Tras ciberataque, BHU gastó $ 12 millones en “remediación” y “reconstrucción de sistemas”; no se pagó “ningún rescate”

Autoridades del Banco Hipotecario del Uruguay (BHU) informaron que el ciberataque ocurrido en setiembre del año pasado llevó a que el organismo gastase $ 12 millones en concepto de “servicios de remediación” y “reconstrucción de sistemas”, entre otras medidas. Desde el directorio también afirmaron que no se pagó “ningún rescate”.

La economista Laura Zunino, gerenta del Área Riesgos del banco, dijo la semana pasada en la Comisión de Vivienda y Territorio de Diputados —según consta en la versión taquigráfica— que “tuvo un costo estimado de unos $ 12 millones asociados directamente al incidente” y detalló algunas aspectos de ese gasto.

“Estaba incluida la parte de servicios de remediación, que exceden lo que es puramente la resolución del incidente, porque hubo asesoramiento en reconstrucción de sistemas, análisis técnico forense, gastos asociados a recursos humanos, adaptación de sistemas, también para llegar a nuevos protocolos de seguridad, en el marco de las redefiniciones del retorno a los servicios digitales”, explicó.

Por su lado, el presidente del BHU, Gabriel Frugoni, indicó que “si bien estos gastos se incurren en ese momento, como también los que se están incurriendo este año, no incluyen solo una remediación del problema”, sino además la “reconstrucción” de “un futuro con una lógica diferente” de la estructura del banco.

El organismo decidió declarar reservada su actuación con respecto al incidente durante 15 años, lo que en parte motivó el llamado a comisión impulsado por el diputado blanco Juan Pablo Delgado.

Sobre esto, Frugoni recordó que, como los bancos comerciales, el BHU está regulado por el Banco Central del Uruguay (BCU) y dijo que “el hecho de estar en competencia involucra que gran parte de la información que nosotros manejamos está en reserva”. Asimismo, agregó que “gran parte” de su información “se maneja con 15 años reserva, como es normal en todo el Estado que funciona en competencia”.

También aseguró que “se preservó la información y no hubo ningún perjuicio económico para los clientes”, ni tampoco hubo “problemas con los clientes”.

“El manejo que se hizo —así es visto por los organismos responsables en este caso— es el que se debió hacer, y es visto como un caso de éxito hoy. (...) Nos enfrentamos en ese momento a una organización que se adjudicó otros ataques muy importantes en el mundo, en otros organismos financieros; era una organización peligrosa, grande, y nosotros debíamos mantener eso, porque existía. Hay cosas que nosotros no podemos decir acá, pero sí podemos expresar que nosotros no pagamos ningún rescate, ni hubo ninguna comunicación. Eso fue parte de los lineamientos que nos dijeron desde el gobierno: ni uno; ni queríamos ni podíamos”, puntualizó además.

También, el gerente de la división Tecnología de la Información, Bernardo Ureta, manifestó que se aplicaron “varios sistemas de validación” para asegurar “que toda la información no fue comprometida y no estaba con este virus adentro”.

El ataque informático del 30 de septiembre llevó a BHU a dar de baja la red institucional y otras vías de comunicación, tanto internas como externas. Esta situación generó problemas e imposibilidad de pagos, aunque esto fue solucionado semanas después.

Los delincuentes aseguraron tener más de 700 gigabytes y llegaron a establecer un plazo de 10 días para comenzar a publicar información, lo que finalmente sucedió. Según pudo saber El País por entonces, entre los documentos publicados en esta oportunidad se encuentran usuarios y contraseñas de empleados del banco, contratos con proveedores, e informes legales y crediticios.

El ataque al BHU se suma a otros que han sufrido algunas instituciones públicas (Fiscalía General de la Nación, Presidencia de la República, el Ministerio de Desarrollo Social, la Dirección Nacional de Aviación Civil e Infraestructura Aeronáutica y la Dirección Nacional de Migraciones) a fines de marzo del año pasado. No en todos los casos, como ocurrió con la Fiscalía, los ciberdelincuentes pudieron vulnerar la seguridad informática pese al intento.