Pronósticos de ciberseguridad 2021: reflexiones en medio de un entorno asimétrico e inestable

Este artículo de Jeimy Cano fue publicado en su blog IT-Insecurity – http://insecurityit.blogspot.com, una respetada publicación sobre la seguridad informática y las experiencias que permiten a profesionales de la seguridad como a curiosos de la inseguridad compartir en un mismo espacio ideas, inquietudes, experiencias sobre la inseguridad informática, que es la razón misma de la existencia de la seguridad informática.

Por Jeimy Cano, Ph.D, CFE
IT-Insecurity – http://insecurityit.blogspot.com

Las tensiones globales que se han generado por cuenta de la emergencia sanitaria internacional y la revelación de nuevos actores en la carrera geopolítica para concretar una vacuna que permita inmunizar a la población mundial, establece los inéditos “normales” emergentes de la dinámica social, económica, tecnológica y política que cambia la aparente calma que se tenía antes del mes de marzo del 2020.

Este escenario asimétrico e inestable plantea desafíos emergentes y novedosos que confunden y retan los mejores pronósticos de los analistas internacionales sobre lo que puede suceder en los próximos años. Mientras el virus continúe sin un mecanismo de contención efectivo, habrá muchos espacios para mantener la desinformación, los inciertos, los miedos y la manipulación de la información en las relaciones sociales, con impactos inesperados y no previstos en los demás sectores de sociedad (Interpol, 2020).

La seguridad/ciberseguridad como conceptos complementarios y convergentes en la actualidad, plantean desafíos para los profesionales de seguridad y control tradicionales, comoquiera que rompen con la acostumbrada lectura técnica de los mismos, habida cuenta que el valor de la información se configura cada vez más como ese elemento fundamental que atraviesa la estrategia de las organizaciones, lo cual motiva una transición de habilidades y capacidades basadas en la protección de los datos, ahora centradas en las personas y el tratamiento de la información.

Para realizar este ejercicio se han consultado diversas fuentes de información especializadas, documentos elaborados por centros de pensamiento, artículos científicos, comentarios de expertos en el tema y sobremanera una visualización de líneas de acción que se reiteran al cruzar los datos recolectados hasta la fecha. En este sentido, este documento presenta una propuesta incompleta y limitada de las condiciones y retos que la seguridad/ciberseguridad puede manifestar para el año siguiente.

En consecuencia, las reflexiones que se plantean a continuación representan un mapa incompleto sobre un territorio inestable y cambiante, que trata de ubicar algunos puntos de referencia para construir posturas y tomar decisiones sobre seguridad/ciberseguridad de las organizaciones modernas, ahora más expuestas y abiertas que antes, dada la acelerada digitalización de sus procesos y la transformación digital de su modelos de negocio.

Pronósticos de seguridad/ciberseguridad 2021

A continuación se presentan los cinco (5) pronósticos que se advierten para el 2021 en las temáticas de seguridad/ciberseguridad, así como algunos temas complementarios que apalacan dinámicas particulares que pueden ser de interés para las organizaciones y las naciones en general.

1. El fearware – Un escenario de manipulación social

El uso masivo de redes sociales y mecanismos de acceso a información es una tendencia que confirma el aumento de la conectividad en la sociedad y la democratización de los servicios y productos digitalmente modificados. El uso extensivo a nivel de global de dispositivos “inteligentes” y ecosistemas digitales revela el aumento de flujos de información conocidos y desconocidos que ahora hacen parte de la lectura social del mundo actual (Valdez-de-Leon, 2019).

Con ocasión de la emergencia sanitaria se ha producido un tsunami de información y desinformación que advierte una dinámica de inciertos y contradicciones, la cual termina afectando y reconfigurando los imaginarios de las personas. Dichos cambios generan emociones y sentimientos de miedo, dudas y ansiedad que son capitalizados por agentes nocivos, para crear desestabilización, desconcierto y erosión de la confianza con el fin de marcar una agenda oculta de intereses que pasa desapercibida frente a los titulares de la realidad (Jones, 2019).

El fearware, como estrategia consolidada de la manipulación social, es la base de una guerra social virtual, donde diferentes actores toman posiciones y generan tendencias para movilizar a la población respecto de una temática particular, para desestabilizar naciones, para debilitar o manejar democracias, para concretar operaciones encubiertas que impacten las representaciones sociales y sobremanera, como una nueva amenaza a la integridad de la información, donde el reto y objetivo del adversario, es y será erosionar la confianza y la confiabilidad de una opinión informada (Mazarr, Bauer, Casey, Heintz & Matthews, 2020).

2. La cadena de suministro – Los terceros de des(confianza)

Los adversarios han venido observando y analizando que las empresas cada vez más dependen de terceros para operar. Con el escenario actual, muchas de ellas tuvieron que migrar rápidamente para contar con proveedores de servicios en la nube y algunos otras, ampliar sus contratos con los terceros para manejar, entre otros temas, servicios de monitoreo y control de sus plataformas (Europol, 2020).

Los atacantes han evidenciado que las empresas han fortalecido sus perímetros de seguridad y control, así como sus estrategias de monitorización y analítica, lo cual no les permite concretar parte de su estrategia natural para “pasar desapercibidos” y crear el incierto en los modelos de protección vigentes. En esa lectura, saben que deben continuar buscando aquel sitio que puedan ubicar con el menor nivel de aseguramiento y desde allí, establecer el pivote requerido para apalancar sus acciones contrarias (Ponemon-CyberGRX, 2020).

Casos recientes demuestran que los terceros que apoyan las organizaciones, cuentan con prácticas de seguridad y control que no están armonizadas con las de sus clientes, mantienen una visión de “isla” independiente basada en los términos y condiciones del contrato, y pocas veces se hace seguimiento sobre la realidad misma de sus estándares y posturas de protección de sus infraestructuras. En este sentido, se convierten en los nuevos focos de atención de los atacantes, como estrategia para llegar a organizaciones claves para ingresar sin ser notados y basados, muchas veces, en conexiones autorizadas desde aplicaciones debidamente registradas por sus clientes.

3. El secuestro de datos – Una amenaza vigente y latente

Los datos y la información se han convertido en uno de los activos más importantes de las organizaciones en la actualidad. Reconocer donde se ubican aquellos que resultan más valiosos y saber cómo se están protegiendo, debería ser una prioridad para las organizaciones del siglo XXI. Sin embargo, muchas veces la información de mayor relevancia termina en los lugares menos indicados o más inesperados, comoquiera que su uso resulta de manejo diario o muchas veces compartido entre diferentes personas.

En este contexto, los activos críticos de información terminan expuestos a las prácticas propias de las personas que son sus custodios naturales y por lo tanto, no es la probabilidad de la materialización de un evento adverso, lo que cuenta, sino la posibilidad concreta de una brecha o un secuestro de los mismos con ocasión de un “click” o una “descarga” de un archivo que venía adjunto a un correo electrónico, un enlace a un sitio no conocido o un mensaje en un sistema de mensajería con una url maliciosa (Vuggumudi & Wang, 2020). El ransomware como ese código malicioso que se descarga e instalada en el sistema informático, sólo tiene que ser paciente para esperar su oportunidad, para concretar el pivote que necesita para desplegar las acciones necesarias que permitan tomar el control del dispositivo, para deshabilitar las medidas de seguridad, establecer posiciones en la infraestructura donde está conectada la máquina y ejecutar sus rutinas de cifrado escalonado que termina con el temible anuncio del pago de una extorsión (Europol, 2020).

4. El modo “radar” y el modo “crisis” – Dos capacidades claves

Considerando las inestabilidades actuales a nivel global y local, los ejecutivos de seguridad poco le ayudan contar con la implementación de prácticas y estándares internacionales para anticipar o pronosticar nuevas formas de ataques o estrategias emergentes para comprometer las medidas de seguridad vigentes en las empresas. En este sentido, debe activar el modo “radar” que le permitan no solamente revisar lo que le indican las alertas de eventos conocidos, sino comenzar a establecer patrones de amenazas en medio de los datos hasta ahora consolidados tanto por el servicio de SOC (Security Operation Center), como por los mecanismos instalados en su perímetro de seguridad (Ponemon-CyberGRX (2020).

El modo “radar” lo que le permite es establecer un marco de revisión y exploración que lo habilita para monitorizar sus contornos, buscando inconsistencias, rarezas y contradicciones que le indiquen que algo fuera de lo común ocurre y que deberá revisar para establecer el nivel de atención que merece tal “anormalidad”. En consecuencia, las organizaciones deben tener claridad de lo que significa que algo funciona de forma “normal” con lo cual cualquier evento que se revele más allá de los umbrales definidos, sea catalogado como “inusual” y luego de su revisión y validación, pasar a ser “sospechoso” para su exploración en profundidad.

Si bien el modo “radar” es relevante y clave, pueden pasar desapercibidos eventos que terminen comprometiendo el modelo de seguridad y control de la organización, por lo tanto deberá tener listo el modo “crisis”, que lo que conlleva es un tratamiento de riesgos que no solo busca mitigar los impactos del eventos, sino moverse de forma coordinada para evitar caer en el juego del atacante, y responder con un “libro de jugadas” (playbook) claro (Bollinger, Enright & Valites, 2015), que cierre la brecha de inciertos que la situación pueda ocasionar.

5. Aceleración digital – Mayor superficie de ataques

No hay duda de que la emergencia sanitaria internacionales aceleró la transformación digital de las empresas, muchas de ellas de forma accidentada y por lo tanto, con muchos vacíos desde la perspectiva de seguridad y control. Se pasó de forma urgente de un modelo centralizado de operaciones y aseguramiento, a uno ampliamente basado en terceros (desconectados del marco de seguridad empresarial), con una cultura organizacional de seguridad de la información basada en personas informadas (algunos más conscientes que otras) y con un marco de trabajo en casa que responde a la práctica individual de higiene informática vigente en el hogar.

Este escenario plantea una superficie de conectividad e interacción digital que privilegia la funcionalidad sobre los mínimos de seguridad y control requeridos para un trabajo remoto. Lo anterior, habilita el escenario para crear un tejido digital con numerosos puntos de acceso y posibilidades, que un adversario puede aprovechar desde la inherente y natural forma de actuar de los individuos, hasta las vulnerabilidades técnicas de las plataformas utilizadas por los terceros o sus protocolos, los cuales pueden no estar actualizados o no parchados, lo que sugiere múltiples puntos candidatos para ser pivotes de un ataque, que generalmente termina siendo silencioso y encubierto por conexiones habilitadas y autorizadas (Culot, Fattori, Podrecca & Sartor, 2019).

Si bien la transformación digital es un proceso que habilita una dinámica ágil y eficiente de las experiencias de las personas, dadas las condiciones y necesidades actuales y futuras (HBR, 2019), es necesario que se incorporen y analicen los retos y capacidades requeridas, para dar cuenta con el apetito de riesgo de la empresa, para incorporar las innovaciones que demandan sus clientes, y así  conectar con los exigentes objetivos estratégicos empresariales, que buscan posicionar a la empresa en un lugar privilegiado de su mercado definido.

Propuestas para enfrentar los pronósticos 2021

1. Cultura organizacional de seguridad de la información – COSI

Si hay un año donde las personas tendrán  más relevancia en el contexto de la seguridad y el control será a partir del año entrante dada la alta dependencia de las acciones humanas para el desarrollo de las operaciones de las empresas. Un mayor trabajo remoto, el uso masivo de medios de comunicación, las reuniones bajo la modalidad de videoconferencia, los sitios para compartir información, entre otras actividades, harán evidente el nivel de compromiso, conocimiento, entendimiento y apropiación que los individuos tienen sobre el valor de la información de la empresa.

Tener claridad sobre el nivel de madurez de la COSI deberá ser un indicador clave en la gestión y gobierno de la ciberseguridad/seguridad de la empresas, dado que en la medida que la madurez no avance, la posibilidad que se estanque o retroceda será el riesgo más relevante que se deberá mitigar y anticipar, para continuar incubando los nuevos pivotes que los atacantes van a aprovechar por cuenta del eslabón más fatigado de la cadena: las personas (Cano, 2019).

