Del Bulo al cajero. Cuando el Pánico es el vector de ataque

Firma Néstor Santolaya Bea, cybersecurity product expert de Auriga

En la era digital la desinformación se propaga más rápido que cualquier virus, ya sea biológico o digital. Como ejemplo reciente, valga el rumor que circula sobre el cierre de cajeros automáticos en Pakistán supuestamente debido a un ransomware llamado «Dance of the Hillary«, que afirma falsamente que un software malicioso llamado «Tasksche.exe» está deshabilitando la infraestructura bancaria en todo el país.

Si bien es técnicamente falso, las consecuencias de un bulo de este tipo pueden ser peligrosamente reales. Porque estos rumores, incluso siendo falsos, pueden sembrar el pánico y, en un caso como este de Pakistán, provocar retiradas masivas de los cajeros automáticos, lo que no solo genera presión sobre el sistema bancario, sino que, además paradójicamente, aumenta la exposición del público a los mismos riesgos que intentan evitar.

Y entonces surge la escalofriante pregunta: ¿cuál sería el mejor escenario para los ciberdelincuentes que intentan realizar una campaña de robo de datos confidenciales en cajeros automáticos? Respuesta: la histeria colectiva que lleve a miles de personas, desesperadas por retirar dinero, directamente a esos cajeros infectados.

1984 de Orwell y la manipulación del comportamiento

En muchos sentidos, los bulos actuales funcionan de forma similar al concepto del neolenguaje doblepensar de la novela 1984 de Orwell, donde los ciudadanos se veían obligados a mantener dos creencias contradictorias, que junto a la presencia constante de un enemigo indefinido, mantenía a la gente en un estado de obediencia nerviosa.

Una mentira, por absurda que sea, repetida a través de redes sociales, reenvíos de WhatsApp o mensajes de voz, comienza a moldear la realidad y a llevarnos, en la práctica, a aceptar como verdadero lo que es claramente falso: «Sé que probablemente sea falso, pero ¿y si es cierto?».

Igual que en la distopía de Orwell, el miedo de la población se convierte en una herramienta de control. Excepto que, ahora, el control no proviene de un gobierno totalitario sino que puede venir de un grupo de mensajería, una captura de pantalla falsa o un video deepfake, especialmente en la inminente era de la Inteligencia Artificial. Hoy los ciberdelincuentes tienen las herramientas necesarias para hackear tanto la infraestructura, como la percepción pública, maximizando el resultado de sus ataques.

El miedo y el uso masivo de los cajeros automáticos

El vínculo entre el miedo y el comportamiento financiero de las masas no es teórico. La historia ofrece varios ejemplos en los que ese miedo —ya sea derivado de desinformación, de cambios abruptos en las políticas o de inestabilidad económica— ha provocado grandes retiradas de dinero de cajeros automáticos, perturbando los sistemas financieros y la confianza pública. Estos son algunos ejemplos muy reales:

Apagón Ibérico (2025): El apagón a gran escala que afectó partes de España y Portugal generó rumores de que la causa del apagón había sido debida a un ciberataque. A pesar de la falta de pruebas concretas y debido a que durante el periodo de oscuridad las únicas transacciones disponibles eran las que se pudieran realizar en efectivo, en cuanto se reestableción el servicio, la población acudió en masa a los cajeros automáticos, provocando que, en los días posteriores, las personas formaran largas colas para disponer de efectivo.

• Devaluación en India (2016): El 8 de noviembre de 2016, el gobierno indio anunció que los billetes de 500 y 1000 rupias, que constituían aproximadamente el 86 % del efectivo en circulación del país, pasaban a ser nulos de forma inmediata. Esta repentina medida, destinada a combatir el dinero negro y la falsificación de moneda, provocó el caos. Los cajeros automáticos cerraron o se saturaron, lo que provocó largas colas y escasez de efectivo en todo el país. La falta de preparación y de una comunicación transparente intensificaron el pánico colectivo.
• Crisis bancaria de Chipre (2013): En marzo de 2013, como parte de un rescate de 10.000 millones de euros, Chipre anunció un gravamen único sobre los depósitos bancarios, que incluía un impuesto del 6,75 % para depósitos inferiores a 100.000 euros, y del 9,9 % para importes superiores. Esta medida sin precedentes provocó la indignación pública inmediata y una avalancha de personas que acudieron en masa a los cajeros automáticos, muchos de los cuales se quedaron sin efectivo durante el fin de semana. Los bancos tuvieron que imponer límites a las retiradas de efectivo y el gobierno implementó controles de capital para evitar un colapso financiero total.
• El «Corralito» de Argentina (2001): Ante una grave crisis económica, el gobierno argentino impuso estrictas restricciones bancarias en diciembre de 2001, limitando las retiradas de efectivo a 250 dólares semanales para evitar una desbandada bancaria. A pesar de estas medidas se desató el pánico de la ciudadanía, con protestas masivas y una pérdida de confianza en el sistema bancario. Las restricciones, conocidas como el «corralito», se mantuvieron vigentes durante varios meses, provocando una importante agitación económica y social.

