Protege lo que importa
Protege endpoints, correo electrónico y empleados con el poder de nuestro SOC 24/7. Prueba Huntress gratis y despliega en minutos para empezar a combatir las amenazas.
Filtración de datos del ataque de IRLeaks a bancos iraníes
Filtración de datos del ataque de IRLeaks a bancos iraníes
El ataque de IRLeaks a bancos iraníes es una advertencia tanto para las organizaciones como para los profesionales de ciberseguridad, ya que expuso vulnerabilidades críticas en los sistemas financieros. Esta filtración, dirigida a múltiples bancos iraníes, comprometió datos financieros y personales sensibles, afectó la confianza pública y mostró el impacto devastador de los ciberataques sofisticados. A continuación, desglosamos el incidente, su cronología y las lecciones que ofrece para reforzar las defensas de ciberseguridad.
Filtración de datos del ataque de IRLeaks a bancos iraníes explicada: ¿qué pasó?
A mediados de agosto de 2024, un grupo conocido como IRLeaks comprometió a Tosan, un proveedor de TI iraní que da infraestructura de banca digital a alrededor del 45% de los bancos del país. Al pasar por Tosan, los atacantes accedieron a datos de hasta 20 de las 29 instituciones crediticias activas de Irán, incluyendo tanto bancos privados como el banco central.
Los datos robados incluían números de cuenta, nombres completos, fechas de nacimiento, nacionalidades, direcciones de casa y registros detallados de transacciones de varios millones de clientes bancarios.
IRLeaks anunció la filtración ellos mismos en su canal de Telegram el 9 de agosto de 2024, amenazando con vender los datos públicamente a menos que recibieran $10 millones en criptomoneda. Esa publicación, no una divulgación bancaria ni un aviso regulatorio, fue lo que desató todo lo que vino después.
¿Cuándo ocurrió el ataque de IRLeaks a bancos iraníes?
La filtración ocurrió a mediados de agosto de 2024. Iran International informó públicamente del ataque por primera vez el 14 de agosto de 2024, y lo describió como potencialmente el mayor ciberataque jamás realizado contra la infraestructura estatal iraní. Politico Europe confirmó el pago del rescate y otros detalles el 4 y 5 de septiembre de 2024, seguido del reportaje de CyberScoop del 6 de septiembre de 2024, que incluyó evidencia documental de las negociaciones.
El gobierno iraní nunca reconoció oficialmente la filtración.
¿Quién hackeó a los bancos iraníes?
IRLeaks, un grupo con un historial documentado de ataques contra empresas y entidades gubernamentales iraníes, se atribuyó la responsabilidad a través de su canal de Telegram el 9 de agosto de 2024. El grupo surgió públicamente en julio de 2023 y anteriormente se había atribuido ataques contra aseguradoras iraníes, Snapp Food (la aplicación de entrega de comida más grande de Irán) y el servicio de transporte Tapsi.
Funcionarios occidentales y analistas informados sobre el incidente le dijeron a Politico que IRLeaks no está afiliado ni a Estados Unidos ni a Israel. La evidencia disponible, incluido el patrón de demandas de rescate, pagos negociados y objetivos con motivación financiera del grupo, sugiere que se trata de atacantes independientes motivados por el beneficio económico, no de actores políticos que realizan espionaje patrocinado por un estado.
¿Cómo ocurrió el ataque de IRLeaks?
El ataque explotó vulnerabilidades en un proveedor externo de TI estrechamente vinculado a los bancos iraníes. Al comprometer las herramientas del proveedor, los atacantes lograron movimiento lateral en las redes bancarias. La falta de prácticas de seguridad estrictas, incluida una gestión de parches deficiente, amplificó el éxito del ataque.
Cronología del ataque de IRLeaks a los bancos iraníes
- Mediados de agosto de 2024 — IRLeaks compromete los sistemas de Tosan y exfiltra datos de hasta 20 bancos iraníes. Los cajeros automáticos se cierran en todo el país.
- 9 de agosto de 2024 — IRLeaks publica en su canal de Telegram (casi 19.000 suscriptores) amenazando con vender públicamente los datos robados a menos que reciba $10 millones en criptomoneda.
