Los 6.300 millones de dólares que piratas informáticos drenaron de Binance, el exchange de criptomonedas más grande del mundo, el 29 de octubre fueron, al principio, fáciles de presentar como un problema exclusivo de las criptomonedas. Menos de una semana después, esa narrativa se derrumbó. Crédit Mutuel Arkéa, un banco francés, reveló que atacantes se habían llevado alrededor de 100 millones de euros (112 millones de dólares) de sus sistemas.

Los dos ataques consecutivos subrayan que los ciberrobos ahora amenazan a los bancos tradicionales, no solo a las plataformas de activos digitales. En ambos casos, el punto de entrada de los atacantes fue la confianza en personas o terceros, y no una violación directa de los sistemas centrales.

“Las amenazas que enfrentan los bancos son abrumadoras”

Los protagonistas de la industria argumentan que este episodio dice tanto sobre la banca convencional como sobre las criptomonedas. “Si una empresa como Binance puede perder miles de millones de dólares, las amenazas que enfrentan los bancos son abrumadoras”, dijo Ryan Kirkley, cofundador y CEO de Global Settlement, que desarrolla infraestructura blockchain para bancos. Durante el Digital Asset Summit en Londres el 10 de noviembre, añadió: “Es imposible que un banco promedio se mantenga seguro”.

El fundador y ex CEO de Binance, Changpeng Zhao, fue más lejos. “Si un exchange de criptomonedas puede ser hackeado, los bancos están en peor posición, en mi opinión”, declaró a CoinDesk días después del robo.

Cómo ocurrió el ataque a Binance

Los atacantes responsables del robo a Binance combinaron ingeniería social con software malicioso para tomar control de wallets de criptomonedas y drenar sus fondos. En una campaña de reclutamiento simulada, organizaron una serie de entrevistas de trabajo falsas destinadas a persuadir a un ingeniero de Binance para que descargara sin saberlo malware, lo que les dio a los piratas una ruta hacia los sistemas internos de la empresa.

El daño ha sido contenido parcialmente desde entonces. El FBI ha incautado 1.200 millones de dólares de las criptomonedas robadas, y Binance confirmó que había “repuesto” aproximadamente el 98% del monto total afectado. Aun así, esa incautación cubre menos de una quinta parte del botín original, dejando la mayoría de los activos robados sin recuperar.

“No necesariamente más seguros”

Según Katerina Mitrokotsa, profesora de ciberseguridad de la Universidad de St. Gallen en Suiza, las vulnerabilidades explotadas en Binance no son exclusivas de las criptomonedas: las mismas debilidades existen dentro de las instituciones financieras tradicionales. “Los bancos no son automáticamente más seguros solo porque estén regulados”, afirmó.

Los reguladores de ambos lados del Atlántico han estado atentos. En Estados Unidos, la Reserva Federal y la Office of the Comptroller of the Currency comenzaron a llamar a los bancos el 2 de noviembre para preguntar sobre actividad inusual e interrupciones de servicios, según informó Reuters. En julio, el Banco Central Europeo escribió a los directores ejecutivos de 110 bancos advirtiendo sobre los riesgos de los modelos de IA de frontera, que, según dijo, están haciendo que sea “más rápido y barato identificar y explotar vulnerabilidades en los sistemas de TI”.

Dónde los bancos tienen ventaja

Los bancos tradicionales sí tienen algunas ventajas sobre las plataformas de criptomonedas, según Vivien Mura, director de tecnología de Orange Cyberdefense, el brazo de ciberseguridad del grupo francés de telecomunicaciones Orange. La Ley de Resiliencia Operativa Digital de la UE (DORA), vigente desde enero de 2025, exige a los bancos probar sus defensas y reportar incidentes cibernéticos. “También se benefician de mecanismos que las plataformas cripto no tienen, como la capacidad de bloquear o revertir pagos y la estrecha cooperación con los supervisores y las fuerzas del orden”, dijo Mura.

