El organismo público que coordina la respuesta a incidentes informáticos en India publicó el pasado miércoles un aviso que bautiza como Crafty Falcon al grupo detrás de la tanda de asaltos automatizados con inteligencia artificial contra entidades financieras del país.
El documento enumera además los programas empleados en la campaña, dos de ellos relacionados con China por firmas de seguridad.
Entre las víctimas, el CERT-In (siglas del equipo gubernamental que atiende las emergencias informáticas indias) sitúa a prestamistas no bancarios, compañías de tecnología financiera y plataformas de intercambio de criptomonedas. La agencia no aclara quién dirige al grupo ni desde qué territorio trabaja.
La amenaza sigue abierta: se describe como «activa y continua». Los asaltantes se apoyan en modelos de IA de acceso público para encadenar los robos «a velocidad de máquina», como comenta Reuters.
Un arsenal que estaba al alcance de cualquiera
El listado de herramientas incluye ARTEX, PentAGI, Cairn y CyberStrikeAI. Dos de esos cuatro programas, como mínimo, aparecen ligados a China en el trabajo de investigadores del sector.
El rastro de ARTEX es el más documentado. La compañía de seguridad CrowdStrike sitúa su origen en China y su uso contra entidades de Corea del Sur desde los últimos días de septiembre. La misma firma atribuye a un grupo con lazos chinos una operación de espionaje con esa herramienta que alcanzó a más de 200 organizaciones repartidas por al menos 14 países.
En ningún momento el aviso sostiene que detrás haya un Estado. Subraya, eso sí, que los programas citados circulaban gratis por internet. Su desarrollador cerró el acceso a ARTEX el mes pasado, cuando se conoció su papel en los ataques surcoreanos.
Cuándo se concentran los golpes
El grupo «observa a sus objetivos con inteligencia artificial», señala el CERT-In, y saca el dinero a través de los propios canales de pago y desembolso de las compañías asaltadas.
Los golpes se concentraron en festivos, fines de semana y otras franjas con poca vigilancia, lo que retrasó su detección. Varias empresas alertadas en episodios anteriores volvieron a caer: habían aplicado correcciones incompletas.
Dos millones de dólares en 48 horas
Una denuncia policial adelantada por Reuters ilustra el impacto. Dos financieras con sede en Bombay se quedaron sin unos 2 millones de dólares los días 8 y 9 de octubre, repartidos en más de 700 órdenes de transferencia inmediata, no autorizados, que salieron de cuentas abiertas en ICICI Bank. El escrito apunta a la manipulación de las interfaces de programación (API) que enlazan a los bancos con financieras y fintech para ordenar la entrega de préstamos.
No es el único episodio reciente. El Banco Estatal de la India, el mayor del mercado, admitió el mes pasado que 3.897 fichas de clientes circulaban por la dark web. Spandana Sphoorty Financial detectó el 1 de noviembre cargos no consentidos en una de sus cuentas y AU Small Finance Bank revisa una posible fuga de información de usuarios.
Qué parte de todo eso corresponde a Crafty Falcon sigue sin aclararse: el aviso no vincula incidentes concretos, no identifica a las empresas golpeadas ni cifra lo sustraído. El CERT-In, el centro indio de coordinación contra el cibercrimen y el ministerio de Tecnologías de la Información no contestaron a las peticiones de comentarios. El Banco de la Reserva de la India ya había apretado los controles de ciberseguridad ante la sucesión de incidentes.
