otros 43 participantes tenían un alto perfil de riesgo. Se les requirió conectarse al SPEI a través del esquema de contingencia COA SPEI.

La Procuraduría General de la República (PGR) lleva a cabo las investigaciones conducentes, con el fin de identificar y sancionar a los responsables de este probable ilícito.