India identificó al grupo “Crafty Falcon” y cuatro herramientas de IA que usa para vaciar cuentas de financieras

La agencia de ciberseguridad de India, CERT-In, nombró al grupo detrás de una ola de ataques con inteligencia artificial contra empresas financieras. Lo llama “Crafty Falcon” y, según un aviso del 4 de noviembre, identificó cuatro herramientas de IA que usa. Investigadores vinculan al menos dos con China, informó Reuters.

El grupo vulneró a financieras que no son bancos, a empresas de tecnología financiera y a plataformas de intercambio de criptomonedas, según el aviso. CERT-In calificó la amenaza de “activa y en curso” y dijo que los atacantes automatizan las intrusiones “a velocidad de máquina”.

Las cuatro herramientas son ARTEX, PentAGI, Cairn y CyberStrikeAI. Según la agencia, todas están disponibles en internet y pueden ejecutar cadenas completas de ataque por su cuenta, con ajustes según la respuesta del sistema atacado, detalló India Today.

Pagos que se mueven con los sistemas de la víctima

El grupo “examina a sus objetivos con inteligencia de máquina” y mueve el dinero usando los propios sistemas de pago y de desembolso de las víctimas, indicó CERT-In. En algunos casos analizó el código de las aplicaciones para fabricar ataques a medida y alteró paquetes de aplicaciones para hacer llamadas no autorizadas.

Antes de las transferencias grandes, los atacantes probaron con movimientos de una rupia (unidad monetaria oficial de la India), según el aviso. También abusaron de interfaces de liquidación de comerciantes y, en las plataformas de criptomonedas, fueron por las claves de las billeteras, de acuerdo con India Today.

Los ataques se concentraron en feriados, fines de semana y otros momentos de poca vigilancia. Algunas empresas que habían corregido fallos tras alertas previas volvieron a ser atacadas porque las reparaciones estaban incompletas.

CERT-In no nombró a las empresas afectadas ni informó cuánto dinero se perdió. Tampoco dijo quién está detrás del grupo ni si cuenta con respaldo de un Estado, y no precisó qué incidentes recientes corresponden a esta campaña.

Los vínculos con China y el caso de Corea del Sur

Según la empresa de ciberseguridad CrowdStrike, ARTEX, una herramienta fabricada en China, se usó contra bancos de Corea del Sur desde fines de septiembre. La firma agregó que un grupo ligado a China la empleó en una campaña de espionaje contra más de 200 organizaciones en al menos 14 países.

Su desarrollador la volvió privada el mes pasado, después de que se la relacionara con los ataques en Corea del Sur. Reuters señaló que India se suma así a la lista de países donde se usaron este tipo de programas contra bancos.

Una serie de incidentes en las últimas semanas

El aviso llega tras varios ataques a bancos y financieras indias. Reuters informó antes, a partir de una denuncia policial, que dos financieras con sede en Mumbai perdieron unos USD 2 millones en más de 700 transferencias instantáneas no autorizadas desde cuentas de ICICI Bank, el tercer banco del país, el 8 y el 9 de octubre.

Según la denuncia, los atacantes comprometieron las interfaces de programación (APIs), los enlaces de software que los bancos usan para enviar instrucciones de desembolso de préstamos a financieras y empresas de tecnología financiera.

El Banco Estatal de la India, el mayor prestamista del país, divulgó la filtración en la web oscura de 3.897 registros de clientes. Spandana Sphoorty Financial informó débitos no autorizados el 1 de noviembre, y AU Small Finance Bank investiga una posible fuga de datos.

CERT-In recomendó vigilancia las 24 horas, más personal, controles más estrictos sobre herramientas de administración en la nube y entornos de prueba expuestos a internet, y períodos de espera para nuevos beneficiarios de transferencias. También pidió vigilar el uso no autorizado de herramientas de seguridad con IA y suponer que los atacantes ya pueden estar dentro de las redes.

Los entes consultados por Reuters, entre ellos CERT-In, el Centro de Coordinación de Cibercrimen de India y el Ministerio de Tecnología, no respondieron de inmediato a los pedidos de comentarios.