Brian Krebs, de la firma de seguridad Krebs on Security, asegura haber obtenido un documento confidencial emitido por el FBI dirigido a diversas instituciones bancarias, el cual tenía como objetivo emitir una alerta ante un posible ataque global a cajeros automáticos para robar millones de dólares.
Según la información, el documento fue enviado el pasado viernes 10 de agosto y en él se advierte "que en los próximos días habrá una ejecución global dirigida a cajeros automáticos por parte de hackers", donde se explotaría una recién descubierta brecha de seguridad en un emisor de tarjetas no especificado.
Una brecha que permitiría habilitar las "operaciones ilimitadas" en tarjetas
El documento menciona que "el FBI obtuvo reportes que indican que un grupo de hackers planea llevar a cabo un ataque basado en un esquema de retiro de efectivo en cajero automático en los próximos días, el cual probablemente esté asociado con una brecha de seguridad desconocida dentro de un emisor de la tarjeta, lo que permitiría explotar algo comúnmente denominado 'operación ilimitada'".
La 'operación ilimitada', como su nombre lo indica, permite que un usuario de tarjetas de crédito pueda realizar compras y retirar dinero de cajeros automáticos las veces que quiera y sin límites establecidos. Esta 'operación ilimitada' se activa por medio de un malware que permite tener acceso a la información de las tarjetas y a las redes los bancos.
Una vez dentro, los atacantes pueden desactivar los controles de fraude, obtener los números de tarjetas de crédito, el acceso para modificar los límites de retiro en los cajeros automáticos y los saldos de las cuentas, lo que les permitiría vaciar los cajeros con sólo un par de operaciones.
Al tener la información de las tarjetas, los hackers también podrían clonarlas por medio de la banda magnética en tarjetas reutilizables o desechables. Según el FBI, el plan sería atacar durante un fin de semana, que es cuando los bancos están cerrados, y realizar los retiros y compras de manera coordinada durante un lapso de tiempo predeterminado en todo el mundo, lo que permitiría dar un golpe certero durante un corto periodo de tiempo para posteriormente desaparecer con el dinero.
Este modelo de ataque no es nuevo, en 2016 y 2017 se presentaron robots bajo este esquema donde se robaron más de 2,4 millones de dólares. El común denominador aquí fue que se trató de instituciones bancarias "pequeñas", las cuales no suelen invertir grandes sumas en ciberseguridad y muchas veces sus vulnerabilidades provienen de terceros contratados para tareas de seguridad.
El FBI alerta que esto podría ser el inicio de cada más ataques de este tipo, por lo que pide a las instituciones bancarias que habiliten nuevas medidas de seguridad, refuercen las contraseñas de sus usuarios y activen el uso de la autenticación de dos pasos vía token físico. Y cierran mencionando que "esta información se proporciona con el fin de ayudar a los administradores de sistemas a protegerse de las acciones persistentes de los delincuentes cibernéticos".
Ver 14 comentarios