El ciberataque que alteró la transferencia de fondos entre bancos desde finales de abril no ha terminado. Lo afirmó ayer Alejandro Díaz de León, gobernador del Banco de México (BdeM). Cifró en 300 millones de pesos el monto que los hackers sustrajeron de las cuentas de tres bancos, una casa de bolsa y una caja de ahorro popular, aunque guardó la identificación de las instituciones, cuya conexión al sistema que moviliza las transferencias electrónicas fue vulnerada.

En una segunda comparecencia a la prensa esta semana (para convertirse en el único funcionario público de alto nivel que ha dado una explicación sobre la falla que afectó a cientos de miles de usuarios de la banca), Díaz de León reveló que la primera evidencia que tuvo el BdeM de que el sistema financiero estaba siendo objeto de un ciberataque fue el 17 de abril.

Diez días después, el viernes 27 de abril, cuando llegó el momento en que las empresas dispersan por conducto de la banca la nómina de sus empleados, fue muy claro que ya enfrentábamos otro tipo de ataque.

Las cifras finales del monto robado no se ha determinado con claridad, en la medida en que siguen las investigaciones sobre el origen y desarrollo de lo que Díaz de León calificó de “un ataque al sistema financiero.

Con la información disponible hasta ahora, los montos involucrados en envíos irregulares y sujetos a revisión son aproximadamente de 300 millones de pesos, indicó el gobernador.

Esos recursos pertenecen a las cuentas desde las cuales los bancos transfieren recursos de sus clientes de una institución a otra cuando reciben la orden de hacerlo. Por tanto, aseguró el responsable del banco central, los recursos de los clientes en las instituciones financieras están seguros, no estuvieron en peligro y no han sido objeto de ataques.

El Sistema de Pagos Electrónicos Interbancarios (SPEI) permite a bancos, casas de bolsa y otros intermediarios enviar y recibir transferencias de fondos en moneda nacional de una cuenta a otra –sin importar si son de bancos diferentes– prácticamente en tiempo real. Es operado por el Banco de México.

El ataque cibernético fue al software que conecta a algunas instituciones con el SPEI en el Banco de México.

Díaz de León, al responder una pregunta específica, declaró que no existe evidencia de que el ciberataque tuviera como objetivo crear un ambiente de incertidumbre o desestabilización de cara a la elección presidencial.

Quienes realizan estos ataques tienen un objetivo pecuniario, buscan un beneficio económico. Lo que demuestra esto es que la frecuencia, sofisticación y complejidad es creciente, detalló.

Zona de origen

La cifra definitiva sobre el monto sustraído puede variar, una vez que concluya la investigación, explicó. Por ahora está pendiente determinar si el ataque vino de fuera o se originó en el territorio nacional. Tampoco hay información concluyente de la ubicación de las cuentas desde donde fue retirado parte del dinero sustraído a los bancos, detalló.

La cifra de 300 millones de pesos ofrecida anoche por el gobernador Díaz de León contrastó con otra que, por la mañana, dio Luis Robles Miaja, vicepresidente de la Asociación de Bancos de México, quien calculó en 100 millones el monto sustraído por los ciberdelincuentes.

Algunos bancos sí tuvieron algunos pequeños montos que los criminales lograron sacar, pero son cantidades ridículas, nada que ver con lo que se ha manejado (de 300 a 400 millones de pesos), dijo Robles Miaja durante un acto de la calificadora Fitch Ratings.

Consultado sobre la apreciación de Robles Miaja, el gobernador del Banco de México manifestó no estar de acuerdo con calificar de ridícula la cifra sustraída a los bancos en el ataque cibernético del mes pasado.

Con independencia del monto, que no califico, está completamente fuera de lugar ese comentario, porque el ataque vulneró el funcionamiento del sistema, causó preocupación en la gente y afectó a los usuarios. Nosotros lamentamos las afectaciones y tomamos acciones para recuperar la agilidad del sistema con plena seguridad, declaró el gobernador Díaz de León.

Anticipó que el banco central, en el curso de la investigación definirá las sanciones a que se hagan acreedores los intermediarios financieros cuya conexión al SPEI fue vulnerada y que, incluso, puede alcanzar una proporción de su capital, como indica la regulación.