- 8–9 de agosto de 2024 — Comienzan las negociaciones de rescate. Los correos entre IRLeaks y el CEO de Tosan, Arash Babaei, muestran que Tosan inició el contacto y envió un pago inicial en bitcoin.
- 14 de agosto de 2024 — Iran International informa públicamente sobre el ataque. El Banco Central de Irán niega que haya ocurrido algún hackeo.
- Principios de septiembre de 2024 — Politico Europe publica la primera cuenta integral de la brecha, la demanda de rescate y el pago.
- 6 de septiembre de 2024 — CyberScoop informa sobre correos electrónicos y evidencia en blockchain que documentan la negociación y los pagos en cuotas, por un total de aproximadamente $561.000 en bitcoin al momento de la publicación. El rescate total acordado fue de 35 bitcoin.
- 6 de septiembre de 2024 — Iran International informa que las oficinas de Tosan ahora están bajo el control de las agencias de seguridad iraníes y que sus empleados están siendo interrogados.
- En curso — Irán nunca reconoce oficialmente la brecha. IRLeaks elimina la publicación original de Telegram como parte del acuerdo de pago.
Detalles técnicos
Tosan funciona como una capa centralizada de infraestructura digital para gran parte del sector bancario iraní, lo que lo convierte en un objetivo de muy alto valor para un ataque a la cadena de suministro. Al comprometer a Tosan, IRLeaks obtuvo acceso a datos de instituciones a las que nunca tuvo que atacar directamente.
Tras la exfiltración de datos, IRLeaks usó su canal de Telegram como principal mecanismo de presión, publicando descripciones de muestras de datos y una exigencia de $10 millones. Las negociaciones con el CEO de Tosan se llevaron a cabo por correo electrónico. El calendario de pagos acordado fue de 1 bitcoin por adelantado, seguido de 3 bitcoin por semana hasta completar un total de 35 bitcoin. El análisis de blockchain de Chainalysis confirmó que la billetera recibió pagos de al menos dos exchanges iraníes, en consonancia con pagos de entidades iraníes.
IRLeaks eliminó la publicación de Telegram después de que Tosan enviara el pago inicial, una condición del acuerdo.
Indicadores de compromiso (IoC)
No se han divulgado públicamente indicadores técnicos específicos de este incidente. Sin embargo, el patrón del ataque en sí es un indicador documentado del estilo operativo de IRLeaks:
- Entrada a la cadena de suministro a través de un proveedor centralizado de TI
- Exfiltración de datos masiva en múltiples clientes posteriores
- Anuncio público en Telegram con descripciones de muestras de datos como mecanismo de extorsión
- Rescate negociado en privado por correo electrónico; publicación eliminada tras el pago inicial
Investigación forense y del incidente
Las investigaciones del incidente revelaron controles de seguridad inadecuados en los sistemas del proveedor, incluidos parches críticos faltantes y políticas de gestión de accesos deficientes. Los informes forenses destacaron brechas en los mecanismos de detección que permitieron que la intrusión pasara desapercibida durante semanas.
¿Qué datos se vieron comprometidos en el ataque de IRLeaks?
La brecha comprometió volúmenes importantes de datos financieros, incluidos registros transaccionales, números de cuenta e información personal identificable de los clientes, como identificaciones nacionales, números de teléfono y direcciones de correo electrónico. No hay confirmación de que los datos robados estuvieran cifrados.
¿Cuántas personas se vieron afectadas por el ataque de IRLeaks?
Hasta 20 de las 29 instituciones crediticias activas de Irán se vieron afectadas, ya que los sistemas de Tosan dan servicio a aproximadamente 27 millones de iraníes. Entre los bancos afectados mencionados en los informes se encuentran el Bank of Industry and Mines, Mehr Interest-Free Bank, Post Bank of Iran, Iran Zamin Bank, Sarmayeh Bank, Iran-Venezuela Bi-National Bank, Bank Day, Bank-e Shahr, Eghtesad Novin Bank y Saman Bank (que tiene sucursales en Italia y Alemania).
Las autoridades iraníes no han confirmado ninguna cifra oficial.
¿Se expusieron mis datos en el ataque de IRLeaks?
