Un robo bancario incruento que sustrajo más de 45 millones de dólares de cajeros automáticos ha dejado impresionados a expertos por la avanzada técnica de los timadores que lo efectuaron.
Para el robo, un pequeño grupo de hábiles ciberpiratas penetró en los sistemas bancarios, borró los límites de retiro a tarjetas de débito prepagadas y robó números de cuenta.
Luego, sus cómplices de a pie usaron dispositivos portátiles para cambiar la información de bandas magnéticas de tarjetas diversas, desde algunas utilizadas para abrir puertas de hotel hasta tarjetas de crédito o débito vencidas.
Los fiscales dijeron que el robo fue realizado por una red delictiva en 27 países, desde Canadá hasta Rusia.
Para ello, los hackers entraron en archivos informáticos de varias compañías de procesamiento de tarjetas de crédito, primero en la India y luego en Estados Unidos. Pero no sólo tomaron información, sino que elevaron el límite de tarjetas de débito prepagadas que mantenían en reserva en dos grandes bancos.
«Es escalofriante si lo piensas. Cambiaron los saldos de las cuentas. Eso es como el santo grial para un ladrón», dijo Chris Wysopal, cofundador de la compañía de seguridad Veracode.
El siguiente paso fue más sencillo.
Los cómplices del ardid en 27 países pasaron tarjetas de todo tipo con banda magnética por codificadores magnéticos, que se compran fácilmente por internet por menos de 300 dólares. Esos dispositivos permiten a los usuarios cambiar información de las bandas magnéticas o escribir en nuevas simplemente haciéndolas pasar.
En este caso, las bandas fueron reescritas con información de los hackers. Eso permitió a los ladrones crear tarjetas de débito prepagadas con cantidades ilimitadas de dinero.
En los días convenidos, los ladrones cargados con tarjetas y números de identificación personal visitaron cajeros automáticos uno tras otro para retirar el dinero, a veces el monto máximo que el cajero permitía en una sola transacción: 800 dólares.
En diciembre trabajaron por dos horas y media y obtuvieron 5 millones de dólares en diversas partes del mundo con cerca de 4.500 transacciones. Dos meses después, atacaron por 10 horas y recolectaron 40 millones en 36 mil transacciones.
Los ladrones de a pie se quedaron con una parte del dinero pero enviaron el mayor monto a los organizadores mediante transferencias electrónicas y a veces en persona, dijeron fiscales.
«Había obviamente muchas mentes maestras detrás de esta irrupción, y además había peones, ‘mulas’. Son totalmente explotables», dijo Phyllis Scheck, vicepresidente de la firma de seguridad McAfee.
Scheck estaba impresionada por la coreografía.
«Lo ejecutaron con diligencia. De entrada por salida», dijo.
A fin de cuentas, las víctimas no fueron individuos, sino dos bancos: Rakbank en Emiratos Árabes Unidos y el Banco de Mascate, en Omán, cuyo procesador de tarjetas fue hackeado, dijeron los fiscales.
Las investigaciones continuarán y se han hecho arrestos en diversos países, pero los fiscales de Nueva York dijeron no tener detalles. Agregaron, sin embargo, que era posible que se hicieran más arrestos en Estados Unidos.