Cuando el Virus se Viste de Banco: El Teatro Encubierto de Grandoreiro

Hay virus informáticos que entran como ladrones. Otros entran como políticos. Grandoreiro entra como tu banco. Usa sus mismas palabras, sus mismos colores, sus mismos tiempos. No fuerza la puerta: te hace abrirla voluntariamente.

Una amenaza con identidad regional

Grandoreiro fue descubierto en Brasil en 2016, programado en Delphi. A partir de 2019 comenzó a reportarse su presencia en México, Perú, Argentina, España y Portugal. Los operadores no ejecutaban campañas masivas sin discriminación: analizaban la infraestructura de cada país y las entidades más confiables. En lugar de disfrazarse de bancos internacionales, comenzó a imitar portales reales como el Banco de la Nación Argentina, Scotiabank Chile o BBVA México, con el lenguaje ajustado al dialecto local.

Más que un virus, una plataforma

Su ejecutable supera los 250 MB, lo que dificulta su análisis automatizado. Registra pulsaciones del teclado y capturas de pantalla, simula movimientos del mouse para aparentar uso humano, superpone ventanas falsas idénticas a sitios legítimos, y permite control remoto completo mediante un canal cifrado. Antes de activarse, verifica que el idioma del sistema esté entre sus objetivos, y usa generación dinámica de dominios (DGA) para comunicarse con sus servidores sin depender de rutas fijas.

Cómo entra: guión para cada país

En México, los correos suplantan a la Secretaría de Hacienda o a bancos como Santander. En Perú y Argentina, se disfrazan de citaciones judiciales. En Chile, campañas recientes han usado mensajes falsos de seguridad de BancoEstado o BCI. En todos los casos, el troyano analiza el sistema y solo entonces ejecuta sus módulos.

Ataque progresivo: del robo a la actuación

Primero monitorea la actividad del usuario, identificando patrones y horarios. Luego activa una interfaz falsa que reemplaza visualmente al sitio legítimo, solicitando los datos exactos en el momento en que la víctima está dispuesta a entregarlos. Con la información recopilada, los operadores realizan transferencias o venden el acceso a otros grupos criminales.

Un mapa del daño: cifras y geografías

En México, entre enero y octubre de 2024 se reportaron más de 51.000 ataques confirmados. En España se bloquearon más de 11.000 intentos contra usuarios de Bankinter, Cecabank y Bankia. A nivel global, se ha confirmado presencia en al menos 1.700 entidades financieras y 276 plataformas de criptomonedas.

El modelo criminal: de virus a servicio

Grandoreiro opera bajo el modelo de Malware-as-a-Service: grupos criminales secundarios, sin conocimiento técnico avanzado, pueden pagar por acceder al troyano y recibir instrucciones para ejecutar campañas personalizadas. En el mercado negro, el acceso a una campaña puede costar entre 500 y 5.000 dólares mensuales.

Persecución y resiliencia

En marzo de 2024, INTERPOL anunció la detención de cinco operadores clave en Brasil, con apoyo de Europol y la Guardia Civil española. Pero las nuevas campañas ya no dependen exclusivamente de esos operadores: grupos afiliados en Colombia, México y Europa del Este han replicado su funcionamiento, con código modificado para evitar las técnicas de detección conocidas tras las detenciones.

Un lenguaje digital que aprendió a engañar

Grandoreiro no gana porque sea invisible, sino porque parece cotidiano. En América Latina, aún existen brechas de concientización, infraestructura y colaboración que permiten que este tipo de operaciones prosperen durante años. No necesita forzar el acceso a un sistema. Solo necesita imitar con precisión algo en lo que el usuario ya confía.