Sin embargo, reconoció que esas ventajas solo llegan hasta cierto punto. “Los bancos están mejor posicionados para absorber y recuperarse de un ataque importante, pero no necesariamente son mejores para prevenir uno”.

Proveedores y sistemas obsoletos

Mitrokotsa identifica dos puntos débiles persistentes: la larga cadena de proveedores externos de la que dependen los bancos —un riesgo que la DORA busca abordar al someter a los proveedores más críticos a la supervisión directa de la UE— y la tecnología anticuada que muchos bancos todavía utilizan.

Ambos factores estuvieron presentes en el caso de Crédit Mutuel Arkéa. Allí, los piratas obtuvieron acceso a través de un proveedor de servicios no identificado y usaron la propia cuenta del banco para realizar transacciones. La entidad dijo a sus clientes que el incidente no tuvo “ningún impacto” en sus activos.

“Los proveedores comprometidos, el personal con acceso privilegiado, las ofertas de trabajo falsas y el uso indebido de herramientas internas son riesgos reconocidos desde hace años y no son exclusivos de ningún sector”, declaró a Fortune Lee Elliott, director de resiliencia y ciberseguridad de UK Finance, la asociación británica de la industria bancaria. Añadió que los bancos también se benefician de la práctica del sector de compartir inteligencia de amenazas a través de iniciativas como el Financial Sector Cyber Collaboration Centre.

Cuando una refrigeradora se convierte en puerta de entrada

Los atacantes ya están sondeando la infraestructura tecnológica envejecida de Europa más allá de la banca. Desde octubre, piratas han secuestrado sistemas de refrigeración conectados a internet en supermercados de más de una docena de países y en tres bancos de sangre franceses. Danfoss, que fabricó los controladores electrónicos de temperatura, dijo que la mayoría de las unidades afectadas eran modelos antiguos que ya no reciben actualizaciones de seguridad.

“Una refrigeradora no parece un riesgo de seguridad, y es exactamente por eso que a los atacantes les gusta”, dijo Mitrokotsa. “Los bancos tienen el mismo problema. Muchos todavía operan sistemas centrales que tienen décadas de antigüedad, junto con servidores viejos, sistemas de control de edificios y acceso remoto de proveedores”.

Su consejo es que los bancos comiencen por conocer cada dispositivo conectado a sus redes y luego asegurarse de que aquellos que no necesitan acceder a los sistemas centrales estén desconectados de ellos.

Los bancos incluso podrían aprender de las criptomonedas, añadió Mitrokotsa. “Algunos exchanges dividen el control de una clave entre varias partes, de modo que ninguna computadora por sí sola puede aprobar una transferencia, como una bóveda que requiere girar dos llaves al mismo tiempo. Un atacante que compromete una laptop solo obtiene parte de lo que necesita”.

Los agentes de IA añaden una nueva capa de riesgo

Los agentes personales de IA presentan otro desafío emergente para las instituciones financieras. Cada vez más, los consumidores usan asistentes digitales —como Muse de Meta— para hacer compras o pagar facturas en su nombre.

Algunos bancos se han movido para cerrar la puerta. Citigroup y Bank of America han restringido el acceso de los agentes de IA a las cuentas de clientes, y el director ejecutivo de JPMorgan Chase, Jamie Dimon, ha instado a las instituciones financieras a no permitir que agentes de IA autónomos manejen pagos bancarios, advirtiendo sobre su riesgo “traicionero”. En el Reino Unido, HSBC, Nationwide, NatWest, Barclays y Lloyds también han bloqueado el acceso de los agentes de IA a sus cuentas.

Otros bancos europeos están tomando un camino intermedio más cauteloso. Santander e ING permiten que los agentes hagan pagos, pero solo dentro de los límites que el cliente establece de antemano o después de que el cliente aprueba cada compra.

Con el aumento de las ciberamenazas —y con la mayor parte de los 6.300 millones de dólares robados a Binance aún sin recuperar— el ataque a Crédit Mutuel Arkéa probablemente no será el último contra el sector financiero europeo.

Esta historia fue publicada originalmente por Fortune: fortune.com