2. Desarrollo de Playbooks o “libros de jugadas”

Dado que tarde o temprano el atacante tendrá éxito se hace necesario desarrollar estrategias distintas para el tratamiento de los riesgos. Más allá de establecer medidas de mitigación técnicas, es necesario reconocer una vista holística de la dinámica que representa la materialización de un evento adverso, para no actuar de forma errática, que es lo que pretende en últimas el atacante (Bollinger, Enright & Valites, 2015).

Por tanto, diseñar, desarrollar y simular un playbook establece una forma alterna de atender el incierto que generar dicho evento lo que lo define en sí mismo como:

  • una estrategia para actuar de forma coordinada,
  • una estructura para la toma de decisiones,
  • una respuesta a escenarios conocidos y latentes,
  • una forma de gestionar riesgos.

3. Aseguramiento de API – Application Program Interfase

La transformación digital que se adelanta por las organizaciones a nivel global está habilitada técnicamente hablando por terceros de confianza clave y por el uso de API, como fuente de interconexión entre los dispositivos y mecanismos en manos de las personas, y las infraestructuras de los terceros o las organizaciones. En este sentido, el aseguramiento y resistencia a los ataques que deben surtir las API deberán ser parte de la pruebas de mal uso que éstas deben soportar para concretar un nivel de confiabilidad mayor al que se tiene en la actualidad (Ponemon-CyberGRX, 2020).

En consecuencia, se deben tomar las mejores prácticas disponibles a la fecha como pueden ser las guías del OWASP, el SANS o el CISecurity, combinadas con marcos de trabajo para modelar amenazas con el fin de elevar el nivel de confiabilidad de la ejecución de estos mecanismos, y así mejorar la confianza digital necesaria para motivar mejores experiencia en los clientes.

4. Simulaciones y juegos de guerra

Las organizaciones que mejor estén preparadas para asumir el incierto que genera un evento adverso por cuenta de la acelerada transformación digital, son las que mejor van a mantenerse en un escenario altamente conectado. Por tanto, se hace necesario practicar y exponer con frecuencia a la organización a este tipo de contextos a través de simulaciones y juegos de guerra (incluyendo a los terceros claves en su cadena de suministro), como una forma de preparar las respuestas y habilitar a la empresa para enfrentar las inestabilidades que ocasiona estas situaciones (Cano, 2020).

En estos ejercicios se requiere la participación de toda la organización, con el fin de abordar la totalidad de la dinámica empresarial y de esta manera, todos los diferentes perfiles sabrán qué hacer para mantener una actuar y accionar coordinado de la empresa, haciendo más resistente a la organización como un todo, y limitando la configuración zonas grises o puntos ciegos de respuesta, donde un tercero lo suficientemente motivado y entrenado puede exponer la reputación corporativa por un “no sabía que debía hacer”.

5. Habilitar la resiliencia cibernética

Muchos informes ya no hablan de la probabilidad de un ciberataque, sino de cuándo va a ocurrir. Un ciberataque está diseñado para crear incierto e inestabilidad en el modelo de seguridad y control de una organización, con lo cual ninguna organización está exenta de manejar y superar un acción agresiva como esta. Así las cosas, toda empresa requiere ajustar sus modelos de operación basados en mitigación de riesgos, a una lectura de umbrales de operación que le permitan márgenes de actuación y estrategias de resistencia y recuperación eficientes a pesar de haber sido impactadas (Björck, Henkel, Stirna & Zdravkovic, 2015).

De manera que,  se requiere desarrollar y habilitar la resiliencia cibernética (ciber-resiliencia) como una capacidad organizacional requerida para anticipar, resistir, recuperar, aprender y evolucionar frente a la materialización de eventos cibernéticos adversos, y continuar asegurando la promesa de valor empresarial protegiendo la reputación de la compañía. Lo anterior, demanda comprender la dinámica corporativa de forma holística y ecosistémica para configurar una protección dinámica por capas y así proveer estrategias de “falla segura”, como un requisito básico que reconoce el error como parte del proceso y no como resultado (Bodeau, Graubart, Heinbockel & Laderman, 2015; Denyer, 2017).

Reflexiones finales

Desarrollar reflexiones alrededor de posibles pronósticos de seguridad/ciberseguridad para los próximos 365 días, es siempre una apuesta incierta comoquiera que muchas veces es posible quedar asombrados por una “sorpresa predecible” como la emergencia sanitaria que tenemos en la actualidad, amenazados por “misiles balísticos nucleares” oxidados y sin mantenimiento en algunas zonas del mundo, por una “guerra híbrida” que se desarrolla por debajo del nivel de la fuerza, por un mal uso de tecnologías emergentes que cambian y afectan la dinámica de las sociedades abiertas y democráticas, o por cambios climáticos inesperados que terminan con desastres que afectan una comunidad local o todo el mundo (Cano, 2020; WEF, 2020).

Por tanto, las apuestas desarrolladas en este documento no buscan marcar un camino o convertirse en referente de toma de decisiones, sino convertirse en una excusa académica y práctica que motive un diálogo estratégico al interior de las organizaciones, para darle forma a los escenarios que se pueden plantear a partir de esta propuesta, y así, definir algunas prioridades de acción particulares y propias, para movilizar de forma prospectiva a las empresas en medio de las volatilidades que se ven delante de la curva.

Los pronósticos de seguridad/ciberseguridad son un ejercicio que buscan detectar algunos patrones de actividad relevante para los modelos de seguridad y control de las empresas. Si bien no son exactos, como son los pronósticos del clima, si buscan configurar un mapa parcial de reconocimiento sobre un territorio de inciertos y cambios permanentes para triangular las posibles posiciones de los adversarios y así, crear inestabilidades en sus modelos de gestión de riesgos (Raban & Hauptman, 2018).

Muchos teóricos y académicos coinciden que no es posible “predecir” el futuro, por lo tanto todos aquellos ejercicios que permitan ver opciones y oportunidades en prospectiva serán de utilidad para mejorar la imaginación, aumentar las posibilidades y así darle mejor forma al futuro, desde el presente. En este sentido, los pronósticos que se plantean en este texto sólo son parte de ese insumo para pensar e imaginar, pues ya cada uno de los lectores tendrá el reto de darle forma concreta en las circunstancia de tiempo, modo y lugar en cada una de sus organizaciones.

Referencias

Björck, F., Henkel, M., Stirna, J. & Zdravkovic, J. (2015). Cyber Resilience – Fundamentals for a Definition.  En Á. Rocha et al. (eds.) New Contributions in Information Systems and Technologies. Advances in Intelligent Systems and Computing 353. 311-316. Doi: 10.1007/978-3-319-16486-1_31

Bodeau, D., Graubart, R., Heinbockel, W. & Laderman, E. (2015). Cyber Resiliency Engineering Aid –The Updated Cyber Resiliency Engineering Framework and Guidance on Applying Cyber Resiliency Techniques. MITRE Corporation.  De: https://www.mitre.org/sites/default/files/publications/pr-15-1334-cyber-resiliency-engineering-aid-framework-update.pdf

Bollinger, J., Enright, B. & Valites, M. (2015). Crafting the InfoSec Playbook. Sebastopol, CA. USA: O’Reilly.

Cano, J. (2019). The Human Factor in Information Security: The Weakest Link or the Most Fatigued? ISACA Journal. 5. Recuperado de: https://www.isaca.org/Journal/archives/2019/Volume-5/Pages/the-human-factor-in-information-security.aspx

Cano, J. (2020). Retos de seguridad/ciberseguridad en el 2030. Reflexión sobre un ejercicio prospectivo incompleto. Revista SISTEMAS. Asociación Colombiana de Ingenieros de Sistemas. No. 154. 68-79. https://doi.org/10.29236/sistemas.n154a7

Culot, G., Fattori, F., Podrecca, M. & Sartor, M. (2019). Addressing Industry 4.0 Cybersecurity Challenges. IEEE Engineering Management Review. 47(3). 79-86. Doi: 10.1109/EMR.2019.2927559

Denyer, D. (2017). Organizational resilience. A summary of academic evidence, business insights and new thinking. BSI-Crandfield University. De: https://www.cranfield.ac.uk/som/case-studies/organizational-resilience-a-summary-of-academic-evidence-business-insights-and-new-thinking

Europol (2020). Internet organised crime threat assessment. Report. https://www.europol.europa.eu/activities-services/main-reports/internet-organised-crime-threat-assessment-iocta-2020

HBR (2019). IT Talent strategy: new tactics for a new era. CIOs Share How to Compete in 2020 and Beyond. White Paper. Harvard Business Review. Analytic Services

Interpol (2020). Cybercrimen: Covid-19 Impact. August. Report. De: https://www.interpol.int/es/content/download/15526/file/COVID-19%20Cybercrime%20Analysis%20Report-%20August%202020.pdf

Jones, K. (2019). Online Disinformation and Political Discourse. Applying a Human Rights Framework. Research Paper. Chatham House. London, UK. https://www.chathamhouse.org/publication/online-disinformation-and-political-discourse-applying-human-rights-framework

Mazarr, M., Bauer, R., Casey, A., Heintz, S. & Matthews, L. (2020). The Emerging Risk of Virtual Societal Warfare. Social Manipulation in a Changing Information Environment. Rand Corporation. https://doi.org/10.7249/RR2714 

Ponemon-CyberGRX (2020). Digital transformation & cyber risk. What you need to know to stay safe. Sponsored by CyberGRX. https://get.cybergrx.com/ponemon-report-digital-transformation-2020

Raban, Y. & Hauptman, A. (2018). Foresight of cyber security threat drivers and affecting technologies. Foresight. 20(4). 353-363. https://doi.org/10.1108/FS-02-2018-0020

Valdez-de-Leon, O. (2019). How to Develop a Digital Ecosystem: a Practical Framework. Technology Innovation Management Review. 9(8): 43-54. http://doi.org/10.22215/timreview/1260

Vuggumudi, S. & Wang, Y. (2020). Sophisticated tools alone cannot prevent advanced persistent threats: What’s next? ISSA Journal. June. 33-39

WEF (2020). The Global risk report 2020. World Economic Forum. Report. https://www.weforum.org/reports/the-global-risks-report-2020

FinCEN confía en su capacidad para implementar la nueva ley AML y lanzar una base de datos de propiedad corporativa

Kenneth Blanco, director de la división FinCEN del Departamento del Tesoro, dijo que la prioridad de la agencia es seguir adelante con las reformas contra el lavado de dinero recientemente promulgadas.

Durante el próximo año FinCEN sumirá un papel de liderazgo en tapar lo que muchos expertos consideran el mayor agujero en las protecciones contra el lavado de dinero de los EE.UU. La extensa legislación ALD/CFT, aprobada este año, requiere que la agencia cree un registro de propiedad corporativa de última generación destinado a ayudar a las autoridades a desenmascarar a los beneficiarios reales de empresas fantasma anónimas y rastrear el flujo de dinero ilícito.

La unidad de información financiera de EE.UU., que depende del Departamento del Tesoro de EE.UU., FinCEN, busca adquirir los recursos que necesita para implementar nuevas reformas radicales ALD/CFT, de una manera que no suponga una carga innecesaria para la industria financiera, dijo su director.

Poner en práctica la legislación contra el lavado de dinero, que se aprobó en enero como parte de un proyecto de ley anual de política de defensa, es una prioridad de FinCEN, dijo la semana pasada el director de FinCEN, Kenneth Blanco, en una conferencia virtual organizada por el International Institute of Bankers citado por un artículo publicado por el Wall Street Journal.

“La prioridad es asegurarnos de hacer todo lo posible para implementar la [ley], todo lo que podamos para que FinCEN esté en una posición en la que pueda lograrlo”, dijo Blanco. Eso significa asegurarse de que FinCEN tenga “todo el personal” y “todos los recursos”, y lleve a cabo el alcance necesario para redactar cuidadosamente las regulaciones que rodean la ley, señala el periódico neoyorquino.

