El asesor estadounidense de inversiones digitales Betterment confirmó haber sido víctima de un incidente de ciberseguridad tras detectar que hackers comprometieron un sistema utilizado para comunicaciones de marketing y lo emplearon para enviar correos electrónicos fraudulentos relacionados con criptomonedas a un subconjunto de sus clientes. El ataque, basado en ingeniería social, buscaba engañar a los destinatarios para que participaran en una estafa de recompensas cripto disfrazada de promoción oficial de la empresa.
Betterment es una de las plataformas más influyentes del ecosistema financiero digital en Estados Unidos. La compañía gestiona más de 65.000 millones de dólares en activos y cuenta con más de un millón de clientes, combinando inversión automatizada y asesoramiento financiero. Además, está considerada una de las pioneras del modelo de “robo-advisory”, lo que amplifica el impacto reputacional y de seguridad de este tipo de incidentes.
¿Qué ocurrió exactamente?
Según la información confirmada por Betterment, el 9 de enero un actor malicioso obtuvo acceso no autorizado a una plataforma de software de terceros utilizada por la empresa para actividades de marketing y comunicación. Desde esa infraestructura legítima, el atacante logró distribuir correos electrónicos fraudulentos que aparentaban provenir directamente de Betterment.
“Una vez que obtuvieron acceso, la persona no autorizada pudo enviar un mensaje fraudulento relacionado con criptomonedas que parecía venir de Betterment a un subconjunto de nuestros clientes”, explicó la compañía.
El modus operandi es similar al utilizado en otros ataques recientes contra grandes marcas, donde los atacantes no comprometen directamente la infraestructura principal, sino que abusan de proveedores externos con acceso legítimo a sistemas de comunicación.
Una estafa de recompensas cripto altamente creíble
Los correos fraudulentos promovían una supuesta oferta por tiempo limitado en la que Betterment afirmaba triplicar los depósitos de Bitcoin y Ethereum enviados por los clientes. El mensaje tenía como asunto:
“¡Triplicaremos tu criptomoneda! (Tiempo limitado)”
y fue enviado desde la dirección [email protected], un subdominio legítimo de Betterment, lo que aumentó significativamente su credibilidad.
El contenido del mensaje decía:
“Estamos celebrando nuestro mejor año hasta ahora triplicando los depósitos de Bitcoin y Ethereum durante las próximas tres horas”.
En algunos casos, el atacante afirmaba que se aceptaban depósitos de hasta 750.000 dólares antes de una supuesta fecha límite, incluyendo direcciones de monederos para Bitcoin y Ethereum con el objetivo de recibir los fondos.
Este tipo de estafa se basa en urgencia, recompensa exagerada y apariencia de legitimidad, tres elementos clave en los ataques modernos de ingeniería social.
¿Se comprometieron las cuentas de los clientes?
Betterment fue enfático al señalar que su infraestructura técnica principal no fue comprometida y que no hubo acceso a las cuentas de inversión ni a credenciales sensibles.
“Nuestra infraestructura técnica siguió siendo segura y no se vio afectada de ninguna manera”, aseguró la empresa.
Sin embargo, el atacante sí pudo acceder a cierta información personal de clientes almacenada en el sistema de terceros comprometido. Los datos potencialmente expuestos incluyen:
-
Nombres completos
-
Direcciones de correo electrónico
-
Direcciones físicas
-
Números de teléfono
-
Fechas de nacimiento
Aunque no se trata de información financiera directa, estos datos pueden ser utilizados para campañas de phishing más sofisticadas, suplantación de identidad o ataques dirigidos.
Fuente de la promoción navideña de Betterment falsa: Evan Sparks
Respuesta de Betterment y comunicaciones oficiales
El mismo 9 de enero, Betterment publicó un comunicado alertando a los clientes sobre los mensajes fraudulentos, dejando claro que la oferta no era real y que debía ser ignorada. Al día siguiente, el 10 de enero, la empresa confirmó oficialmente el “acceso no autorizado a ciertos sistemas” que permitió el envío de la estafa.
“El acceso no autorizado ha sido eliminado y, por el momento, no tenemos indicios de que la persona no autorizada tuviera acceso a cuentas de clientes”, indicó Betterment.
La compañía también se comprometió a publicar un informe detallado (post-mortem) una vez concluya la investigación en curso y a proporcionar más información conforme esté disponible.
Refuerzo contra ingeniería social
Como parte de su respuesta, Betterment informó que está reforzando sus controles de seguridad, especialmente frente a ataques de ingeniería social, un vector cada vez más utilizado por los atacantes debido a su alta tasa de éxito.
La empresa recordó a sus usuarios que:
“Betterment nunca llamará, enviará mensajes de texto ni correos electrónicos solicitando que compartas tu contraseña u otra información personal sensible”.
Asimismo, recomendó a los clientes mantenerse vigilantes ante comunicaciones inesperadas, incluso cuando parezcan provenir de fuentes legítimas.
Un patrón que se repite: el caso Grubhub
Este incidente no es aislado. El 24 de diciembre, el mismo actor malicioso accedió a sistemas de Grubhub utilizados para comunicarse con restaurantes y socios comerciales, ejecutando una estafa de recompensas cripto similar, en ese caso prometiendo un retorno de hasta diez veces el monto depositado.
Aunque Grubhub no proporcionó detalles técnicos sobre la brecha, confirmó que identificó el problema y tomó medidas para evitar recurrencias, lo que refuerza la teoría de un patrón de ataques dirigidos a plataformas con grandes bases de usuarios y sistemas de mensajería confiables.
Implicaciones para el sector financiero digital
El incidente de Betterment subraya un riesgo creciente en el sector fintech: los sistemas de terceros y proveedores de marketing se han convertido en un eslabón débil crítico. Incluso cuando las plataformas principales permanecen seguras, el abuso de canales legítimos de comunicación puede causar daños significativos, tanto financieros como reputacionales.
Para las organizaciones, este caso refuerza la necesidad de:
-
Auditar proveedores externos de forma continua
-
Limitar privilegios de acceso
-
Implementar monitoreo avanzado de campañas salientes
-
Educar a los usuarios sobre estafas cripto
Para los clientes, es un recordatorio claro de que ninguna empresa legítima ofrece multiplicar criptomonedas enviadas a una dirección externa.
Fuente: BleepingComputer
