Lo que los bancos deben saber del caso Ursnif

por Nick Viney, Vicepresidente Sénior y Director General, Unidad de Negocios de Partners de Avast

Recientemente, los investigadores del Laboratorio de Amenazas de Avast pudieron obtener información sobre posibles víctimas del malware Ursnif. Ursnif es un malware que existe desde 2007 y se ha especializado en robar información bancaria y de procesadores de pagos, generalmente a través de campañas de correo electrónico maliciosas.

Nuestros investigadores de amenazas pudieron encontrar información bancaria y de pago que había sido robada a las víctimas y trabajaron para transmitir esa información a sus bancos y procesadores de pagos para que esas organizaciones pudieran tomar medidas para proteger a sus clientes y detener sus pérdidas y las de sus clientes. En total, de la información que obtuvimos y transmitimos, nuestros investigadores encontraron más de 100 bancos italianos afectados, información sobre más de 2.200 víctimas individuales e información de más de 1.700 clientes de un solo procesador de pagos.

La mayoría, si no todos, de esos registros representaron alguna pérdida financiera real para esos clientes y sus bancos y procesadores de pagos, y esa información potencialmente representa una gran pérdida financiera. Para los bancos y los procesadores de pagos, también representa pérdidas en términos de recursos invertidos en investigar la información que nuestros equipos les transmitieron y tomar medidas.

Quizás lo más importante a destacar aquí es que probablemente casi ninguno de los clientes sabía que eran víctimas y que su información había sido robada. Si nuestros investigadores no hubieran obtenido esta información y no la hubieran transmitido a los bancos y procesadores de pagos, es probable que las pérdidas hubieran continuado para todos.

Desafortunadamente, aunque esta historia en particular tiene un final relativamente feliz, representa una pequeña victoria en un contexto más amplio de actividad cibernética diaria que eclipsa victorias como estas.

Ursnif, por ejemplo, se ha visto en campañas de correo electrónico malicioso durante años con volúmenes de decenas de miles de mensajes por día. Algunos operadores de malware como los que están detrás de Ursnif en los últimos años han visto el “valor” de usar mensajes de correo electrónico en el idioma nativo para hacer que sus mensajes maliciosos sean más creíbles y, por lo tanto, tengan más probabilidades de éxito. Ursnif, por ejemplo, se ha dirigido a los usuarios bancarios italianos con mensajes en italiano, en su idioma nativo, durante años. Es probable que esta sea la razón por la que encontramos tanta información de bancos italianos entre la información que obtuvimos.

En última instancia, un problema de troyano bancario como este para los clientes es un problema para sus bancos y procesadores de pagos. Ellos son los que incurren y absorben las pérdidas financieras y los costos operativos asociados con la lucha contra el fraude y la protección de sus clientes. Un indicador del impacto del fraude financiero en los clientes y, por lo tanto, en los bancos y procesadores de pagos proviene del Centro de Quejas de Delitos en Internet (IC3) de la Oficina Federal de Investigaciones de los Estados Unidos (FBI). En su Informe de delitos en Internet de 2019, señalan que su Equipo de activos de recuperación (RAT, por sus siglas en inglés), que ayuda con la recuperación de fondos para las víctimas que realizaron transferencias a cuentas nacionales con pretensiones fraudulentas, vio 1.307 incidentes con 384.237.651 dólares en pérdidas. Esta información refleja solamente un país en un año, pero nos ayuda a vislumbrar las pérdidas que estamos viendo.

Esto también sirve como recordatorio de que los pasos proactivos que toman los bancos y los procesadores de pagos para ayudar a sus clientes a no ser víctimas de malware como este pueden ahorrar mucho dinero y tiempo. Como dice el refrán «es mejor prevenir que curar».

Entonces, ¿qué pueden hacer los bancos y los procesadores de pagos como parte de esta «prevención»?

En primer lugar, la educación continua del usuario. Los mensajes de «no haga clic en los enlaces», «no abra los archivos adjuntos» son bien conocidos, pero deben reforzarse continuamente. También alentar a los clientes a usar autenticación de dos factores o de múltiples factores puede ayudar a evitar que el malware como Ursnif tenga éxito.

Pueden y deben considerar educar a sus usuarios no solo diciéndoles lo que no deben hacer, sino mostrándoles la manera correcta de hacer las cosas para su institución, con las herramientas y opciones que pone a su disposición. En mi experiencia, pocas personas, o ninguna, QUIEREN tener malware en su sistema o ser víctimas de un delito cibernético: sucede porque están confundidas, distraídas o inseguras sobre la forma correcta de hacer las cosas. Cuanto más los ayuden a comprender los pasos positivos que pueden y deben tomar, más los empoderan para estar más seguros.

La educación del usuario es importante porque las personas son la primera y última línea de defensa contra el ciberdelito. Pero los bancos también pueden y deben ayudar a las personas a ayudarse mejor a sí mismas con herramientas y soluciones tecnológicas. Como parte de la educación de sus clientes sobre la forma correcta y positiva de realizar compras y operaciones bancarias en línea, también pueden informarles de las herramientas que tienen a su disposición para ayudarlos. Pueden explicar las funciones de seguridad que están presentes en sus computadoras y dispositivos que pueden ayudar y cómo usarlas. Pueden normalizar la idea de que deberían usar software antivirus en todas sus computadoras y dispositivos todo el tiempo. Incluso pueden buscar proporcionarles herramientas adicionales, como antivirus, directamente. Una vez más, la prevención puede conducir a una cura, ya que los antivirus y otras herramientas ayudan a las personas a tomar mejores decisiones y brindan una capa adicional de protección si las personas toman una mala decisión.

Lo más importante es que nuestro trabajo reciente sobre Ursnif nos recuerda que los ciberdelincuentes no se toman descansos. Todos los días, sus clientes se enfrentan a bandejas de entrada llenas de correos electrónicos maliciosos que están a solo unos clics de distancia de darles a los ciberdelincuentes no solo el dinero de los usuarios, pero también el suyo. Eso significa que todos los días, muchas veces al día, necesitan tomar decisiones buenas e inteligentes para eludir esas trampas. Y también significa que todos los días sus clientes pueden utilizar su ayuda para hacer que todas y cada una de esas decisiones sean mejores, más inteligentes y seguras.