FinCEN es una de las más de 160 unidades de inteligencia financiera que operan en países de todo el mundo. Su mandato es recopilar información sobre actividades financieras sospechosas de bancos y otras instituciones financieras para combatir el blanqueo de capitales, la financiación del terrorismo y otros delitos.

La misión de la unidad ha crecido desde su formación en 1990. Hoy en día, FinCEN es multifacética con una lista de prioridades en competencia, desde la recopilación de inteligencia y la gestión de bases de datos hasta la formulación de políticas, la aplicación de la ley y las investigaciones. La ley contra el blanqueo de dinero solo se suma a esa carga.

El proyecto de ley contra el lavado de dinero requiere que FinCEN cree un sofisticado registro de propiedad corporativa que pueda ayudar a los funcionarios encargados de hacer cumplir la ley a penetrar en empresas fantasma anónimas y rastrear potencial dinero ilícito.

La creación de la base de datos probablemente sea un gran impulso para FinCEN, cuya fuerza laboral representa menos del 1% de todo el personal de tiempo completo del Departamento del Tesoro.

El año pasado, la agencia solicitó un presupuesto de casi US$ 130 millones, con asignaciones para 346 empleados a tiempo completo. Un informe de la Oficina de Presupuesto del Congreso de 2019 que revisó una versión anterior del proyecto de ley de beneficiarios reales estimó que el costo único de actualizar los sistemas de Tecnología de la Información de FinCEN para construir el registro sería de aproximadamente US$ 40 millones, según publica el WSJ.

Blanco dijo que su agencia estaba capacitada para implementar la ley. “Creemos que podemos hacerlo”, dijo a los representantes de la industria financiera. Pero dijo que FinCEN actuaría con cuidado al escribir las reglas que implementan la legislación. “Hemos esperado tanto tiempo por este tipo de legislación”, dijo Blanco. “Necesitamos asegurarnos de ser muy cuidadosos en su implementación”.

Para crear el registro corporativo, FinCEN deberá proponer regulaciones que establezcan exactamente quién deberá presentar la información de propiedad ante la agencia y con qué frecuencia. Tendrá que decidir quién puede acceder a él y cómo.

También deberá redactar reglas para muchas otras disposiciones del proyecto de ley. La ley requiere que FinCEN comience a entregar recompensas pecuniarias a denunciantes y que implemente un programa piloto que permita a los bancos en EE.UU. compartir información sobre actividades sospechosas con sus operaciones internacionales.

La UIF estadounidense tiene un año para redactar el reglamento y otros dos para ponerlo en práctica, de acuerdo con la ley. El presidente Biden aún no ha designado a un subsecretario del Tesoro para Terrorismo e Inteligencia Financiera, un rol que también supervisa a FinCEN.

Según publica el periódico, Blanco no proveyó información concreta sobre cómo FinCEN podría implementar ciertas partes de la legislación. Pero dijo que el propósito de la ley era proteger la seguridad nacional al hacer que la normativa contra el lavado de dinero sea más eficiente. La agencia no buscaba cargar sobre las espaldas de los bancos obligaciones de cumplimiento adicionales, dijo.

El proceso de elaboración de normas podría ser políticamente tenso para FinCEN, que tendrá que navegar por los intereses a veces contrapuestos de instituciones financieras, reguladores, funcionarios encargados de hacer cumplir la ley y grupos de defensa.

Es probable que la promulgación de nuevas regulaciones sea un proceso espinoso. La agencia tendrá que navegar por los intereses de los principales bancos y sus reguladores, agencias de aplicación de la ley, defensores de la transparencia financiera y asociaciones comerciales.

Se espera que la letra pequeña de las regulaciones toque de manera más inmediata a los propietarios de pequeñas empresas y entidades como las compañías de responsabilidad limitada, muchas de las cuales deberán enviar información al gobierno federal a menos que estén bajo una de las más de 20 exenciones.

Los grupos de transparencia financiera dicen que las exenciones deben mantenerse limitadas para aumentar la efectividad general de la ley. Los grupos empresariales, en particular la Federación Nacional de Empresas Independientes, una asociación de pequeñas empresas, dicen que lucharán para minimizar los costos para sus miembros de cumplir con la legislación.

La forma en que FinCEN aborde los aspectos tecnológicos del registro también será fundamental, dicen los expertos, ya que los sistemas subyacentes podrían determinar con qué eficacia los bancos y los socios encargados de hacer cumplir la ley de FinCEN utilizan los nuevos registros de propiedad para prevenir e investigar delitos.

Según publica el WSJ; un informe de la Oficina de Presupuesto del Congreso sobre una versión de 2019 del proyecto de ley de registro corporativo estimó que generaría aproximadamente entre 25 y 30 millones de presentaciones al año. Pero el proyecto de ley promulgado no requiere que las entidades cubiertas presenten una presentación anual. En la actualidad, FinCEN recibe alrededor de 3 millones de reportes de operaciones sospechosas (ROS) al año, que se encuentran alojados en un sistema que contiene más de 300 millones de informes.

Blanco alentó a las instituciones financieras a expresar sus comentarios sobre las regulaciones, al tiempo que dijo que deberían tratar de ofrecer soluciones a cualquier escollo percibido porque las reformas son necesarias para proteger el sistema financiero y los intereses de seguridad nacional del país. “Vamos a echarle un vistazo”, refiriéndose a cualquier comentario potencial que las instituciones financieras y otras entidades afectadas envíen sobre las regulaciones. “[Pero] al final del día … vamos a hacer lo que creemos que es lo mejor para proteger este país y nuestra seguridad nacional”.

Análisis de GFI sobre los flujos financieros relacionados con el narcotráfico en Latinoamérica

A finales del año pasado, Global Financial Integrity (GFI), un think tank con sede en Washington, presentó un análisis sobre los flujos financieros ilícitos relacionados con los narcóticos entre Estados Unidos y los principales países productores y de tránsito de narcóticos de México y Colombia. El informe fue encargado por la Comisión de Política de Drogas del Hemisferio Occidental como parte de su mandato de evaluar las políticas y programas de drogas de Estados Unidos en América Latina y el Caribe, evaluar los esfuerzos actuales para reducir el suministro de drogas ilícitas y abordar los daños asociados con el tráfico y el abuso de drogas.

GFI está compuesto por un grupo de expertos que producen análisis de alto calibre sobre los flujos financieros ilícitos, asesora a los gobiernos de los países en desarrollo sobre soluciones políticas efectivas y promueve medidas pragmáticas de transparencia en el sistema financiero internacional como un medio para la seguridad y el desarrollo global.

Se pueden y se han utilizado diversas estrategias para abordar el tráfico de drogas en el hemisferio occidental, desde la erradicación manual y aérea de cultivos hasta la interdicción, la sustitución de cultivos ilícitos y otros enfoques de desarrollo alternativo. Si bien las estrategias existentes han provocado interrupciones temporales del cultivo y tráfico de estupefacientes, no han tenido éxito en abordar estos problemas de manera integral y duradera. Al mismo tiempo, la historia ha demostrado que muchas de estas políticas han tenido consecuencias no deseadas y han causado daños a las personas, sus comunidades y el medio ambiente de manera muy profunda.

Las estrategias financieras del conjunto de herramientas contra el lavado de dinero y el financiamiento del terrorismo (ALD / CFT) ofrecen una perspectiva diferente para ver y abordar el problema del tráfico de drogas. En este informe, GFI argumenta que la lucha contra el lavado de dinero y financiación del terrorismo no está siendo utilizada en toda su magnitud para luchar contra el narcotráfico, y necesita volver a convertirse en una prioridad. Según GFI responder eficazmente a los desafíos del tráfico de drogas y el crimen organizado transnacional requerirá un esfuerzo multidisciplinario, de múltiples partes interesadas y que incluya ALD / CFT, así como un enfoque más integral de las políticas de drogas que abarque los derechos humanos y la salud pública.

El alcance de los flujos financieros ilícitos relacionados con el narcotráfico

Si bien estimar el valor financiero de las actividades ilícitas es desafiante, GFI llevó a cabo una revisión exhaustiva de los datos disponibles y creó sus propias estimaciones, basándose en una variedad de metodologías, para tener una idea de la escala de este problema. Las diferentes metodologías utilizadas indican que el valor de los flujos financieros ilícitos relacionados con el narcotráfico que afectan a Estados Unidos, México y Colombia se encuentra entre US$42.300 millones y US$121.600 millones anuales. La amplia gama refleja la dificultad de proporcionar un punto de datos cuantitativos para la actividad financiera ilícita. La mejor estimación sería el punto medio de entre US$80.000 y US$90.000 millones al año en flujos financieros ilícitos relacionados con el narcotráfico.

Métodos utilizados para lavar dinero del narcotráfico

Este informe se basa en entrevistas realizadas a expertos familiarizados con los contextos de Estados Unidos, México y Colombia. Se hizo un esfuerzo para incluir una variedad de perspectivas que representen a funcionarios gubernamentales actuales y anteriores, el sector financiero, académicos, investigadores y grupos de la sociedad civil.

A partir de estas entrevistas y otras fuentes disponibles públicamente, este informe identifica el contrabando de efectivo a granel (bulk cash smuggling) y el lavado de dinero basado en el comercio (TBML o Trade-Based Money Laundering) como los dos métodos principales utilizados para transferir los ingresos provenientes de las drogas de una jurisdicción a otra. El contrabando de efectivo a granel implica el transporte físico de grandes cantidades de efectivo, mientras que TBML implica disfrazar los ingresos ilícitos como transacciones comerciales internacionales legítimas para trasladarlos a través de las fronteras y / o lavarlos en la economía formal.

Este informe también analiza el papel de los facilitadores, como inescrupulosos gatekeepers o guardianes que hacen caso omiso a sus responsabilidades profesionales y legales al permitir que el dinero sucio ingrese al sistema financiero internacional. Además, destaca el papel de los funcionarios corruptos, un hilo conductor en el lavado de dinero relacionado con los narcóticos, que facilitan los flujos financieros ilícitos relacionados con los narcóticos y obstaculizan los esfuerzos de las fuerzas de ley.

Recomendaciones de política

Este informe analiza los esfuerzos de México, Colombia y Estados Unidos para abordar los flujos financieros ilícitos relacionados con los narcóticos a través de la prevención, supervisión, denuncia, investigación y enjuiciamiento. Debido a la gran cantidad de grupos ilícitos involucrados y su tremendo ingenio y creatividad, es importante considerar soluciones sistémicas y de gran tamaño a nivel de políticas. Además, ver el tema del tráfico de drogas a través de la lente del delito financiero abre una serie de opciones de políticas, muchas de las cuales están subutilizadas actualmente, señala GFI. Con base en la gravedad de la necesidad, así como en la efectividad y viabilidad de la solución de política, se deben priorizar las siguientes recomendaciones, señalando que si bien los esfuerzos de todos los países son importantes, las estrategias de EE.UU. recibieron más cobertura en este informe, ya que fue preparado para una Comisión del Congreso de los Estados Unidos:

Estados Unidos

Para abordar el papel de las empresas anónimas en los delitos financieros, EE.UU. debería promulgar una legislación que requiera la recopilación de información sobre las personas reales o los “beneficiarios reales” detrás de las corporaciones, LLC (compañías de responsabilidad limitada) y otras entidades similares en el momento del registro.

Dada la prevalencia del TBML y el contrabando de efectivo a granel como formas de lavar el producto de los narcóticos, EE.UU. debería exigir información sobre el beneficiario real para todas las empresas involucradas en el comercio transfronterizo, así como para lanchas rápidas y aviones.

Dado que los inescrupulosos APNDFs, Gatekeepers o guardianes son un hilo conductor en el lavado de dinero relacionado con narcóticos, EE.UU. debería exigir a los abogados, contadores y agentes de formación corporativa que cumplan con los requisitos ALD / CFT, como la debida diligencia del cliente.