Cuando los bulos se convierten en vectores de ataque

Los bulos relacionados con los cajeros automáticos, incluso siendo falsos, no son inofensivos. Pueden servir como vectores de ataque en sí mismos utilizando la psicología en lugar del código.

Una campaña de desinformación oportuna podría:

• Dirigir a las personas a ubicaciones específicas con cajeros infectados o comprometidos, especialmente si los atacantes han preinstalado dispositivos de tipo skimming o malware capaz de robar los datos confidenciales de los usuarios en los cajeros automáticos de una zona objetivo.
• Utilizar el miedo para fomentar el uso innecesario de los cajeros automáticos, incluso entre quienes de otro modo no habrían retirado efectivo. En este contexto, la desinformación se convierte en el detonante ideal para maximizar la eficacia de los ataques de obtención de datos, pudiendo capturar un gran volumen de datos privados de tarjetas y códigos PIN en un corto periodo de tiempo.
• Agotar las reservas de efectivo de los cajeros automáticos, lo que afecta a las pequeñas empresas y las economías locales.
• Incrementar la frecuencia de las operaciones de reposición de efectivo, lo que aumenta la frecuencia de operación de los vehículos de transporte de efectivo y con ello el riesgo de ataques físicos a los furgones blindados o a los empleados encargados de dichas labores de reposición.
• Reducir la disponibilidad de los cajeros automáticos debido a las tareas extra de mantenimiento o de dicha reposición de efectivo no programadas, dejando a los clientes sin acceso al dinero cuando más lo necesitan.
• Generar una mayor desconfianza en las instituciones financieras, los pagos digitales o la infraestructura bancaria a nivel nacional.

A menudo hablamos de ciberresiliencia en términos de firewalls, seguridad de endpoints y planes de respuesta a incidentes, pero el factor humano sigue siendo el más volátil. Un pequeño bulo puede convertir un día normal en un día catastrófico, provocando una ola de pánico global. En estos casos, el verdadero malware no está en la máquina, sino en el propio mensaje.

Confianza Cero como primera línea de defensa

Para proteger infraestructuras críticas como las redes de cajeros automáticos debemos ampliar nuestra definición de ciberseguridad. No se trata solo de código, servidores o protocolos. También se trata de narrativas, emociones y comportamiento social. Hoy en día con las herramientas disponibles para los atacantes, la desinformación puede utilizarse como arma, y ​​defenderse de ella requiere vigilancia a todos los niveles.

En Auriga aplicamos el principio de Zero Trust (Confianza Cero) en la protección de los cajeros automáticos: nunca confíes, siempre verifica. Creemos que la mejor manera de proteger los sistemas es asumir que las amenazas pueden provenir de cualquier lugar, incluso de dentro del perímetro de confianza, por eso, todo aquello que no esté explícitamente diseñado para el funcionamiento de los cajeros automáticos se bloquea asumiendo que puede ser un potencial vector de ataque.

Esa misma filosofía de desconfianza debería aplicarse como respuesta a los bulos virales y a cualquier mensaje que pueda infundar pánico. Así como no permitimos que se ejecute código no autorizado en un cajero automático, no deberíamos permitir que afirmaciones no verificadas guíen nuestras acciones. Especialmente cuando dichas afirmaciones nos provoquen la necesidad de acudir a los cajeros automáticos sin que necesitemos el efectivo realmente o a tomar decisiones que podrían exponernos a mayores riesgos.

Debemos tratar la desinformación como una amenaza para la seguridad operativa y social, animando a las personas a rastrear y verificar la información desde el punto final hasta su origen. Antes de reaccionar, los usuarios deberían cuestionarse de dónde proviene, si es fiable y qué pretende conseguir con ello.

Es fundamental monitorizar la opinión pública y la propagación de rumores durante incidentes inusuales o cortes de suministro. Por otro lado, educar a las personas en la desconfianza de este tipo de mensajes es vital para que apliquen su propia mentalidad de Confianza Cero a la información que reciben, especialmente cuando exige una acción urgente.

Como escribió Orwell: «En tiempos de engaño universal, decir la verdad es un acto revolucionario». En ese sentido, la forma más poderosa de resistencia digital hoy en día podría ser detenerse, verificar y pensar antes de reaccionar. Porque a veces, el verdadero ataque no proviene del malware, sino de la falta de herramientas y conocimientos adecuados para reconocer los riesgos y las amenazas presentes hoy en día.