Opinión
OSAKA– El 14 de octubre, IwaiCosmo Securities, con sede en Osaka, sufrió una vulneración de seguridad en la que se ejecutaron órdenes de compra y venta no autorizadas directamente en las cuentas de clientes minoristas. Los registros del sistema revelaron que se realizaron órdenes en siete cuentas de clientes, y que las operaciones se ejecutaron con éxito en cinco de ellas.
También se expusieron datos personales de 4975 personas, pero eso está resultando ser una mera anécdota en comparación con el problema principal.
IwaiCosmo y su proveedor de software, TradeWorks, con sede en Tokio, confirmaron que no se robaron ni utilizaron credenciales de acceso ni contraseñas de los clientes. En cambio, los atacantes explotaron una vulnerabilidad de configuración crítica en las funciones administrativas y de mantenimiento de la infraestructura de backend de TradeWorks.
Ideas que van más allá del titular.
Suscríbete al boletín de Epoch Opinión y recibe cada semana a los comentaristas que te llevan más allá de los titulares.
El experto en ciberseguridad y profesor emérito Masakatsu Morii, de la Universidad de Kobe, expresó su alarma ante este suceso. "Nunca había oído hablar de algo así en Japón. Se trata de un ataque de una dimensión completamente distinta a la filtración de información personal".
Para comprender por qué los expertos en ciberseguridad consideran el incidente de IwaiCosmo un momento decisivo para la infraestructura financiera, es necesario contrastarlo con las técnicas habituales de ciberdelincuencia.
En los ataques informáticos a entidades financieras minoristas, la táctica habitual consiste en que los atacantes recurran a estrategias de robo de cuentas. El primer paso implica la obtención de credenciales de usuario individuales, como nombres de usuario, contraseñas, códigos de autenticación de dos factores por SMS o cookies de sesión. Generalmente, lo consiguen mediante phishing, campañas de malware o bases de datos de relleno de credenciales.
El segundo paso ocurre cuando el atacante suplanta la identidad del cliente e inicia sesión en los portales de atención al cliente para ejecutar transacciones o transferencias no autorizadas.
Suplantación de identidad sistémica
Lo ocurrido en IwaiCosmo eludió por completo este modelo de amenazas. Las contraseñas y claves de acceso de los clientes no influyeron en absoluto, y la higiene de las cuentas individuales de las víctimas fue irrelevante.El adversario desconocido en este caso nunca se molestó en comprometer las capas de autenticación orientadas al cliente, sino que se infiltró en los motores de mantenimiento y enrutamiento de pedidos del back-end, gestionados por un proveedor de software que trabaja con IwaiCosmo.
Vectores de amenazas internas
Si bien ya se han dado casos de importantes ciberataques financieros dirigidos a ordenadores internos de bancos o canales de redes privadas, el caso de IwaiCosmo presenta diferencias sustanciales.Por ejemplo, durante el robo al Banco de Bangladesh en 2016, los atacantes utilizaron software malicioso para infiltrarse en los sistemas internos del banco y robar las credenciales de la red SWIFT, el sistema de mensajería global que utilizan los bancos para enviarse dinero entre sí.
Los hackers se hicieron pasar por empleados bancarios autorizados, enviaron solicitudes de transferencia falsas y lograron robar casi 81 millones de dólares de la cuenta del banco central en el Banco de la Reserva Federal de Nueva York. En este caso, sin embargo, las contraseñas de los usuarios también fueron clave.
En el caso de IwaiCosmo, los hackers accedieron al sistema de mantenimiento de una empresa de software externa e insertaron automáticamente operaciones no autorizadas en las cuentas de clientes habituales. Para realizar estas operaciones, nunca necesitaron el nombre de usuario ni la contraseña de IwaiCosmo.
Modelos de integridad estructural y confianza
En 2020, la CISA emitió una alerta sobre FASTCash 2.0, un ataque en el que Corea del Norte atacó bancos de varios países para realizar transferencias internacionales de dinero fraudulentas y retiros de efectivo en cajeros automáticos. FASTCash operaba comprometiendo el servidor de la aplicación de conmutación (servidor de procesamiento de pagos) de un banco e inyectando malware que interceptaba los mensajes de solicitud financiera.Cuando una solicitud de retiro de efectivo llegaba al servidor, el malware generaba automáticamente un código de respuesta falso que aprobaba la solicitud sin verificar los saldos de las cuentas ni las credenciales del usuario.
Sistemas comunes
Los bancos y las casas de bolsa suelen depender de las mismas empresas de software externas. El robo de cuentas afecta a cuentas minoristas aisladas hasta que se controla. Un motor de transacciones central comprometido, como FASTCash 2.0, podría entregar las claves operativas subyacentes a un adversario.Si este vector de vulnerabilidad estructural se aplica a los entornos bancarios centrales o a las redes de compensación automatizadas (plataformas de transacciones), los ciberdelincuentes podrían manipular los libros de contabilidad por partida doble, alterar los saldos o desviar transferencias bancarias institucionales a gran escala sin que se activen los controles a nivel del consumidor para impedirlo.
Como se vio con la crisis de las hipotecas subprime de 2008 o la crisis de las cajas de ahorro y préstamo de la década de 1980, un fallo o una deficiencia fundamental de varios proveedores, independientemente del motivo, tiene el poder de poner en peligro una parte mucho mayor del sistema financiero.
"En esta ocasión, el incidente involucró a una empresa de valores", dijo Morii, "pero es el tipo de suceso que suscita preocupación, ya que los atacantes podrían, en algunos casos, vulnerar el sistema de un banco y mover fondos bajo su control". Respecto a la probabilidad de que esto ocurra, Morii afirmó: "Es difícil decir que la posibilidad sea nula".
Las opiniones expresadas en este artículo son propias del autor y no necesariamente reflejan las opiniones de The Epoch Times.
