Hace unos días se dio una alerta en redes sociales sobre una posible filtración de datos a causa de un supuesto “hackeo” al Banco de la Nación, la entidad bancaria del Estado donde miles de peruanos son clientes, sobre todo trabajadores del sector público y adultos mayores que reciben sus pensiones.
Se había advertido que se estarían vendiendo en foros clandestinos de internet paquetes de “datos frescos” que pertenecerían a clientes del banco, “con más de 60 mil registros que incluyen nombres, correos electrónicos y números de identificación”, señalaba la publicación en Twitter.
Si bien se alertaba que los datos podrían poner en riesgo el dinero de los clientes y que estaban “listos para ser utilizados en fraudes, estafas, phishing y validación de identidad”, el Banco de la Nación se ha pronunciado a pocos días de conocerse esta supuesta filtración: “Ante recientes publicaciones en redes sociales, el Banco de la Nación informa que, tras un riguroso análisis realizado por nuestros equipos de ciberseguridad, se confirma que no se han detectado vulnerabilidades que expongan información de nuestros clientes”.
La supuesta filtración de datos
Según los datos de la supuesta filtración de datos, se habrían comprometido 60 mil registros del Banco de la Nación del Perú, lo que significaban que se habían obtenido paquetes de datos de clientes del banco y se estaban vendiendo en foros clandestinos.
Estos incluirían datos e información como nombres completos, correos electrónicos, números de identificación (DNI) y otros. Su uso potencial sería para cometer cibercrimenes, como fraude bancario. estafas telefónicas y phishing, y validación y verificación de identidad (KYC). Es decir, habría riesgo de fraude financiero y suplantación de identidad a gran escala, que afectaría a clientes y su dinero, así como la sola exposición de datos sensibles de clientes bancarios del sector público, y la violación de la privacidad y posibles repercusiones legales para las entidades involucradas
Por eso, en Twitter, las mismas cuentas que revelaban esto instaban a verificar los accesos internos en el Banco de la Nación y auditar posibles filtraciones, así como notificar a las autoridades competentes y poner en marcha acciones de protección de datos, y fortalecer la seguridad de sistemas bancarios con medidas de cifrado y autenticación multifactor (MFA). También se recomendaba iniciar campañas de concientización para prevenir fraudes basados en esta supuesta filtración.
Más allá de la vulneración en los sistemas
¿El Banco de la Nación ha desmentido la filtración de los 60 mil datos de clientes? Según su comunicado “no se han detectado vulnerabilidades que expongan información de nuestros clientes”, lo que puede entenderse como que no se han filtrado datos realmente, pero no se ha rechazado la premisa de que esos datos sí sean o no de clientes del banco, o no hayan sido obtenidos de otros modos.
Lo que el Banco de la Nación ha señalado es que se ha realizado un “riguroso análisis” por los equipos de ciberseguridad. Es decir, el sistema del Banco no tendría vulnerabilidades para que un “hacker” pueda sacar datos de clientes del banco, pero del lado del sistema de seguridad.
Pero recientemente la empresa Marsh, el corredor de seguros y asesor de riesgos líder en el mundo, alertó que un grupo cibercriminal en América Latina, que atacaba al sector retail, no usaba necesariamente herramientas para impactar en la seguridad digital de los sistemas, sino “técnicas de ingeniería social”, por lo que no requerían vulnerar sistemas y “solo persuadir a una persona para obtener acceso”.
“En más del 80% de los ataques analizados en los últimos 3 años hubo algún componente de manipulación directa a colaboradores. Ya no se trata de malware sofisticado, sino de llamadas falsas y correos cuidadosamente redactados que logran entrar donde la tecnología no alcanza”, afirma Marsh.
A pesar de esto, el Banco de la Nación solo ha informado que por el lado de la barrera digital que tienen contra el filtrado de datos, no se ha detectado vulneraciones y que “continuará trabajando con transparencia y responsabilidad, para proteger y garantizar la seguridad de la información de quienes han confiado en nuestros servicios. Asimismo, recomendamos a nuestros clientes proteger sus datos personales y mantenerse informados mediante nuestros canales oficiales de comunicación”.