Para enfrentar el desafío del TBML, EE.UU. debe fortalecer las Unidades de Transparencia Comercial (TTU), permitiendo el intercambio de información en tiempo real de manera piloto con socios confiables para examinar el impacto en la aplicación.

México

México debería reevaluar cómo el ALD / CFT está funcionando para las empresas no financieras, un sector que actualmente es muy vulnerable, para asegurarse de que el enfoque actual sea efectivo y apropiado.

Dada la superposición entre la corrupción oficial y el narcotráfico en México, Estados Unidos debería estar abierto a las oportunidades de trabajar con México en los esfuerzos anticorrupción.

Si bien México, a diferencia de Estados Unidos, tiene ciertos requisitos de beneficiario final, es importante fortalecer su implementación, especialmente en lo que respecta a la verificación de la información que se reporta.

Debido a que las investigaciones y los procesamientos por delitos financieros siguen siendo bajos, es importante que México fortalezca la coordinación interinstitucional y el flujo de información sobre los casos de ALD entre agencias, desde la presentación de informes hasta la investigación, el enjuiciamiento y la condena.

Colombia

Como en México, las empresas no financieras colombianas son vulnerables; en este sentido, Colombia debe reevaluar cómo funciona ALD / CFT para las empresas no financieras y asegurarse de que el enfoque actual sea eficaz y apropiado.

Colombia debería crear un grupo de trabajo interinstitucional para abordar TBML y aclarar las responsabilidades de las agencias.

Al igual que México, Colombia ha tenido dificultades para lograr condenas por lavado de dinero; en este sentido, es importante realizar una revisión interna exhaustiva para comprender por qué las condenas por cargos de lavado de dinero son tan bajas.

A la luz del papel de las empresas anónimas en el tráfico de drogas y el lavado de dinero, Colombia debe tomar medidas para mejorar la verificación de la información sobre el beneficiario final, particularmente durante la constitución de la empresa.

Consejos en Delitos Financieros: comparta sus tips, su historia y apoye a la comunidad

Para aquellos que buscan construir una carrera en el mundo del cumplimiento y la prevención de delitos financieros, es una incuestionable obviedad decir que el 2020 ha sido un año largo y extraño. ¿Cómo se pueden dar los primeros pasos para iniciar una carrera en medio de una pandemia? Y para aquellos que ya están trabajando, ¿cómo pueden continuar desarrollándose profesionalmente y llevarlo al siguiente nivel?

Puede que no haya respuestas fáciles a estas preguntas, pero es útil contar con la orientación, guía, consejos de profesionales que han estado en las trincheras. Es por eso que ACFCS está lanzando FinCrime Career Tips (Consejos Profesionales en FinCrime), una nueva función que destaca los consejos profesionales enviados por nuestros miembros.

Nuestra comunidad está repleta de sabiduría y conocimientos prácticos, ¡y queremos saber de usted!

Cómo funciona

Cada trimestre, ACFCS pide consejo a sus miembros sobre varios aspectos relacionados con el crecimiento y desarrollo profesional en el campo de los delitos financieros, desde poner el primer pie en esta industria hasta encontrar un mentor. Este trimestre, nos centramos en la orientación para iniciar una carrera: todo, desde lo que lo motivó a buscar un rol en la prevención de delitos, hasta dónde está viendo oportunidades de contratación y más.

Haga clic en el formulario a continuación para ver las preguntas y enviar sus respuestas. Recopilaremos las respuestas y las compartiremos con nuestra comunidad de miembros el próximo mes. Tres participantes recibirán un año de membresía ACFCS de cortesía (que se agregará a su membresía existente para los miembros vigentes).

  • Se aceptan envíos del 1 de marzo al 31 de marzo
  • Limite las respuestas de cada pregunta a 400 palabras o menos (puede optar por responder cualquier pregunta)
  • Las respuestas se compartirán con los miembros de ACFCS en un nuevo correo electrónico semanal de Consejos y Trucos y en nuestro sitio: DelitosFinancieros.org
  • Se elegirán tres personas para recibir un año de membresía gratuita de ACFCS
  • Puede optar por permanecer anónimo o permitir que se comparta su nombre cuando se publiquen los resultados
Haga clic aquí para compartir sus consejos profesionales

Finaliza el Plenario del GAFI con un fuerte énfasis en activos virtuales, ambiente digital, supervisión basada en riesgo, CFT y la Proliferación

El segundo Plenario del GAFI bajo la Presidencia alemana tuvo lugar los últimos días de febrero.

Los delegados que representan a los 205 miembros de la Red Global y organizaciones observadoras, como el FMI, las Naciones Unidas y el Banco Mundial, trabajaron en una agenda completa para fortalecer las salvaguardas globales para detectar, prevenir e interrumpir los flujos financieros que alimentan el crimen y el terrorismo. Debido a la pandemia de COVID-19 en curso, el Plenario se reunió virtualmente por tercera vez.

A medida que la pandemia continúa afectando a las familias, servicios de salud, comunidades y economías de todo el mundo, los delincuentes continúan aprovechando la crisis para obtener beneficios económicos. Los delegados continúan trabajando para erradicar el lavado de activos de delitos, incluidos los vinculados a la pandemia de COVID-19.

Durante sus discusiones, los delegados finalizaron el trabajo en una serie de áreas importantes. Estos incluyeron orientación para ayudar a los países a adoptar un enfoque de supervisión eficaz y basado en el riesgo, orientación sobre la investigación y el enjuiciamiento del financiamiento del terrorismo y el trabajo sobre el tráfico ilícito de armas y el financiamiento del terrorismo, los dos últimos disponibles para las autoridades competentes.

Los delegados también acordaron publicar para consulta pública un borrador de guía para ayudar a los países, instituciones financieras y APNFD (Actividades y Profesiones No Financieras Designadas) a identificar, evaluar y mitigar los riesgos del financiamiento de la proliferación de armas de destrucción masiva, y una guía actualizada sobre activos virtuales y proveedores de servicios de activos virtuales.

El GAFI también avanzó en su trabajo sobre cuestiones clave en curso. Estos incluyen la digitalización, que tiene el potencial de hacer que las acciones contra el lavado de dinero y el financiamiento del terrorismo (ALD / CFT) sean más efectivas y eficientes. En particular, el GAFI acordó comenzar un nuevo trabajo sobre la transformación digital de ALD / CFT para agencias operativas. El GAFI también continuó las conversaciones sobre la revisión estratégica, que dará forma a la próxima ronda de evaluaciones mutuas y las hará más oportunas y basadas en riesgos. Los delegados exploraron posibles enmiendas para fortalecer aún más los requisitos del GAFI sobre beneficiarios reales. Las evaluaciones mutuas del GAFI, así como los ejemplos de abuso de alto perfil, demuestran que los delincuentes aún pueden ocultar sus activos ilícitos detrás de estructuras legales anónimas o complejas. Los delegados discutieron cómo mejorar la transparencia y garantizar que las autoridades dispongan de información actualizada sobre los beneficiarios reales. El GAFI también discutió los hallazgos preliminares en su trabajo en curso para superar los desafíos relacionados con la recuperación efectiva de los activos de los delincuentes, abordar el lavado de dinero por delitos ambientales y el financiamiento del terrorismo por motivos étnicos y raciales.

Mejorar la supervisión basada en riesgo

El GAFI aprobó una nueva guía para ayudar a mejorar la supervisión eficaz basada en riesgos. Los supervisores juegan un papel crucial en la prevención del lavado de dinero y el financiamiento del terrorismo. Lo hacen ayudando a sus entidades reguladas, como bancos, contadores, servicios de transferencia de valor monetario, VASP y otras profesiones y negocios no financieros designados, a comprender los riesgos que enfrentan y cómo mitigarlos. Los supervisores eficaces también se aseguran de que las entidades reguladas cumplan con sus obligaciones ALD / CFT y tomen las medidas adecuadas si esas entidades no lo hacen.

Adoptar un enfoque de supervisión basado en el riesgo significa abordar el arco completo de riesgos, desde los sectores de mayor a menor riesgo, pero concentrar los recursos donde los riesgos son mayores. Un enfoque basado en el riesgo es menos pesado para los sectores o actividades de menor riesgo, lo cual es fundamental para mantener o aumentar la inclusión financiera.

La transición de la supervisión basada en reglas a la supervisión basada en riesgos lleva tiempo y puede ser un desafío, como han demostrado los resultados de las evaluaciones mutuas. Requiere un cambio en la cultura de supervisión. Los supervisores deben tener un conocimiento profundo de los riesgos que enfrentan sus entidades reguladas. También necesitan tener poderes, capacidad y recursos adecuados, así como apoyo político y organizativo. La nueva guía de supervisión basada en riesgos del GAFI aborda desafíos comunes de implementación. Proporciona ejemplos de países y ejemplos de estrategias para supervisar negocios y profesiones no financieras y proveedores de servicios de activos virtuales (VASP). El GAFI publicará esta guía en la primera semana de marzo.

Mitigar los riesgos de lavado de dinero y financiamiento del terrorismo de los activos virtuales

El GAFI acordó publicar una actualización de la guía del GAFI para activos virtuales y VASP para consulta pública. Esta guía se publicó en junio de 2019 y acompañó las enmiendas a los Estándares del GAFI para ubicar claramente las obligaciones ALD / CFT en relación con los activos virtuales y los VASP. Las Recomendaciones del GAFI ahora requieren que los VASP estén regulados, autorizados y registrados, y sujetos a sistemas efectivos de monitoreo y supervisión. La revisión de 12 meses del GAFI sobre la implementación de las normas revisadas del GAFI sobre activos virtuales y VASP, destacó que tanto el sector público como el privado habían avanzado en la implementación de las medidas necesarias. Pero también reveló la necesidad de una mayor orientación para implementar los requisitos revisados, incluso para los países de baja capacidad.

El GAFI ahora ha actualizado su guía para abordar áreas específicas, incluso sobre cómo aplicar los estándares a las llamadas stablecoins o monedas estables, cómo los sectores público y privado pueden implementar la regla de viaje y cómo abordar los riesgos de las transacciones peer-to-peer. El GAFI publicará el borrador de la consulta pública en marzo. El feedback de la consulta alimentará la guía final que el GAFI espera aprobar en junio de 2021. El GAFI también ha lanzado su segunda revisión de 12 meses que analizará el estado de implementación global de los estándares del GAFI sobre activos virtuales e identificará cualquier desafío desafío adicional.

Fortalecimiento de las medidas para prevenir la financiación de la proliferación de armas de destrucción masiva

El GAFI acordó una nueva guía sobre la evaluación y mitigación del riesgo de financiación de la proliferación para consulta pública. En octubre de 2020, el GAFI fortaleció significativamente sus medidas para prevenir el financiamiento de la proliferación de armas de destrucción masiva (WMD o ADM), una seria amenaza para la paz y la seguridad internacionales.

Al mismo tiempo, el GAFI se comprometió a desarrollar una guía para ayudar a los países y al sector privado a evaluar y mitigar el riesgo de financiamiento de la proliferación. Esta nueva guía tiene como objetivo aclarar la implementación de los requisitos del GAFI, incluida la forma de preparar una evaluación de riesgos en el contexto del financiamiento de la proliferación, indicadores de riesgo para posibles incumplimientos, no implementación o evasión de las obligaciones de sanciones de financiamiento de la proliferación, y las medidas de mitigación de riesgos necesarias para abordar los riesgos identificados, incluso para las entidades de bajo riesgo para evitar las consecuencias no deseadas de la exclusión financiera. También se ocupa de la supervisión de las evaluaciones y la mitigación de riesgos del financiamiento de la proliferación. El GAFI publicará la guía para consulta pública en marzo antes de finalizarla y aprobarla en junio de 2021.

Mejorar las investigaciones y los enjuiciamientos relacionados con el financiamiento del terrorismo

La investigación y el enjuiciamiento de los actores involucrados en el financiamiento del terrorismo es una parte fundamental pero también desafiante de cualquier régimen CFT efectivo. Las evaluaciones realizadas en toda la Red Mundial destacaron que muchos países tienen debilidades importantes o fundamentales en la investigación o el enjuiciamiento de quienes financian el terrorismo.

