En diciembre de 2021, los hackers obtuvieron acceso no autorizado a cuentas de clientes de BDO Unibank a través de un servicio web comprometido y transfirieron el dinero principalmente a cuentas de UnionBank. El National Bureau of Investigation (Oficina Nacional de Investigación) dijo que unos 700 clientes se vieron afectados; se retiraron en efectivo alrededor de P1,2 millones, y el total podría haber superado los P50 millones si las transferencias no hubieran sido marcadas.
En abril de 2022 el Bangko Sentral ng Pilipinas concluyó su investigación y el Monetary Board (Junta Monetaria) aprobó sanciones contra ambos bancos. El BSP no divulgó las penalizaciones, pero el CEO de UnionBank dijo que no hubo multas monetarias — en su lugar, se pidió a los bancos que elevaran su cargo de capital por riesgo operacional; BDO dijo que cumpliría, y el BSP reconoció a BDO por reembolsar a los clientes afectados.
El incidente puso de manifiesto cómo ambos bancos dependían de la monitorización posterior a la transacción en lugar de controles de autenticación y antifraude más sólidos. La identidad 'Mark Nagoyo' utilizada en el esquema se convirtió en Filipinas en un término abreviado para los ataques de robo de identidad contra la banca en línea.
Unas 700 cuentas de BDO afectadas; ~P1,2 M retirados en efectivo con más de P50 M en riesgo. El BSP sancionó a ambos bancos, BDO reembolsó a los clientes y aumentó el cargo de capital por riesgo operacional.
La brecha comenzó en un servicio web comprometido, lo que significa que los controles de sesión y autenticación fallaron antes de que existiera cualquier señal de fraude.
Las transferencias se canalizaron a través de cuentas de UnionBank, por lo que los propios controles de riesgo del banco receptor tampoco detectaron el patrón.
Los bancos se apoyaron en el reembolso y las sanciones regulatorias en lugar de controles en tiempo real que podrían haber detenido un robo a escala de P50 M.
La respuesta del BSP dejó claro que los incidentes cibernéticos son fallos de supervisión, no solo casos penales para el NBI.
Un banco puede ser sancionado por las acciones del atacante: la brecha de diciembre de 2021 solo se detuvo después de las señales de fraude, y los reguladores castigaron a ambos bancos por controles débiles.
BDO reembolsó a los clientes afectados y ambos bancos prometieron reforzar los controles de ciberseguridad, antilavado de dinero y antiterrorismo. Las sanciones no conllevaron una multa monetaria divulgada, pero el mayor cargo de capital por riesgo operacional se convirtió en un costo financiero directo para ambos prestamistas. El NBI y el Department of Justice (Departamento de Justicia) presentaron cargos penales contra las personas detrás de las transferencias, y el episodio impulsó un esfuerzo más amplio por una autenticación de banca electrónica más sólida en Filipinas.
CONSULTA LAS PRUEBAS
Las fuentes
- BSP sanctions BDO, UnionBank over unauthorized access of accounts (press release) Bangko Sentral ng Pilipinas · bsp.gov.ph ·
- BSP slaps sanctions on BDO, UnionBank for hacking incident in Dec. Newsbytes.PH · newsbytes.ph ·
- BSP sanctions BDO, UnionBank over unauthorized access of accounts YugaTech · yugatech.com ·
- Central bank sanctions BDO, UnionBank over online fraud incident BusinessWorld · bworldonline.com ·