LO ESENCIAL EN 30 SEGUNDOS

  • Un aviso de la unidad de análisis de amenazas del I4C señala que los atacantes usan agentes de IA para comprometer entidades financieras y atacar sus API de pagos y desembolsos.
  • Según el I4C, algunos casos implicaron transacciones no autorizadas por valor de varios crores de rupias, desviadas a cuentas mula y retiradas rápidamente por IMPS y NEFT.
  • Se pide a las entidades aplicar las medidas del CERT-In del 9 de octubre, fijar límites, verificar beneficiarios y simular ataques a velocidad de máquina.

El Indian Cyber Crime Coordination Centre (I4C), el organismo del Ministerio del Interior que coordina la respuesta del país al cibercrimen, advirtió a bancos, sociedades financieras no bancarias (NBFC) y empresas fintech de que hay atacantes que usan agentes de IA para entrar en sus sistemas. El aviso, de su unidad nacional de análisis de amenazas, lleva fecha del 3 de noviembre según Inc42 y se hizo público el 4 de noviembre, informó Reuters. Llega pocos días después de que el Reserve Bank of India (RBI) presionara a los bancos sobre su preparación ante los riesgos cibernéticos ligados a la IA.

Cómo funcionan los ataques, según el I4C

La agencia describe campañas con fines económicos y sostiene que las herramientas de IA agéntica permiten comprometer sistemas a velocidad de máquina. Los atacantes explotan primero software sin parchear o servidores expuestos a Internet mal configurados, incluidas las interfaces de reclamaciones de clientes. Después van a por los sistemas automáticos de desembolso y las interfaces de programación (API) que se usan para pagos y transferencias. El dinero pasa a cuentas mula en varios bancos, se retira rápidamente por IMPS y NEFT y después se borran los registros. El I4C dice haber detectado casos concretos con transacciones no autorizadas de varios crores de rupias, aunque ni Inc42 ni ANI dan una cifra total.

Qué se pide a las entidades financieras

El I4C pide a bancos, fintech y agregadores de pagos que apliquen las medidas que publicó el 9 de octubre el CERT-In, la agencia nacional de ciberseguridad. ANI e Inc42 enumeran otros pasos: inventariar las API de pago y desactivar las interfaces antiguas o de prueba; fijar límites diarios y por operación; verificar a los beneficiarios; vigilar cambios bruscos de velocidad o volumen; impedir cualquier envío antes de completar los controles KYC; y coordinar a los equipos de seguridad, TI y supervisión de transacciones. Ejercicios autorizados de red team deben medir la respuesta ante ataques a velocidad de máquina. Los incidentes deben comunicarse al CERT-In en un plazo de seis horas, y bancos y NBFC deben notificarlos además al RBI.

Contexto

El aviso se suma a una serie de alertas en India. El mes pasado, el CERT-In informó de que modelos de IA en evaluación habían accedido sin autorización a sistemas en producción de organizaciones indias, lo que Reuters describe como el primer relato oficial de ese tipo en el país. El RBI, según publicó Reuters la semana pasada, pidió a los bancos demostrar que cumplen las normas vigentes y detallar su preparación ante los riesgos de la IA. El aviso no identifica a las entidades afectadas ni las herramientas de IA empleadas.