El Consejo de Seguridad de las Naciones Unidas también expresó su preocupación en la Resolución 2462 (2019), que pide una investigación y un enjuiciamiento más efectivos del financiamiento del terrorismo. El GAFI ahora ha finalizado una guía que brinda las mejores prácticas a las autoridades nacionales para mejorar la efectividad de sus acciones legales contra el financiamiento del terrorismo. Esta guía cubre la detección, las estrategias de investigación para tipos comunes de actividades de financiamiento del terrorismo, la demostración de la intención y el conocimiento y la confiscación de activos como una herramienta para interrumpir el financiamiento del terrorismo. Este informe confidencial estará disponible para su uso por las autoridades gubernamentales pertinentes.

Lucha contra el tráfico ilícito de armas y la financiación del terrorismo

El tráfico ilícito de armas alimenta los conflictos en todo el mundo y afecta la vida de civiles inocentes. Al comienzo de la presidencia alemana en junio de 2020, el GAFI dio prioridad a seguir explorando los vínculos entre el tráfico ilícito de armas y la financiación del terrorismo. El GAFI ha aprobado ahora un informe que creará conciencia en toda la Red Global, particularmente en el contexto de las evaluaciones de riesgos nacionales, y ayudará a los países a desarrollar respuestas operativas efectivas. Una mejor comprensión del tráfico ilícito de armas ayudará a lograr uno de los Objetivos de Desarrollo Sostenible de la ONU de reducir los flujos ilícitos de armas. Este informe confidencial, que incluye aportes de toda la Red Global, estará disponible para que lo utilicen las autoridades gubernamentales pertinentes.

Miembro Destacada: Soledad Echenagusia, CFCS – «Las nuevas tecnologías y la internacionalización de las transacciones en forma virtual son grandes desafíos»

Soledad Echenagusia, CFCS
Socia – Especialista en Cumplimiento Regulatorio y Prevención de Lavado de Activos y Financiamiento del Terrorismo

LEXIN legal & business consulting
Montevideo, Uruguay

Soledad es una gran amiga de ACFCS quien desde Uruguay nos ha acompañado y apoyado en numerosos eventos de capacitación, tanto presenciales (en Panamá, Colombia, etc.) como los virtuales que explotaron en el 2020. Desde ACFCS estamos muy honrados de contar con la enorme experiencia y conocimiento de nuestra amiga charrúa acompañándonos en nuestro camino de capacitaciones, entrenamiento y formación profesional.

A pesar de la enorme carga y obligaciones laborales, Soledad nunca bajó los brazos en su objetivo de obtener la certificación CFCS (Especialista Certificada en Delitos Financieros) y finalmente se pudo hacer el espacio para estudiar y rendir el examen el año pasado en medio de la pandemia, pero con el gran aliciente de poder rendirlo desde la comodidad del hogar o la oficina. Nos alegró enormemente que aprobara el examen y comenzara a acompañarnos como miembro ACFCS certificada! Felicitaciones Sole!

Soledad cuenta con más de 25 años de experiencia como Oficial de Cumplimiento en firmas de primera línea internacional (Raymond James Uruguay y Puente Corredor de Bolsa), con foco en cumplimiento regulatorio, riesgos y aplicación de regulación de entidades financieras para la ALD/CFT, entre otras. En la actualidad se desempeña como consultora independiente en la firma legal LEXIN legal & business consulting basada en Montevideo, Uruguay.

A lo largo de su carrera como responsable de cumplimiento se desempeñó también como Directora Ejecutiva de Raymond James Uruguay durante 14 años, destaca como principal desafío (nada original en el sector) lograr que las áreas comerciales compartan el compromiso en el blindaje de la organización a que pertenecen frente al lavado de activos y la corrupción, por convicción y no con el sentimiento de “cumplimiento del deber”.

Soledad es Doctora en Derecho y Ciencias Sociales por la Universidad de la República en Uruguay, cuenta con un Master en Derecho de la Empresa del Instituto de Estudios Empresariales de Montevideo y, además de la certificación CFCS, cuenta con las Certificaciones de CAMS y el ISEDE de la Universidad Católica del Uruguay.

Se desempeñó durante 17 años como responsable de la Unidad de Servicios Internacionales de PWC Uruguay, con foco en international tax planning y business localtion process. Fue Directora Ejecutiva y Oficial de Cumplimiento en Raymond James en Uruguay durante 14 años y Chief Compliance Officer de Puente Corredor de Bolsa durante 2 años, luego de lo cual se volcó a la consultoría independiente.

Muy horados de contar con Sole en este rincón de Miembro certificado para que comparta con nuestra comunidad de profesionales en delitos financieros algunos conocimientos, mejores prácticas y puntos de vistas adquiridos durante su vasta y sólida experiencia. Gracias!

¿En qué te desempeñas actualmente?

Después de 32 años en cargos de línea de empresas de primer nivel, decidí que los últimos pasos de mi carrera profesional (que espero sean muchos) debía volcarlos a la consultoría de firmas reguladas tanto del sector financiero como no financiero. El haber estado de los dos lados del “mostrador”, como Oficial de Cumplimiento y como Asesor Independiente me ha dado una visión más práctica y real de los riesgos a los que esta expuesta una entidad desde el punto de vista de AML/CTF.

¿Cuál ha sido tu mayor desafío profesional en el campo ALD/CFT?

Creo que quienes hemos desempeñado roles de cumplimiento y prevención de lavado hemos enfrentado el mismo desafío: el compromiso conciente y por convicción de las áreas comerciales y no comerciales respecto de la necesidad de mantener a nuestras entidades protegidas frente al lavado de activos, el financiamiento del terrorismo y la corrupción. En general, históricamente, estos crímenes financieros han sido vistos como grandes maniobras a las que no todos estamos expuestos. En la actualidad, gracias a la globalización, las nuevas tecnologías y las estrategias más sofisticadas de los criminales, la exposición de las entidades a estos delitos es mucho mayor y directa.

¿Cómo es tu trayectoria profesional en el campo del control del crimen financiero?

Comencé en el año 2002 cuando me incorporé como Directora Ejecutiva a Raymond James Uruguay. En aquella época Uruguay no sometía a regulación local a los Asesores de Inversión, figura que mantenía la empresa en el país. Pero asumí el rol de Oficial de Cumplimiento frente a la firma en Estados Unidos y descubrí un mundo de gran complejidad que me atrapó de por vida. Luego, cuando la entidad estuvo sujeta a regulación en Uruguay alrededor del 2010, fui Oficial de Cumplimiento a nivel local y ante el regulador local. La experiencia adquirida en la empresa estadounidense en ese momento, a un año de la sanción de la USA Patriot Act, fue fantástica. Tuve grandes referentes con los que aprendí y me formé, que fueron muy generosos compartiendo su expertise y conocimiento conmigo. Luego, con la salida de la firma del mercado uruguayo, y durante dos años, me desempeñé como Chief Compliance Officer en un Corredor de Bolsa local, donde mi responsabilidad abarcó no solamente el riesgo de AML/CTF sino, además, riesgos de mercado, financieros y operativos, entre otros.

¿Cuál es el mejor consejo que has recibido?

A lo largo de mi trayectoria vinculada a ALD/CTF el mejor consejo que recibí, lo recibí del Legal Counsel y la Oficial de Cumplimiento de Raymond James en EE.UU.: capacitarme, capacitarme y capacitarme y mantenerme al día con la más que dinámica evolución de las estrategias y mecanismos de fraude, lavado y corrupción, cada vez más sofisticados y camuflables en la realidad de nuestros países.

¿Cuáles dirías que son los atributos más importantes para que alguien en tu rol pueda tener éxito?

En primer lugar, un Oficial de Cumplimiento debe estar convencido y comprometido con los principios y valores que custodia: solo estando alineado con el cumplimiento y la prevención se puede lograr la adhesión de todos los involucrados, no solo las areas comerciales, sino todos los integrantes de la entidad.

“Otro atributo, común a todas las profesiones, pero esencial en la nuestra, es el de tener vocación de formarse durante toda la carrera de manera de estar al día con las nuevas regulaciones internacionales y locales y las nuevas tendencias delictivas mediante la permanente capacitación”.

¿Cómo crees que ha afectado la pandemia a los equipos de cumplimiento?

Creo que en materia de cumplimiento y prevención, el avance de la tecnología ha permitido a los profesionales de cumplimiento desempeñar sus funciones de análisis y monitoreo en forma remota sin dificultades. Lo que sí veo como una dificultad es la pérdida de contacto personal con los miembros del equipo y las áreas comerciales de la entidad. Solo con el contacto personal se logra la confianza de los comerciales en la necesidad de ser inflexible en el cumplimiento de la normativa local y corporativa.

¿Cómo ha cambiado y evolucionado (el cumplimiento, investigaciones, etc.) durante tu carrera?

Del mismo modo que la tecnología ha avanzado y facilitado el monitoreo de actividades, tambien ha facilitado a quienes cometen crímenes financieros el desarrollo de estrategias que les permiten invadir las esferas personales e íntimas de sus víctimas y así se han desarrollado los robos de identidad y ciberdelitos en todas sus formas. También la tecnología ha acercado a los criminales entre sí permitiendo que las organizaciones criminales operen con prescindencia de las fronteras físicas.

La aparición y consolidación de los activos virtuales, todavía no regulados en muchas jurisdicciones, ha implicado un enorme desafío para los profesionales de cumplimiento a la hora de identificar sujetos y transacciones.

¿Cuáles consideras que son los desafíos clave relacionados con el delito financiero en tu función o en el sector en general?

Creo que el gran desafío que presentan los crímenes financieros actualmente es su apalancamiento en las nuevas tecnologías y su dinamismo constante que les ha permitido no solo escalar a niveles internacionales de manera casi impercetible sino, además, adoptar estructuras sofisticadas y organizadas en permanente cambio. Esto nos impone no solamente una permanente actualización sino, ademas, un estrecho contacto con los reguladores locales para colaborar en la elaboración de protocolos de prevención y combate de los mismos. Nuestro rol no se desempeña solamente dentro de una entidad sino que requiere salir al contacto con nuestros reguladores y ser permanentes colaboradores en nuestros países.

¿Cuáles son los mayores desafíos para un eficiente COMPLIANCE en estos tiempos de innovaciones tecnológicas/financieras?

Las nuevas tecnologías,  la internacionalización de las transacciones en forma virtual y las operaciones de entidades cross border son, a mi juicio, los grandes desafíos. Solo con una estrecha colaboración internacional y un intercambio fluido de información entre los reguladores de los países y los organismos supranacionales se podra combatir eficientemente estos crímenes. Y esto último, a su vez, requiere obviamente de la colaboración de los sujetos financieros y no financieros regulados.

¿Qué te motivó a convertirte en un profesional de delitos financieros

Mi incursión en el año 2002 en el cumplimiento regulatorio y la prevención de lavado de activos y otros crímenes financieros ha sido en mi carrera “un camino de ida”. Volverme conciente de la relevancia de estos crímenes no solo para la entidad particular sino para la sociedad y la economía de un país en general y la imperiosa necesidad de prevenirlos y evitarlos me llevó a internarme más y más en la materia. Y así comence a focalizar mi capacitación en estas áreas hoy incluidas en el concepto de “delitos o crímenes financieros” hasta el día de hoy.

¿Por qué te hiciste miembro de la ACFCS y obtuviste la certificación CFCS?

Antes de conocer a la ACFCS había obtenido otras certificaciones relacionadas puntualmente con la prevención del lavado de activos y el financiamiento del terrorismo. Cuando conocí la ACFCS y comencé a participar de las conferencias internacionales que celebraba supe que esta certificación era más omnicomprensiva y abarcaba a los crímenes financieros de un modo más integral. Por eso me propuse obtrener la certificación que recién logré en medio de la pandemia en 2020 gracias a la aceptación por la ACFCS del examen en nuestro hogar u organización con los debidos monitoreos. El estudio para la certificación es muy amigable y de alguna forma consolida de una manera lógica mucha información que uno ha recibido a lo largo del tiempo, ademas claro está de proporcionar las últimas tendencias y posiciones en la materia.

