El CSIRT Nacional y la Agencia Nacional de Ciberseguridad (ANCI) alertaron el 5 de noviembre sobre una campaña de phishing que suplantaba a Scotiabank para robar credenciales y datos personales. El banco informó que el sitio fraudulento imitaba su Portal Empresas, el canal que usan las compañías para operar sus cuentas, y que ya fue dado de baja.
Según informó 24 Horas, la alerta fue emitida por el CSIRT Nacional junto a la ANCI y describe una campaña que replicaba la identidad visual de Scotiabank para que los mensajes y las páginas parecieran legítimos. El fin era obtener credenciales de acceso y datos personales de los usuarios.
En su declaración, el banco precisó que actuó "tras detectar un sitio web fraudulento que suplantaba la identidad del Portal Empresas de Scotiabank" y que gestionó su eliminación. La alerta no detalla cuántas personas o empresas recibieron los mensajes, ni si hubo cuentas efectivamente comprometidas o transferencias fraudulentas.
La ANCI acompañó el aviso con una recomendación general: "Recuerda siempre que los mensajes y llamadas de phishing intentan asustarte o generar una sensación de urgencia". Las autoridades insistieron en ingresar siempre al banco escribiendo la dirección oficial, no entregar contraseñas a través de enlaces enviados por terceros y verificar cualquier mensaje dudoso por los canales oficiales.
Las alertas de suplantación bancaria son frecuentes en el registro público del CSIRT Nacional, pero que el blanco sea un portal de banca empresas cambia la escala del riesgo: detrás de una sola credencial pueden estar las cuentas de remuneraciones, los pagos a proveedores y las líneas de crédito de una compañía.
En una empresa mediana, el acceso a la banca en línea suele concentrarse en pocas personas de finanzas o tesorería, que trabajan con plazos y presión, justo el escenario que estos engaños buscan aprovechar. Un correo que avisa de un bloqueo de cuenta o de una nómina rechazada el día de pago de sueldos tiene altas probabilidades de éxito si no existen controles adicionales.
El riesgo no se limita al dinero. Si el atacante entra al portal puede ver cartolas, datos de proveedores y de trabajadores, información que la Ley 21.719 de datos personales obligará a proteger con medidas de seguridad proporcionales. Además, una transferencia fraudulenta grande puede afectar la continuidad operacional, por ejemplo, si impide pagar remuneraciones o insumos críticos a tiempo.
