Los fiscales federales del estado de Carolina del Sur anunciaron que dos ciudadanos venezolanos condenados por delitos informáticos y conspiración serán deportados de Estados Unidos una vez cumplidas sus respectivas sentencias de prisión. Ambos fueron hallados culpables de participar en un esquema de jackpotting de cajeros automáticos (ATM jackpotting) que permitió el robo de cientos de miles de dólares directamente de bancos estadounidenses.
Los acusados, Luz Granados, de 34 años, y Johan Gonzalez-Jimenez, de 40, se declararon culpables de conspiración para cometer fraude informático, tras una investigación federal que reveló una campaña coordinada contra modelos antiguos de cajeros automáticos en varios estados del sureste del país.
¿Qué es el jackpotting de cajeros automáticos?
El jackpotting es una técnica avanzada de fraude bancario que consiste en infectar cajeros automáticos con malware especializado, obligando a la máquina a liberar todo el efectivo almacenado sin necesidad de tarjetas ni credenciales bancarias. A diferencia del fraude tradicional, este método no afecta directamente a las cuentas de los clientes, sino que provoca pérdidas económicas directas a las instituciones financieras.
Según el Departamento de Justicia de EE. UU. (DOJ), Granados y Gonzalez-Jimenez ejecutaban los ataques durante la noche para minimizar la detección. El procedimiento seguía un patrón bien definido:
-
Accedían físicamente al cajero automático
-
Retiraban la carcasa exterior
-
Conectaban un ordenador portátil
-
Instalaban malware diseñado para eludir los protocolos de seguridad
-
Forzaban al ATM a dispensar todo el efectivo disponible
“Una vez instalado el malware, el cajero automático distribuía dinero hasta vaciar completamente sus fondos”, explicó el DOJ en un comunicado oficial.
Malware Ploutus: la herramienta clave del ataque
Las investigaciones revelaron que los acusados utilizaron una variante del conocido malware Ploutus, una familia de código malicioso ampliamente asociada a ataques de jackpotting en América y Europa. En este caso, los atacantes lograban la infección del ATM mediante técnicas como:
-
Retirar el disco duro del cajero automático
-
Conectarlo directamente a un sistema externo
-
Infectarlo con Ploutus
-
Reinstalarlo en el cajero o reemplazarlo por un disco previamente comprometido
-
Utilizar memorias USB u otros dispositivos externos para la ejecución del malware
Una vez activo, Ploutus permitía realizar retiros de efectivo no autorizados, además de borrar rastros de actividad maliciosa para dificultar la detección por parte de técnicos bancarios.
Impacto financiero y alcance geográfico
Los fondos robados en este esquema provenían exclusivamente de los bancos, no de clientes individuales. Las instituciones afectadas se ubicaban en Carolina del Sur, Georgia, Carolina del Norte y Virginia, lo que confirma el carácter interestatal del ataque.
Como resultado del proceso judicial:
-
Johan Gonzalez-Jimenez fue condenado a 18 meses de prisión federal y deberá pagar 285.100 dólares en concepto de indemnización antes de ser deportado.
-
Luz Granados fue sentenciada a tiempo cumplido, obligada a pagar 126.340 dólares en restitución, y permanece bajo custodia a la espera de su deportación.
Conexiones con una red criminal más amplia
El caso no se limita a estos dos individuos. Las autoridades de Carolina del Sur compartieron pruebas clave con fiscales federales en Nebraska, lo que permitió imputar a 54 personas presuntamente involucradas en una conspiración a gran escala de jackpotting de cajeros automáticos que habría causado millones de dólares en pérdidas a bancos de todo Estados Unidos.
Entre los acusados en Nebraska figura Jimena Romina Araya Navarro, señalada como una de las presuntas líderes de la banda criminal venezolana Tren de Aragua, una organización que fue sancionada por la Oficina de Control de Activos Extranjeros (OFAC) del Departamento del Tesoro de EE. UU. en diciembre.
Jackpotting y crimen organizado transnacional
Este caso refuerza la preocupación de las autoridades estadounidenses por el uso del cibercrimen financiero como fuente de ingresos para organizaciones criminales transnacionales. El jackpotting, en particular, se ha convertido en una técnica atractiva debido a:
-
La existencia de cajeros automáticos antiguos sin parches de seguridad
-
El acceso físico relativamente sencillo
-
La disponibilidad de malware especializado en foros clandestinos
-
La dificultad inicial de atribución
El mes pasado, el Departamento de Justicia anunció que otros cinco ciudadanos venezolanos enfrentan deportación inmediata tras declararse culpables o ser condenados por robos de cajeros automáticos en múltiples estados de EE. UU., lo que sugiere una ofensiva coordinada contra este tipo de delitos.
Implicaciones para la ciberseguridad bancaria
Los ataques descritos ponen de manifiesto la urgente necesidad de modernizar la infraestructura de cajeros automáticos, especialmente aquellos que aún utilizan sistemas operativos obsoletos o carecen de mecanismos de detección de intrusión física y lógica.
Entre las medidas recomendadas por expertos en ciberseguridad se incluyen:
-
Actualización o sustitución de ATMs heredados
-
Cifrado completo de discos duros
-
Monitoreo en tiempo real de accesos físicos
-
Uso de arranque seguro y listas blancas de aplicaciones
-
Auditorías periódicas de seguridad
En fin…
La condena y deportación de Luz Granados y Johan Gonzalez-Jimenez marca un nuevo capítulo en la lucha de Estados Unidos contra el jackpotting de cajeros automáticos y el cibercrimen bancario. El caso evidencia cómo el malware especializado, como Ploutus, sigue siendo una amenaza significativa para el sector financiero y cómo estas operaciones pueden estar vinculadas a redes criminales organizadas de alcance internacional.
Para las instituciones financieras, el mensaje es claro: la seguridad física y lógica de los cajeros automáticos ya no puede tratarse como un riesgo secundario, sino como un componente crítico de la defensa contra el fraude moderno.
Fuente: BleepingComputer