¿Cuál es la parte más gratificante de tu trabajo?

Creo que uno de los momentos de mayor gratificación en nuestra tarea es cuando logramos que los restantes miembros de todo el equipo en nuestras entidades comprendan que el profesional de cumplimiento no es un árbitro externo que está juzgando desde fuera y tratando de cobrar un “fuera de juego”, sino que es un integrante más del equipo que defiende y protege “el arco” para usar una comparación con un deporte común a todos los latinoamericanos. Y eso se logra definitivamente con paciencia y demostrando con hechos que cuando se detecta una situación dudosa o sospechosa su análisis e investigación es por el bien de todos: los protagonistas, la empresa y la sociedad.

¿Qué consejo les daría a profesionales con 5-10 años de experiencia para ayudarlos a crecer profesionalmente, a llevar sus carreras al siguiente nivel?

Les diría que la clave para el éxito en nuestra profesión es nunca quedarse quieto: tenemos que movernos con agilidad y dinamismo, surfear las olas que se nos presentan con las nuevas tipologías y regulaciones. Deben capacitarse permanentemente e integrarse a asociaciones profesionales que les permitan interactuar con pares y compartir experiencias y conocimientos. Siempre se trae algo nuevo o una perspectiva nueva de algo “viejo” de cada conferencia o seminario. Y que la virtualidad que nos ha impuesteo la pandemia no sea una barrera a la comunicación y a nuestro dinamismo sino un motor de comunicación y cambio.

El GAFILAT presenta su plan estratégico para los próximos 5 años

El organismo regional contra delitos financieros presentó su Plan Estratégico 2020-2025, en el que se establecen los objetivos y estrategias de GAFILAT para los próximos cinco años, e incluye áreas pragmáticas y actividades planificadas en cuatro ejes temáticos.

El Grupo de Acción Financiera Internacional de América Latina (GAFILAT), es una organización intergubernamental regional del Grupo de Acción Financiera Internacional (GAFI) que agrupa a países de América del Sur, América Central, América del Norte y el Caribe para prevenir y combatir el lavado de dinero, el financiamiento del terrorismo y el financiamiento de la proliferación de armas de destrucción masiva, a través del compromiso de mejorar continuamente las políticas nacionales para prevenir y combatir estas amenazas, así como profundizar los diversos mecanismos de cooperación entre los países miembros.

En los últimos años GAFILAT se ha posicionado como un referente regional en la lucha contra estos delitos.  Su asistencia técnica y colaboración con los países y su trabajo conjunto con organizaciones globales y otros socios clave de la región, le ha permitido potenciar y fortalecer su impacto a nivel regional en la promoción de políticas públicas para combatir el lavado de activos, el financiamiento del terrorismo y la proliferación de armas de destrucción masiva.

El organismo regional contra estos delitos financieros presentó su Plan Estratégico 2020-2025, en el que se establecen los objetivos y estrategias de GAFILAT para los próximos cinco años, e incluye áreas pragmáticas y actividades planificadas en cuatro ejes temáticos, que se derivan de su propósito y mandatos fundamentales:

1) Mejorar el cumplimiento de los estándares internacionales y la efectividad de los sistemas ALD / CFT / FPWMD (antilavado de dinero, contra el financiamiento del terrorismo y el financiamiento de la proliferación de armas de destrucción masiva)

2) Brindar capacitación y asistencia técnica ALD / CFT a los países miembros,

3) Promover y fortalecer la actualización tecnológica, y

4) Participar activamente en la Red Global.

Este documento proporciona una descripción general del proceso de elaboración, los principales resultados y los objetivos de GAFILAT para los próximos cinco años.

Este plan estratégico se desarrolló de manera participativa en un proceso que condujo a la identificación de temas relevantes y propuestas efectivas que GAFILAT podría llevar a cabo para abordar los desafíos que plantea el entorno actual para la lucha contra el Lavado de Dinero y la Financiación del Terrorismo.

El documento se ha organizado en tres capítulos:

  • el primer capítulo describe la metodología utilizada para desarrollar el plan estratégico,
  • el segundo proporciona una evaluación basada en varios insumos y análisis de información, y establece las conclusiones y recomendaciones a ser tenidas en cuenta en la implementación del plan estratégico,
  • el tercer capítulo describe el plan estratégico 2020-2025 de GAFILAT, que es la parte central del informe, donde se esboza y describe brevemente el marco de acción de GAFILAT, así como el marco estratégico, objetivos, ejes y plan de acción.

El contenido de este documento está respaldado por información documental proporcionada por la Secretaría Ejecutiva de GAFILAT, así como el seguimiento del plan estratégico 2015-2019 y un total de 43 formularios en línea completados por actores que jugaron roles clave en tanto el diseño, planificación e implementación del plan de acción.

El diseño del plan estratégico 2020-2025 coincide con un momento histórico que está viviendo no solo la región, sino también el mundo señala el informe del GAFILAT “por lo que todos debemos buscar adaptarnos a los cambios acelerados por el COVID-19, tales como la ‘Transformación Digital’, sus productos, activos virtuales, nuevas formas de pago, así como transacciones, herramientas de networking, home office y otros mecanismos de interacción y capacitación remota, como el e-learning, un entorno en el que la oportunidad y la tecnología para procesarlos son primordiales”.

Es por ello que GAFILAT busca asegurar la implementación regional de sistemas de control de delitos financieros efectivos basados en estándares internacionales y abordar los desafíos actuales.

Según GAFILAT, para la implementación de este plan estratégico será necesario fortalecer y crear nuevas alianzas para trabajar en conjunto con el fin de maximizar la efectividad y los recursos disponibles.

El éxito y el impacto del plan estratégico dependerán en gran medida de la disponibilidad de fondos; una financiación más estable y predecible a largo plazo ayudará a aumentar el impacto del trabajo y a lograr resultados sostenibles en el tiempo.

Algunas de las líneas de acción en el marco del plan estratégico son:

  • Disminuir las influencias políticas y consolidar las técnicas.
  • Continuar mejorando la coordinación entre países.
  • Desarrollar productos entregables específicos para cada temática y nación.
  • Fomentar investigaciones conjuntas y alianzas de cooperación entre naciones.
  • Orientar y apoyar a las gestiones de confidencialidad y seguridad de las UIF.
  • Fortalecer la Secretaría Ejecutiva y dotarla de equipos y recursos adecuados a los desafíos

BitPay pagará más de medio millón de dólares por transacciones sancionadas por la OFAC

OFAC anunció esta semana un acuerdo con BitPay, Inc., una empresa privada que ofrece una solución de procesamiento de pagos para que los comerciantes acepten moneda digital como pago de bienes y servicios.

BitPay acordó remitir unos US$ 508.000 para resolver su posible responsabilidad civil por 2,102 aparentes violaciones de múltiples programas de sanciones. BitPay permitió a las personas que parecen haber estado ubicadas en la región de Crimea de Ucrania, Cuba, Corea del Norte, Irán, Sudán y Siria realizaran transacciones con comerciantes en Estados Unidos y en otros lugares utilizando moneda digital en la plataforma de BitPay a pesar de que BitPay tenía información de ubicación, incluyendo direcciones de Protocolo de Internet (IP) y otros datos de ubicación, sobre esas personas antes de efectuar las transacciones.

Entre junio de 2013 y septiembre de 2018, BitPay procesó 2,102 transacciones en nombre de personas que, según las direcciones IP y la información disponible en las facturas, estaban ubicadas en jurisdicciones sancionadas (las “Infracciones aparentes”). Las violaciones aparentes están relacionadas con el servicio de procesamiento de pagos de BitPay, que permite a los comerciantes aceptar moneda digital como pago por bienes y servicios. Específicamente, BitPay recibió pagos en moneda digital en nombre de sus clientes comerciales de los compradores de esos comerciantes que estaban ubicados en jurisdicciones sancionadas, convirtieron la moneda digital en moneda fiduciaria y luego transmitió esa moneda a sus comerciantes.

Si bien BitPay verificó que sus clientes directos, los comerciantes, no estuvieran en la lista OFAC y realizó la debida diligencia para asegurarse de que no se encontraban en jurisdicciones sancionadas, BitPay no examinó los datos de ubicación que obtuvo sobre los compradores de estos negocios.

Específicamente, BitPay a veces recibía información sobre los clientes de esos comerciantes en el momento de la transacción, incluido el nombre, la dirección, la dirección de correo electrónico y el número de teléfono del comprador. A partir de noviembre de 2017, BitPay también obtuvo las direcciones IP de esos clientes de sus clientes. Sin embargo, el proceso de revisión de transacciones de BitPay no pudo analizar completamente estos datos de identificación y ubicación. Como resultado, los compradores que, según esos indicadores de información, estaban ubicados en Crimea, Cuba, Corea del Norte, Irán, Sudán y Siria pudieron realizar compras a comerciantes en Estados Unidos y en otros lugares utilizando moneda digital en la plataforma de BitPay.

Cálculo de multas y análisis de factores generales

La sanción monetaria civil máxima legal aplicable en este asunto es de aproximadamente US$ 620.000. El monto del acuerdo de US$ 507.375 refleja la consideración de la OFAC de los Factores Generales bajo las Pautas de Cumplimiento.

OFAC determinó que los siguientes son factores agravantes:

(1) BitPay no actuó con la debida precaución ni cumplió con sus obligaciones de cumplimiento de sanciones cuando permitió que las personas en jurisdicciones sancionadas realizaran transacciones con los comerciantes de BitPay utilizando moneda digital durante aproximadamente cinco años, a pesar de que BitPay tenía suficiente información para evaluar a esos clientes; y

(2) BitPay transmitió un total de US$ 128,582.61 en beneficio económico a personas en varias jurisdicciones sujetas a sanciones de la OFAC, lo que dañó la integridad de esos programas de sanciones.

OFAC determinó que los siguientes son factores atenuantes:

(1) BitPay había implementado ciertos controles de cumplimiento de sanciones ya en 2013, incluyendo la debida diligencia y el control de la lista de sanciones para sus clientes comerciales, y formalizó su programa de cumplimiento de sanciones en 2014;

(2) BitPay dejó en claro en su capacitación a todos los empleados, incluida la alta dirección, que BitPay prohibía comerciantes de Cuba, Irán, Siria, Sudán, Corea del Norte y Crimea, así como el comercio con personas y entidades sancionadas;

(3) BitPay es una pequeña empresa que no ha recibido un aviso de penalización o un hallazgo de infracción de la OFAC en los cinco años anteriores a la fecha de la primera infracción aparente;

(4) BitPay cooperó con la investigación de la OFAC sobre estas aparentes violaciones; y

(5) BitPay ha manifestado que ha terminado la conducta que condujo a las violaciones aparentes y ha tomado las siguientes medidas destinadas a minimizar el riesgo de que se repita una conducta similar en el futuro:

• Bloquear direcciones IP que parecen originarse en Cuba, Irán, Corea del Norte y Siria para que no se conecten al sitio web de BitPay o vean instrucciones sobre cómo realizar el pago;

• Verificar direcciones físicas y de correo electrónico de los compradores de los comerciantes cuando las proporcionen los comerciantes para evitar que se complete una factura del comerciante si BitPay identifica una dirección de jurisdicción o un dominio de una jurisdicción sancionada; y

• Lanzamiento de “BitPay ID”, una nueva herramienta de identificación de clientes que es obligatoria para los clientes de sus clientes que desean pagar una factura de BitPay igual o superior a US$ 3.000. Como parte de la identificación de BitPay, el cliente del comerciante debe proporcionar una dirección de correo electrónico, una prueba de identificación / identificación con foto y una foto de selfie.

(6) Como parte de su acuerdo con OFAC, BitPay se ha comprometido a continuar con la implementación de estos y otros compromisos de cumplimiento.

