El Golpe Digital de Mil Millones: Anatomía del Atraco al Banco Central de Bangladés

Era jueves 4 de febrero de 2016 y el calor húmedo de Dhaka pegaba contra los ventanales del Banco Central. A las 20:45, cuando el personal abandonó los cubículos, tres fragmentos de código durmientes cobraron vida dentro del servidor que alojaba SWIFT Alliance Access. Los intrusos habían pasado treinta días mapeando cada hábito del banco. Sabían que el viernes sería feriado musulmán, que el Año Nuevo chino detendría la correspondencia transnacional y que, durante setenta y dos horas, el banco viviría en un letargo burocrático. Esa ventana era su llave maestra.

Espías en la alfombra electrónica

El ataque no nació de un zero-day sino de un correo anodino con un currículum en apariencia legítimo. Una macro maliciosa sembró un backdoor quirúrgico que sustituyó una biblioteca DLL clave, interceptando y reescribiendo los logs de auditoría. Cada madrugada, el implante replicaba la base de datos SWIFT y la enviaba cifrada a Malasia, donde analistas remotos estudiaban la cadencia operativa, descubriendo que la impresora matricial del tercer piso validaba transferencias mediante papel verde fosforescente: controlarla equivalía a controlar la realidad.

La puerta secreta hacia la Reserva Federal

A las 00:06 del sábado 6 de febrero, treinta y cinco mensajes SWIFT partieron rumbo a la Reserva Federal de Nueva York, solicitando transferir sumas fraccionadas a cuentas en el Rizal Commercial Banking Corporation de Filipinas y a una fundación de Sri Lanka. El total ascendía a novecientos cincuenta y un millones de dólares. Cinco mensajes, por ochenta y un millones, pasaron los filtros iniciales; los demás quedaron en cuarentena. En Dhaka, el malware alteró los balances para que cada transacción apareciera como “pendiente” y saboteó la impresora con un falso atasco.

Sábado de sombras en un banco cerrado

El viernes sagrado vació los pasillos y el feriado chino ralentizó la cadena global de confirmaciones. Dentro del servidor, un cron eliminaba archivos temporales y sobreescribía los logs con datos falsos, mientras los ochenta y un millones avanzaban sin escolta hacia Manila. El asalto demostraba que la ciberdefensa moderna puede colapsar no por falta de tecnología, sino por exceso de confianza en los calendarios.

El error tipográfico que despertó a los titanes

La mañana del domingo, un especialista de Deutsche Bank fijó la vista en una palabra: “Fandation”. La ene donde debía ir una u sembró la duda. Por protocolo, remitió la orden a revisión manual y detuvo otras treinta transferencias que sumaban ochocientos cincuenta y un millones. Ese desliz ortográfico salvó el tesoro bangladesí.

El laberinto de Manila: fichas, casinos y habitaciones sin cámaras

Los ochenta y un millones aterrizaron en la sucursal Júpiter del RCBC, en cuentas abiertas con pasaportes chinos falsos que llevaban meses dormidas. El dinero se convirtió en pesos filipinos y, acto seguido, en fichas de baccarat en los casinos Solaire y Midas. La ley filipina eximía entonces a las casas de juego de reportar transacciones sospechosas: aquella grieta se transformó en autopista para la opacidad. En veinticuatro horas, buena parte del botín había cruzado a Macao y Hong Kong.

Contragolpe diplomático y persecución forense

Mandiant y BAE Systems rastrearon el implante y hallaron coincidencias de código con herramientas del Grupo Lazarus, atribuido a Corea del Norte. La hipótesis de un robo para financiar programas militares sacudió la diplomacia: Estados Unidos emitió órdenes de captura contra desarrolladores norcoreanos, aun sabiendo que la extradición era inviable.

Tras las máscaras: juicios, extradiciones y silencios oficiales

En 2019, la gerente Maia Santos Deguito fue condenada a más de cuarenta años por lavado. Bangladés recuperó treinta y cinco millones en total; el resto se esfumó en criptomonedas, bienes raíces de lujo y sociedades de papel. Ningún cerebro maestro ha pisado un tribunal.

Ecos perpetuos en la geopolítica financiera

El atraco desencadenó el Customer Security Programme de SWIFT y obligó a miles de bancos a segmentar redes, adoptar HSM dedicados y operar centros SOC 24/7. Aun así, los intentos clonados no cesaron: en 2017 un banco vietnamita sufrió un ataque casi idéntico, y en 2018 otro en Chile detectó instrucciones fraudulentas a tiempo.

Lecciones que no cicatrizan

La noche del 4 de febrero enseñó que la seguridad perimetral se desmorona si un atacante domina el tiempo humano. Demostró que la ortografía puede salvar más millones que un firewall y que un fin de semana largo es tan letal como un zero-day. El caso Bangladés marcó un hito: el nacimiento de una era donde los ataques no buscan interrumpir, sino manipular el sistema sin ser detectados, fundiéndose con la burocracia hasta volverse indistinguibles del flujo normal. Esa es, quizás, la amenaza más grande que enfrentamos hoy: la invisibilidad perfecta.