La brecha afectó principalmente a los clientes de bancos iraníes. Dado que Irán nunca reconoció el incidente, las instituciones iraníes no han puesto a disposición ningún proceso de notificación oficial ni herramienta de consulta. Los clientes de los bancos afectados, en particular los mencionados en los informes, deben asumir que sus datos de cuenta e información personal podrían haberse expuesto.
Impactos clave del ataque de IRLeaks
Los impactos visibles fueron significativos:
- Cajeros automáticos cerrados en todo el país. El ataque obligó a los bancos a desconectar los cajeros automáticos, lo que interrumpió las transacciones diarias de millones de iraníes.
- Rescate pagado. Tosan, según se informó, bajo presión de las autoridades iraníes, pagó a IRLeaks aproximadamente $3 millones para detener la publicación de los datos.
- Encubrimiento gubernamental del incidente. El Banco Central de Irán negó públicamente que hubiera ocurrido una filtración, incluso mientras los cajeros automáticos estaban fuera de servicio y las negociaciones estaban en curso.
- Tosan puesta bajo control gubernamental. Después de que la historia se hiciera pública, las agencias de seguridad iraníes tomaron el control de las oficinas de Tosan y comenzaron a interrogar a los empleados.
- Efecto paralizante sobre la confianza financiera. Según se informó, los funcionarios iraníes temían que el conocimiento público de la filtración desestabilizara aún más un sistema financiero ya frágil, bajo una intensa presión de sanciones internacionales.
Respuesta al ataque de IRLeaks
La respuesta del gobierno iraní fue negar públicamente la brecha mientras negociaba en privado el pago de un rescate. El líder supremo de Irán habló de "guerra psicológica" por parte de actores extranjeros no identificados, sin reconocer el ataque bancario. El Banco Central de Irán calificó la cobertura mediática de "noticias falsas".
Entre bastidores, el CEO de Tosan entabló negociaciones por correo electrónico con IRLeaks y comenzó a hacer pagos en bitcoin dentro de las 24 horas posteriores a la publicación en Telegram. El régimen finalmente obligó a Tosan a cubrir el rescate.
No se reveló ningún proceso público de respuesta a incidentes, notificación de brechas o auditoría de seguridad.
Lecciones del ataque de IRLeaks a bancos iraníes
Este incidente subraya la importancia de evaluaciones rigurosas de seguridad de proveedores, detección de amenazas en tiempo real, y planes proactivos de respuesta a incidentes. Las organizaciones deben garantizar la gestión continua de vulnerabilidades y la capacitación de los empleados para evitar brechas similares.
¿Es seguro usar bancos iraníes después de la brecha?
Aunque los bancos afectados afirman haber mejorado sus defensas, es probable que persistan vulnerabilidades debido a la magnitud del ataque. El monitoreo continuo y la transparencia serán fundamentales para restaurar la confianza de los clientes y garantizar la seguridad sistémica.
Estrategias de mitigación y prevención
Para prevenir brechas similares, las organizaciones deben:
Implementar autenticación multifactor (MFA) en todos los sistemas.
Establecer prácticas sólidas de gestión de parches.
Limitar el acceso de terceros y realizar auditorías de seguridad a los proveedores.
Utilizar soluciones SIEM como Huntress Managed SIEM para el monitoreo en tiempo real.
Incidentes relacionados de brechas de datos
Ticketmaster
Brecha de datos de Snowflake
Equifax
Artículos educativos y videos relacionados
Preguntas frecuentes
El ataque consistió en explotar vulnerabilidades en los sistemas de un proveedor de TI externo, lo que permitió a los atacantes infiltrarse en las redes bancarias iraníes y acceder a datos confidenciales.
Los datos comprometidos incluían registros de transacciones financieras, números de cuenta e información de identificación personal, como identificaciones nacionales y correos electrónicos. No hay confirmación sobre el estado del cifrado.
Se sospecha que el ataque fue llevado a cabo por ciberdelincuentes con motivaciones políticas, pero no se ha confirmado ninguna atribución oficial.
Las organizaciones pueden proteger sus sistemas realizando evaluaciones de proveedores, implementando autenticación multifactor, aplicando la gestión de parches y manteniendo herramientas SIEM para la detección proactiva de amenazas.