Consideraciones de cumplimiento

Esta medida destaca que las empresas involucradas en la prestación de servicios de moneda digital, como todos los proveedores de servicios financieros, deben comprender los riesgos de sanciones asociados con la prestación de servicios de moneda digital y deben tomar las medidas necesarias para mitigar esos riesgos. Las empresas que facilitan o participan en el comercio en línea o procesan transacciones utilizando moneda digital son responsables de garantizar que no se involucren en transacciones no autorizadas prohibidas por las sanciones de OFAC, como tratos con personas o propiedades bloqueadas, o participar en transacciones comerciales o relacionadas con inversiones prohibidas.

Para mitigar dichos riesgos, los administradores, intercambiadores y otras empresas involucradas en el uso de monedas digitales deben desarrollar un programa de cumplimiento de sanciones personalizado y basado en el riesgo. El Framework for OFAC Compliance Commitments de OFAC señala que cada programa de cumplimiento de sanciones basado en el riesgo variará según una variedad de factores, incluido el tamaño y la sofisticación de la empresa, los productos y servicios, los clientes y las contrapartes, y las ubicaciones geográficas, pero se debe basar e incorporar al menos cinco componentes esenciales del cumplimiento:

(1) compromiso de la gerencia;

(2) evaluación de riesgos;

(3) controles internos;

(4) pruebas y auditorías; y

(5) entrenamiento.

Dentro de ese marco, esta acción de cumplimiento enfatiza la importancia de analizar toda la información disponible, incluidas las direcciones IP y otros datos de ubicación de clientes y contrapartes, para mitigar los riesgos de sanciones en relación con los servicios de moneda digital.

La importancia de detectar e impedir los Delitos Financieros Cibernéticos en una realidad de hiper interacción virtual

  • Los delitos financieros cibernéticos han surgido más recientemente que sus pares del mundo real, pero se están diversificando y generalizando con la misma rapidez.
  • La barrera de acceso para cometer muchos delitos es muy baja, ya que solo se necesitan computadoras, celulares y conexión a Internet
  • Los esquemas de los delitos cibernéticos suelen estar limitados únicamente por la imaginación y el ingenio de los delincuentes.
  • No todos los delitos cibernéticos están impulsados por la búsqueda de ganancias financieras, y no todos se pueden considerar delitos financieros.
  • Muchos delitos financieros cibernéticos tienen fines de lucro y principalmente se enfocan en obtener o robar datos para, en última instancia, venderlos o utilizarlos para obtener el control de fondos, de cuentas o de activos de manera ilegal.
  • Es muy difícil elaborar una lista exhaustiva, y es probable que los constantes cambios de tácticas y tecnologías hagan que esa lista quede obsoleta poco después de su publicación.
  • Ya sea que los especialistas en delitos financieros investiguen los delitos financieros cibernéticos o creen mecanismos de control para prevenirlos, deben estar atentos a las maneras en que el delito cibernético puede repercutir en otro, así como a la forma en que la filtración o la violación de datos pueden dejar vulnerables las cuentas o la red en su totalidad.

Es posible que los delitos financieros cibernéticos hayan surgido más recientemente que sus los delitos financieros del mundo real, pero se están diversificando y generalizando con la misma rapidez.

La barrera de acceso para cometer muchos delitos es muy baja, ya que solo se necesitan computadoras y conexión a Internet, y los esquemas de los delitos cibernéticos suelen estar limitados únicamente por la imaginación y el ingenio de los delincuentes.

Cabe reconocer que los delincuentes cibernéticos pueden actuar por motivos muy diversos. No todos los delitos cibernéticos están impulsados por la búsqueda de ganancias financieras, y no todos se pueden considerar delitos financieros. Por ejemplo, es posible que las unidades de espionaje cibernético que patrocinan distintos estados infiltren en la red de contratistas de otros gobiernos para robar tecnología militar, o que el pirata informático vandalice sitios web por pura diversión, para vanagloriarse. Sin embargo, los delitos financieros cibernéticos tienen fines de lucro y principalmente se enfocan en obtener o robar datos para, en última instancia, venderlos o utilizarlos para obtener el control de fondos, de cuentas o de activos de manera ilegal.

Debido a la gran variedad de los delitos financieros cibernéticos, es muy difícil elaborar una lista exhaustiva, y es probable que los constantes cambios de tácticas y tecnologías hagan que esa lista quede obsoleta poco después de su publicación. Es importante analizar algunas de las técnicas más habituales que se utilizan en los delitos financieros cibernéticos, pero cabe señalar que esas técnicas se suelen utilizar en combinación con otras. Por ejemplo, la técnica de ‘phishing’ (correos electrónicos falsos) puede robar cualquier dato confidencial necesario para acceder a la cuenta bancaria, mientras que el ‘keystrokelogging malware’ (software malicioso de rastreo de pulsaciones del teclado) puede recopilar otro tipo de elementos para completar el esquema de apropiación fraudulenta de cuentas con éxito.

Ya sea que los especialistas en delitos financieros investiguen los delitos financieros cibernéticos o creen mecanismos de control para prevenirlos, deben estar atentos a las maneras en que el delito cibernético puede repercutir en otro, así como a la forma en que la filtración o la violación de datos pueden dejar vulnerables las cuentas o la red en su totalidad.

Prevenir y detectar ataques de Ingeniería Social

El método más efectivo para detectar los posibles fraudes cibernéticos consiste en estar informado y actualizado sobre las técnicas de ‘phishing’ y sobre los esquemas de robo de identidad, así como estar familiarizado con los canales que las organizaciones legítimas utilizan para comunicarse con sus clientes.

Es muy raro que las empresas y las agencias gubernamentales legítimas soliciten información de identificación personal a través de sus comunicaciones electrónicas. Por lo tanto, las comunicaciones electrónicas en las que se solicite esa información se deben tratar como altamente sospechosas.

Estas son otras medidas de prevención:

  • Verificar los hipervínculos de las comunicaciones electrónicas. Esto se suele hacer al pasar el cursor del mouse sobre los enlaces para ver el verdadero URL, aunque no es una solución segura, ya que los enlaces pueden estar encubiertos.
  • Tener cuidado al abrir los archivos adjuntos de las comunicaciones electrónicas o al descargar los archivos de ellas. Si el mensaje es sospechoso o no proviene de fuentes conocidas, el programa antivirus debe escanear los archivos como mínimo.
  • Nunca se debe enviar información personal o financiera a través de las comunicaciones electrónicas y solo se debe proporcionar esa información a través del sitio web de cada organización tras haberla examinado para garantizar su legitimidad.

Planificar un Programa de Ciberseguridad

La ciberseguridad es uno de los elementos vitales de la mayoría de las empresas y de las organizaciones debido a la gran cantidad de datos confidenciales bajo su custodia, incluida la información de identificación personal, registros financieros y otros tipos de información privada. Las organizaciones deben adoptar medidas proactivas constantemente para protegerse contra el uso indebido o el robo de datos a nivel interno, el robo de datos a nivel externo y contra la amenaza de los ataques de software malicioso en sus redes.

Las políticas y los procedimientos de ciberseguridad adecuados permiten que las organizaciones gestionen la protección de sus recursos físicos y financieros, su reputación, su posición legal, sus empleados y otros activos tangibles e intangibles de manera efectiva.

Algunos de los mismos principios básicos del ámbito del cumplimiento de los delitos financieros también se aplican a la ciberseguridad.

Por ejemplo, la evaluación de los riesgos y la creación de los mecanismos de control y de protección correspondientes, ya que los planes de ciberseguridad comienzan con la evaluación de los riesgos.

Presentamos los pasos introductorios que las organizaciones deben tener en cuenta al determinar su enfoque de ciberseguridad por primera vez:

• Evaluar qué redes y datos se protegen, lo que puede incluir los datos de los clientes, como su identificación personal, los datos internos de la propia organización y las redes necesarias para realizar sus operaciones.

• Evaluar los riesgos y las amenazas cibernéticas que enfrenta la organización y compararlos con la evaluación de los sistemas y con la información que se debe proteger para determinar las áreas de mayor prioridad.

• Establecer la metodología para evaluar la efectividad de los mecanismos de control de ciberseguridad existentes en relación con el nivel de riesgo percibido.

• Crear políticas de ciberseguridad, incluidas las medidas para evaluar si se están o no cumpliendo las políticas y los planes para la reevaluación periódica. Un buen plan de seguridad debe ser flexible a los cambios tecnológicos y de personal, expandible, informativo y fácil de usar, ya que la seguridad es un tema cotidiano.

• Tener en cuenta la dimensión humana de la ciberseguridad. Según varios estudios sobre los incidentes cibernéticos, más del 90 % de ellos tenían un componente humano, lo que significa que las acciones de los empleados ayudaron a fomentar el ataque cibernético, en lugar de ser solo un fallo técnico. Las prácticas de seguridad interna y la capacitación de las organizaciones son tan importantes como los mecanismos de control del acceso a la red desde el exterior.

• Reconocer que la seguridad cibernética también tiene un componente físico, ya que los atacantes aprovecharán cualquier punto débil para lanzar su ataque, incluidas las vulnerabilidades físicas.

En casos en el pasado, ciberdelincuentes se han hecho pasar por consultores de una institución financiera, utilizando tarjetas de seguridad falsificadas para ingresar en la sala de los servidores y robar los datos directamente de la red de las instituciones. En otro caso, los delincuentes se limitaron a robar todos los estantes de los servidores.

• Tener en cuenta las posibles repercusiones de los incidentes de ciberseguridad. Pensar en las posibles consecuencias que la filtración o la violación de datos pueden ocasionar, ya que la detección o la interrupción del software malicioso o de otros ataques puede ayudar a que las organizaciones determinen la solidez de sus programas de seguridad de datos. Por ejemplo, las empresas de software pueden perder millones de dólares si se descubre y se hace público el código fuente de sus aplicaciones.

Las mejores prácticas para asegurar los sistemas y los datos de las organizaciones se pueden agrupar en dos grandes categorías: las que se centran en las políticas y en los mecanismos de control organizacionales, y las que se centran en la capacitación y en los procedimientos de los empleados individuales.

Las mejores prácticas que se centran en el ser humano comienzan con la capacitación y la conciencia de todos los empleados.

La capacitación se debe enfocar en ayudar a los empleados a modificar su comportamiento para reducir el riesgo cibernético. Los empleados deben ser conscientes de las amenazas cibernéticas a las que se enfrentan y entender cómo sus acciones diarias en el trabajo, como por ejemplo abrir los archivos adjuntos de los correos electrónicos, pueden aumentar o disminuir su vulnerabilidad a los ataques.

En la medida de lo posible, las organizaciones deberían ampliar su capacitación y conciencia sobre las amenazas cibernéticas a sus clientes.

Por ejemplo, si las instituciones experimentan incrementos en las incidencias de ataques de correos electrónicos empresariales (BEC o ataque del CEO) que afecten a sus cuentas de clientes, podrían enviar alertas a los clientes para advertirles de la tendencia al fraude y enseñarles lo que deben buscar.

No es condición sine qua non que los profesionales de la lucha contra los delitos financieros tengan conocimientos especializados sobre la seguridad de las redes en la mayoría de las circunstancias. Sin embargo, será muy  útil que tengan cierto nivel de conocimiento sobre los aspectos más técnicos de la ciberseguridad en relación con el cumplimiento, las investigaciones y la aplicación de la ley ya que solo es una cuestión de tiempo antes de que sus organizaciones se vean afectada por algún tipo de crimen cibernético.

Siete años de prisión por operar un ardid de ciberlavado con “mulas de dinero”

Conferencia Back to the Future of Fincrime, ACFCS Enero 2021

Un ciudadano de Ucrania fue sentenciado hace unos días a más de 7 años de prisión y a restituir unos US$100.000 luego de declararse culpable de cometer fraude electrónico, derivado de su participación en un esquema para lavar fondos para ciberdelincuentes de Europa del Este que piratearon y robaron fondos de cuentas bancarias en línea de empresas estadounidenses.

