Ataque a cuentas bancarias alemanas: siete detenidos entre Alemania, Brasil y Europa

Siete detenidos por un fraude de 30 millones de euros

Las autoridades alemanas y brasileñas anunciaron recientemente la detención de siete personas relacionadas con un ataque que, a finales de 2023, habría sustraído alrededor de 30 millones de euros de cuentas bancarias de usuarios alemanes.

La Policía Federal alemana, la BKA, informó de la detención de tres sospechosos en Europa. Los cargos están relacionados con un fraude contra clientes de servicios de banca en línea. Los procedimientos judiciales se iniciarán en España y Bulgaria, con la participación de las autoridades locales y la Fiscalía de Fráncfort.

En Brasil, la Policía Federal detuvo a otras cuatro personas en el marco de la Operação Klonen, también denominada Operation Clone. La operación llevó a ejecutar 21 órdenes de registro y confiscación en distintos puntos del país.

El botín estimado asciende a unos 30 millones de euros, equivalentes a 34,7 millones de dólares. La cifra refleja la dimensión económica del ataque, aunque no se ha informado de cuánto dinero se ha recuperado.

El ataque se centró en la cadena de pagos

Según la reconstrucción de la BKA, los atacantes actuaron durante cuatro días en noviembre de 2023. En ese periodo habrían realizado numerosos retiros no autorizados de cuentas de usuarios alemanes de servicios de banca en línea.

El vector explotado habría sido una vulnerabilidad presente en un proveedor de pagos. No se sabe qué empresa prestaba el servicio ni qué componente técnico era vulnerable. Las autoridades no han publicado información sobre el código, el método utilizado para eludir la autenticación, los sistemas comprometidos o las herramientas empleadas por los atacantes.

Esta distinción es relevante. El incidente no se describe como un simple robo de credenciales mediante phishing, sino como un ataque contra un elemento de la cadena encargada de gestionar los pagos. Una debilidad en ese nivel puede permitir atacar a varios clientes desde un único punto de acceso, incluso cuando los sistemas del banco no están comprometidos directamente.

Las autoridades brasileñas añadieron un elemento operativo: el uso de tarjetas de pago clonadas. No se ha aclarado si las tarjetas se utilizaron para retirar directamente el dinero, transferirlo entre cuentas o realizar compras que posteriormente se convirtieron en efectivo.

El banco no ha sido identificado oficialmente

Ninguna de las fuerzas de seguridad ha identificado públicamente al banco afectado. Sin embargo, medios alemanes y brasileños han relacionado la investigación con Commerzbank.

El banco confirmó a finales de 2023 un ataque por valor de 30 millones de euros y declaró que los clientes no sufrirían pérdidas. No se han ofrecido de inmediato más comentarios sobre la nueva fase de la investigación.

La falta de una identificación oficial deja abiertas varias cuestiones: no se sabe qué proveedor de pagos concreto estuvo implicado, qué sistemas se utilizaron para autorizar los retiros ni si el incidente afectó a una sola infraestructura o a varios intermediarios.

Tampoco se han hecho públicas las versiones del software implicado. Por tanto, no es posible asociar el incidente con una versión específica, un boletín de seguridad o un identificador CVE.

El dinero habría pasado por varios países

Tras los retiros, el dinero habría sido transferido y blanqueado mediante redes activas en Brasil y en cuatro países europeos. La distribución geográfica de las actividades requirió la coordinación entre las fuerzas policiales y fiscalías de varios Estados.

Los tres sospechosos detenidos en Europa serán procesados en España y Bulgaria. En la investigación también colaboraron las autoridades españolas y búlgaras, además de la Fiscalía de Fráncfort. En Brasil, la operación se centró tanto en las personas implicadas como en los bienes que podrían haberse adquirido con los ingresos del fraude.

Los tribunales brasileños ordenaron incautar activos financieros, vehículos e inmuebles por un valor superior a 20 millones de dólares. La incautación no equivale a la recuperación definitiva de los fondos: los bienes deberán evaluarse en el marco de los procedimientos judiciales y de las posibles decisiones de confiscación.

La investigación también reveló posibles vínculos con la política local. Uno de los individuos identificados por los investigadores era candidato a un cargo electivo en 2024 y habría utilizado parte de los ingresos ilícitos para financiar la campaña. Medios locales lo describieron como candidato al ayuntamiento de Río de Janeiro, sin revelar su nombre.

Durante los registros también se incautó una impresora 3D que supuestamente se utilizaba para fabricar armas. El hallazgo amplía la investigación más allá del fraude bancario y el blanqueo de capitales, pero por sí solo no demuestra una conexión operativa entre la fabricación de armas y el ataque a las cuentas.

Qué pueden hacer los bancos y los clientes

La información disponible no señala parches, actualizaciones ni workarounds públicos para la vulnerabilidad del proveedor de pagos. Por tanto, no es posible recomendar a los usuarios una versión concreta que deban instalar ni una configuración que deban modificar.

Para los clientes de servicios de banca en línea, las medidas más concretas siguen siendo revisar los extractos bancarios y las notificaciones de pago, especialmente durante el periodo en que se produjeron los retiros. Los movimientos no reconocidos, las nuevas tarjetas emitidas sin solicitud o los accesos anómalos deben notificarse inmediatamente al banco.

Las entidades financieras deberían revisar los controles aplicados a los proveedores externos que participan en la autorización y ejecución de los pagos. En un ataque a la cadena de suministro, la protección del banco no es suficiente si un componente intermedio puede generar o validar operaciones fraudulentas.

Entre las comprobaciones prioritarias se encuentran la separación de privilegios, la supervisión de retiros anómalos, los límites dinámicos para las transacciones y la correlación entre accesos, dispositivos, tarjetas y datos de los beneficiarios. Sin embargo, el informe público no permite determinar cuáles de estos controles fallaron en el incidente.

Una investigación aún sin detalles técnicos

Las detenciones y las incautaciones demuestran que la investigación ha identificado una red transnacional, pero todavía no aclaran por completo la dinámica de la intrusión. Siguen sin conocerse el nombre del proveedor de pagos, la vulnerabilidad explotada, el método utilizado para clonar las tarjetas y la cantidad recuperada.

Tampoco consta que esta vulnerabilidad se haya incluido en el catálogo Known Exploited Vulnerabilities (KEV) de la CISA. Por tanto, en este caso no hay una fecha de inclusión ni un plazo de remediación asociado al catálogo.

Por ahora, el caso se trata principalmente como una investigación judicial sobre fraude, blanqueo de capitales y transferencias internacionales de dinero. La reconstrucción técnica del ataque dependerá de las próximas comunicaciones de las autoridades, de la documentación procesal y de cualquier información que publiquen el banco o el proveedor implicado.