✨︎ Resumen (TL;DR):
- CERT-In identificó como Crafty Falcon una campaña activa contra financieras no bancarias y empresas fintech de India.
- Los ataques usan interfaces de pagos y desembolsos; en algunos casos comenzaron con transferencias de prueba de una rupia india.
- Algunas entidades volvieron a ser atacadas después de aplicar medidas de seguridad, mientras la agencia recomienda revisar accesos y transacciones de forma continua.
India alertó sobre una campaña activa contra empresas financieras que usa herramientas de inteligencia artificial para entrar a sus sistemas de pagos y ejecutar transferencias no autorizadas. CERT-In, la agencia india de ciberseguridad, identificó al actor como Crafty Falcon y advirtió que algunas entidades volvieron a ser atacadas después de aplicar medidas de seguridad.
En su aviso del 4 de noviembre, el organismo reportó ataques exitosos contra financieras no bancarias y compañías fintech. Entre las entidades afectadas también aparecen plataformas de préstamos digitales, proveedores de pagos y casas de intercambio de criptomonedas.
Crafty Falcon es el nombre que CERT-In asignó al actor detrás de la campaña. El organismo no publicó la identidad de sus integrantes ni una lista de las compañías afectadas.
El documento actualiza una advertencia del 9 de octubre sobre ataques a sistemas de pagos e identifica una escalada. Algunas de las entidades mencionadas ya habían recibido alertas anteriores, y la actualización señala que hubo organizaciones atacadas de nuevo después de aplicar correcciones incompletas.
Los ataques pasan por las API de pago
CERT-In explica que los atacantes recurren a las interfaces de pagos y desembolsos de las propias empresas. Una API es una interfaz que permite que distintos programas intercambien instrucciones para procesar operaciones financieras.
En algunos casos, el organismo reportó transferencias de prueba de una rupia india antes de movimientos de mayor importe. También describió ataques durante fines de semana, días festivos y otros periodos con menor vigilancia, cuando la detección y la respuesta pueden tardar más.
El aviso identifica cuatro herramientas de seguridad asistidas por IA: ARTEX, PentAGI, Cairn y CyberStrikeAI. La agencia afirma que permiten automatizar cadenas de ataque y adaptar las acciones a las respuestas de los sistemas atacados.
El documento no detalla cuánto intervino una persona en cada incidente ni atribuye cada operación a una herramienta concreta. Por eso, la presencia de las cuatro herramientas en el aviso no permite asignar cada transferencia o intrusión a una de ellas.
La alerta pide revisar después del ataque
La advertencia del 9 de octubre ya pedía a las empresas:
- reforzar la autenticación;
- vigilar las transferencias;
- separar los entornos de pruebas de los sistemas de producción.
El aviso de noviembre señala que algunas entidades fueron atacadas de nuevo, incluso después de aplicar medidas de seguridad y correcciones incompletas. CERT-In no indica que todas las empresas afectadas hayan aplicado mal las mismas medidas.
Por ello, la agencia recomienda mantener vigilancia continua y verificar que los atacantes ya no conserven accesos después de un incidente. También plantea revisar las transacciones y aislar los sistemas de prueba de aquellos que procesan operaciones reales.
La diferencia es práctica: reparar una falla concreta atiende una vía de entrada; revisar la organización después de la intrusión busca confirmar si el atacante dejó otros accesos dentro de la empresa.
La atribución de Crafty Falcon sigue abierta
Reuters informó que investigadores han vinculado al menos dos de las herramientas citadas con China. Ese dato no identifica por sí solo a los responsables de Crafty Falcon. CERT-In no dijo dónde opera el actor ni atribuyó la campaña a un Estado, de acuerdo con la agencia de noticias.
ARTEX también apareció en una campaña distinta que CrowdStrike atribuyó al grupo VAPOR PANDA. Que dos campañas utilicen la misma herramienta no demuestra que sus operadores sean los mismos.
CERT-In tampoco divulgó cuánto dinero se ha sustraído. Reuters informó sobre otros incidentes recientes en entidades financieras de India, pero señaló que la agencia no precisó cuáles estaban relacionados con Crafty Falcon.
Para las entidades afectadas, la instrucción central es concreta: revisar las transacciones, separar los sistemas de prueba de los de producción y confirmar que no queden accesos de los atacantes. La campaña sigue sin una atribución estatal confirmada, una lista pública de empresas afectadas o un monto total sustraído.
