Envío GRATIS desde $299 a todo México

Ataque al SPEI 2018 y CNBV 168 Bis 11: el riesgo está en el componente que nadie revisó

por Jong Ouk Son

El 15 de mayo de 2018, Banorte informó a la Bolsa Mexicana de Valores que sus clientes no habían sufrido impacto económico y que sus depósitos estaban seguros. Un día después, el gobernador del Banco de México, Alejandro Díaz de León, estimó en alrededor de 300 millones de pesos los envíos irregulares en cinco instituciones: tres bancos, una casa de bolsa y una caja de ahorro popular. Banxico no publicó sus nombres.

Ese episodio es útil hoy para cualquier responsable de seguridad en el sector financiero mexicano, no por la cifra, sino por el lugar donde estuvo el hueco.

Qué pasó en el SPEI en abril y mayo de 2018

Según la información pública de Banxico, entre abril y mayo de 2018 (con eventos el 17, 24 y 26 de abril y el 8 de mayo) varios participantes del Sistema de Pagos Electrónicos Interbancarios (SPEI) sufrieron ataques con el mismo patrón:

  • Los atacantes llegaron por el aplicativo que los participantes usaban para generar órdenes de pago y conectarse al SPEI. En los casos afectados, ese aplicativo era desarrollado por un tercero.
  • Banxico no certifica a esos proveedores de software.
  • Las órdenes falsas se insertaron en una etapa del proceso que no tenía controles para validar su legitimidad.
  • El dinero de las cuentas de los clientes no se vio afectado.

El reporte de análisis forense que Banxico publicó en versión pública el 29 de agosto de 2018 concluyó que no fue un ataque al SPEI central, sino a los sistemas de envío de los participantes, y que los atacantes requirieron conocimiento profundo de esa infraestructura y acceso a ella.

Lo que el ataque no fue

Conviene ser precisos, porque es fácil contar mal esta historia:

  • No fue un ataque al núcleo del SPEI.
  • No hay evidencia pública de que haya entrado por un puerto USB ni por una memoria extraíble.
  • Banorte no confirmó haber sido una de las cinco instituciones ni un monto de pérdida.

El problema fue un componente interno —software de un tercero conectado a un sistema crítico— que no se revisaba con el mismo rigor que el core.

Meses después: "De la seguridad de la información" en la CUB

El 27 de noviembre de 2018, la Comisión Nacional Bancaria y de Valores (CNBV) publicó en el Diario Oficial de la Federación una reforma a las Disposiciones de carácter general aplicables a las instituciones de crédito (la Circular Única de Bancos, CUB). Se añadió la Sección Octava Bis, "De la seguridad de la información", con los artículos 168 Bis 11 a 168 Bis 17. El considerando habla de riesgos y ataques informáticos; no atribuye la reforma expresamente al SPEI.

El 14 de agosto de 2024 se publicó otra resolución que reformó el artículo 168 Bis 11 y le añadió la fracción XVI.

Para quien administra puertos, equipos y accesos, cuatro puntos del artículo 168 Bis 11 son los más relevantes.

Infraestructura propia y de terceros

El artículo cubre la infraestructura tecnológica de la institución y también la que le proveen terceros. Es la misma lección de 2018: lo que conecta un proveedor también es parte del perímetro.

Puertos, servicios y medios extraíbles (fracción III, inciso b)

La fracción III, inciso b), pide configuración segura de "puertos y servicios" y del "uso de medios extraíbles de almacenamiento".

Acceso físico (fracción VI, inciso e)

La fracción VI, inciso e), pide mecanismos de "acceso físico" a la infraestructura.

Fuga de información y medios removibles (fracción XIV)

La fracción XIV pide controles automatizados para prevenir fugas de información, "considerando entre otros, medios de almacenamiento removibles".

Lo que la regla no dice

  • No es una ley federal de ciberseguridad. Es regulación de la CNBV para instituciones de crédito. A noviembre de 2026, México todavía no tiene una ley federal de ciberseguridad publicada en el DOF.
  • No exige un producto ni una marca. Cada institución define cómo cumple y debe poder demostrarlo.
  • No dice que los puertos físicos sean la causa del ataque de 2018. Lo que sí hace es poner puertos, medios extraíbles y acceso físico en la misma lista que el software.

La consola dice "bloqueado". ¿Y el puerto?

La mayoría de las instituciones controla los medios extraíbles por software: políticas de grupo, agentes de protección de endpoints, listas de dispositivos permitidos. Es necesario y funciona mientras la configuración no cambie y el equipo esté dentro de la consola.

Un auditor, sin embargo, puede hacer preguntas que la consola no responde:

  • ¿Qué hay detrás del equipo de caja, donde nadie mira?
  • ¿Está activa la toma RJ45 de la sala de espera?
  • ¿Quién puede abrir el puerto de servicio de un cajero o un kiosco?
  • ¿El equipo que instaló un proveedor está en el mismo inventario que el resto?

Ese es el mismo patrón de 2018 en otra capa: el riesgo vive en el componente que nadie revisó.

Cómo revisar los puertos físicos de una sucursal en una mañana

  1. Elija una sucursal o sitio con atención al público.
  2. Exporte el inventario de equipos de ese sitio, incluidos los que instaló o administra un tercero.
  3. Recorra el sitio y anote por equipo los puertos USB, RJ45 y de servicio expuestos.
  4. Clasifique cada puerto: "en uso", "deshabilitado por software" o "bloqueado físicamente".
  5. Revise tomas de red en pared, salas de juntas y áreas de espera.
  6. Fotografíe los casos dudosos y asigne un responsable.
  7. Compare lo que encontró con el inventario. La diferencia es el hallazgo, y aparece antes de comprar nada.

Controles físicos para puertos USB, RJ45 y cables

Un control físico no sustituye la política por software; la complementa con una barrera visible que se puede verificar en sitio:

Más información: cómo bloquear puertos USB · Política de Ciberseguridad APF: puertos USB y RJ45

Solicitar cotización

En portArgus trabajamos esa capa física. ¿En su institución, el inventario de componentes incluye el software de un tercero y los puertos físicos, o sólo lo que muestra la consola?

Preguntas frecuentes

¿Qué pide el artículo 168 Bis 11 de la Circular Única de Bancos?

Entre otros puntos, configuración segura de puertos, servicios y medios extraíbles (fr. III b), mecanismos de acceso físico (fr. VI e) y controles automatizados contra fugas que consideren medios removibles (fr. XIV), para infraestructura propia y de terceros.

¿El ataque al SPEI de 2018 entró por USB?

No hay evidencia pública de eso. Según Banxico, entró por aplicativos de conexión de terceros usados por los participantes.

¿Fue atacado el SPEI central?

No. Banxico concluyó que el ataque fue a los sistemas de envío de los participantes.

¿La CNBV exige un producto específico para bloquear puertos USB?

No. Cada institución define cómo cumple y debe demostrarlo.

¿Existe una ley federal de ciberseguridad en México?

A noviembre de 2026 no se ha publicado en el DOF.

¿Basta con bloquear los USB por software?

Es necesario, pero un bloqueo físico es visible y verificable en una auditoría en sitio, incluso en equipos fuera de la consola.

¿Cómo se retira un bloqueador de puertos USB portArgus?

Con la llave del mismo color: se inserta en la ranura del candado, se activa el botón y se extrae.

Fuentes

Volver a Noticias