Según el acuerdo y otros documentos judiciales, de 2009 a 2012, Aleksandr Musienko, de 38 años, de Odessa, Ucrania, se asoció con piratas informáticos de Europa del Este para obtener más de US$ 3 millones de cuentas bancarias de las víctimas estadounidenses y lavar los fondos robados de cuentas bancarias de EE.UU. en el exterior. Los socios de Musienko en el plan pirateaban y robaban información de las víctimas en Estados Unidos y usaban esa información para hacerse pasar por las víctimas. Al engañar a los bancos de las víctimas haciéndoles creer que las víctimas solicitaban retiros de las cuentas, Musienko y otros pudieron robar grandes cantidades de dinero de las cuentas de las víctimas.

Musienko participó en el reclutamiento, la supervisión y la dirección de una red de “mulas de dinero”, o individuos que transmitían fondos, con cuentas bancarias personales y corporativas estadounidenses que podían recibir los fondos robados y transmitirlos al extranjero.

Lea también:

Estados Unidos y la UE toman iniciativas anuales contra las mulas del dinero

Musienko, usando un alias, reclutó “mulas” estadounidenses anunciando en sitios web de empleo que estaba contratando un asistente financiero. Musienko instruyó a estas personas—las mulas, que creían que estaban trabajando para un negocio legítimo—, que debían ayudar a los clientes a transferir fondos al extranjero.

En septiembre de 2011, los cómplices de Musienko piratearon las cuentas en línea de una empresa con sede en Carolina del Norte y transfirieron un total de casi US$300.000 a dos cuentas bancarias controladas por las mulas de Musienko. Musienko ordenó a las mulas que transfirieran los fondos a varias cuentas bancarias europeas, aunque el banco de la compañía detectó el fraude y dedujo casi US$200.000 de los fondos robados de una de las mulas antes de que ese monto fuera transferido al extranjero.

Se presentaron cargos contra Musienko en 2016 en el estado de Carolina del Norte. Musienko fue arrestado en Corea del Sur en 2018 y extraditado a Estados Unidos en 2019. En abril de 2019 el FBI registró la computadora portátil de Musienko e identificó archivos que contenían aproximadamente 120.000 números de tarjetas de pago e información de identificación asociada a distintas personas.

Ransomware: más allá de una amenaza tecnológica

Por Jeimy Cano, Ph.D, CFE
Director Revista SISTEMAS at
Asociación Colombiana de Ingenieros de Sistemas – ACIS

Este artículo fue publicado en el blog IT-Insecurity – http://insecurityit.blogspot.com, una respetada publicación sobre la seguridad informática y las experiencias que permiten a profesionales de la seguridad como a curiosos de la inseguridad compartir en un mismo espacio ideas, inquietudes, experiencias sobre la inseguridad informática, que es la razón misma de la existencia de la seguridad informática.

Noticias recientes en diferentes informes, tanto de industria como de autoridades policiales, reportan que la “extorsión con datos” o denominada “ransomware” se ha convertido en uno de los riesgos y amenazas de mayor relevancia para la seguridad global, no sólo por su versatilidad y capacidad de acción, sino por su expansión e impactos financieros y de reputación a nivel organizacional (Interpol, 2020). En este contexto, esta amenaza digital se configura como un punto de reflexión relevante para los ejecutivos de seguridad y los directivos de las empresas modernas.

Cuando una empresa es afectada por este tipo de extorsión digital, se presenta inmediatamente la pregunta clave: ¿pagamos o no pagamos? Una pregunta que genera, tanto en el sector público como en el privado, tensiones de diferentes magnitudes e implicaciones que levantan “dedos acusadores”, buscan “señalamientos internos”, revelan “detractores de la inversión en seguridad”, y un sin número de sensaciones que cumplen con el propósito del adversario: generar confusión, confrontación y juego de responsabilidades, que le permitan mayor tiempo de acción y posicionamiento frente al momento, para conseguir su fin último, motivar el pago.

Cuando la organización en sus niveles ejecutivos se informa de la materialización de un ransomware buscará explicaciones posiblemente técnicas en primer lugar, luego detallar qué tipo de información es la que está comprometida, cómo afecta esto la operación y finalmente las implicaciones jurídicas que esto conlleva, si la información está sujeta a una protección particular. Con estos datos básicos, los ejecutivos llaman a todos los involucrados para tratar de establecer una vista general de lo que ha pasado y definir una postura base para actuar en consecuencia.

La extorsión con datos es una modalidad de cibercrimen que está apalancada desde el engaño, la curiosidad y las motivaciones humanas que conectan con un patrón de comportamiento que está fundado en las mismas necesidades y relaciones entre los individuos. En este sentido, al identificar aquello que puede ser de interés, y enlazarlo con la dinámica del contexto actual, los adversarios logran mimetizar sus acciones en un tejido social concreto con el fin de abordar a sus posibles víctimas sin que ellas lo noten.

Si adicionalmente a lo anterior, se advierte una baja higiene informática, o ahora en la actualidad, ciberhigiene, que tiene las personas en el contexto digital, la confianza ingenua en los medios y tecnologías disponibles, y el aumento de productos y servicios digitales que se despliegan con limitadas medidas de seguridad y control, los agresores tienen un caldo de cultivo enriquecido y generosos para movilizarse en diferentes sentidos y vectores para lograr sus acciones y planes con poco margen de acción por parte de los afectados.

En consecuencia, este breve documento busca plantear reflexiones alrededor de la realidad del ransomware, con el fin de brindar espacios para pensar sobre cómo abordar este reto, qué margen de acción se puede lograr y sobremanera, cómo encontrar algunos patrones que adviertan sobre el avance de este tipo de amenazas en la organización.

Secuestro de datos. Más allá de un problema de tecnología

El secuestro en general es uno de los delitos más reprochados y sancionados por la sociedad en los diferentes instrumentos jurídicos de un país democrático. El secuestro priva al ser humano de uno de sus derechos básicos como lo es la libertad y así mismo lo expone al deterioro de su bienestar en diferentes facetas, con afectaciones en múltiples dimensiones de su acción en la sociedad.

El secuestro de datos, no cuenta con una lectura tan amplia y difundida en la sociedad sobre lo que esto significa tanto para las personas como para las empresas en el contexto digital. Este ejercicio, igualmente censurable, que priva a la persona o a las organizaciones de uno de sus activos más importantes como son los datos y la información representa en la actualidad una afrenta directa que pone en peligro los derechos y prerrogativas de las empresas y los seres humanos en su libre actuación en la dinámica social. El secuestro de datos, y su posterior extorsión por parte de terceros, configura una figura delictiva que en su momento deberá ser abordada por diferentes jurisdicciones y acciones legislativas para ser incorporada en los ordenamientos jurídicos nacionales e internacionales (Al-rimy, Aizaini & Zainudeen, 2018).

Cuando la organización se enfrenta al reto de un secuestro de datos, son pocas las maniobras jurídicas que puede activar para tratar de contener posibles efectos adversos en su contra. Por un lado, puede acudir a una póliza de seguros cibernético, que de acuerdo con sus alcances y exclusiones podrá apoyar a la empresa para manejar este momento. Por otro lado, puede lanzarse a negociar con el agresor que ha capturado los datos, con la claridad de que, aun teniendo la forma de restaurar la información, es probable que no pueda hacerlo, o finalmente informar a la autoridad competente para utilizar diferentes estrategias que le permitan encontrar al agresor, desactivar el mecanismo de cifrado, usar los canales diplomáticos si son del caso y así, ajustarse a los cánones establecidos por la constitución y la ley.

El ransomware saca de la zona de confort a los profesionales de seguridad de la información, a los abogados corporativos y a los ejecutivos de primer nivel, habida cuenta que si la información o los datos comprometidos están sujetos a condiciones particulares de protección y debido cuidado, deberán establecer con claridad la manera de responder por la situación a los diferentes grupos de interés afectados. En consecuencia, la organización estará sujeta a un fuego cruzado donde será evaluada frente a sus prácticas de seguridad, privacidad y control, y cómo estas se han venido desarrollando y aplicando, y por otro lado, las tensiones jurídicas, con sus respectivas sanciones (generalmente económicas), que pueden terminar impactando la reputación en su sector de negocio.

Hablar del secuestro y la extorsión con datos, es una temática que va más allá del fenómeno tecnológico que la materializa. Es habilitar una vista sistémica de la problemática que conecta las prácticas de seguridad, las relaciones empresariales, los marcos jurídicos, los aseguradores, las vulnerabilidades tecnológicos y sobremanera, los comportamientos humanos (Sittig & Singh, 2016).

Materialización del ransomware. Dos lados una misma ecuación

Las acciones que se siguen luego de un secuestro, que generalmente tiene algún tipo de motivación (no siempre económica), llevan a un contacto directo o indirecto con los grupos de interés de la víctima, con el fin de iniciar un juego de emociones y tensiones que buscan doblegar la voluntad de la parte afectada. Para ello, las pruebas de supervivencia, las llamadas amenazantes y las manifestaciones visibles que generan incertidumbre (fotos, símbolos, o pertenencias), son piezas fundamentales para crear la necesidad y las acciones necesarias que lleven al cumplimiento del objetivo del agresor.

En el mundo digital, el ransomware tiene al menos dos vistas en la actualidad. Secuestro de información o datos (generalmente relevantes) por los cuales hay que pagar un rescate (y de no hacerlo se procederá a su destrucción o desaparición), o acceso a información sensible o comprometedora, que podrá ser expuesta (con posible afectación de la reputación), sino hay un pago al delincuente digital (Baykara & Sekin, 2018). En ambos casos, los delincuentes buscarán relevar pruebas a sus víctimas de que la acción es real y seria, sin perjuicio de motivar decisiones ágiles al respecto, para lo cual incluyen cuentas regresivas visibles o mensajes de voz modificados para intimidar a las empresas o las personas y medios de contacto basados en cuentas de correo anónimas o descartables.

Al evaluar la materialización de un evento como el ransomaware habrá que mirar los dos lados de la ecuación: a la empresa (o la persona), así como al atacante. Por el lado de la persona o la empresa el análisis puede incluir, entre otros aspectos:

·         Nivel de aseguramiento de las prácticas de seguridad y control

·         Nivel de afinamiento y uso de las tecnologías de seguridad y control disponibles.

·         Pruebas y lecciones aprendidas de la evaluación y seguimiento a los planes de recuperación y continuidad de negocio

·         Análisis de comportamientos de navegación y uso de internet

·         Nivel de desarrollo de cultura de seguridad de la información (incluida la ciberhigiene personal)

·         Análisis prospectivos de riesgos latentes y emergentes en el contexto de las operaciones y estrategias de la empresa

·         Definición del apetito al riesgo empresarial (o personal) (Herrera Silva, Barona López, Valdivieso Caraguay & Hernández-Álvarez, 2019).

Cualquier deficiencia o resultado que no corresponda a lo esperado en cada uno de estos elementos previamente mencionados, será asociado con una limitada capacidad de gestión tanto de la organización como de la persona frente al debido cuidado que deben tener en la protección de la información o los datos que tienen a cargo o de su propiedad, lo que en últimas se traduce en una posible acción negligente que podría ser comprobada vía ejercicios de auditoría o verificación independiente.

Ahora desde la perspectiva del agresor, el análisis puede incluir entre otros aspectos los siguientes:

·         Nivel de especialización y habilidad para desarrollar inteligencia

·         Motivaciones específicas que llevan a la acción

·         Uso de herramientas conocidas o especializadas

·         Conexiones con otros grupos criminales

·         Pagos basados en criptomonedas, o monetizaciones de otras formas

·         Patrones de actuación previos

·         Antecedentes disponibles a nivel nacional o internacional (Cano, 2020).

Cualquier información que se cuente basado en el listado anterior, ofrecerá orientaciones y pistas para seguir el rastro del atacante. Cada uno de ellos ayudará a darle forma al rompecabezas que implica conectar las diferentes acciones del agresor, con el fin de encontrar patrones consistentes que den luces para reconstruir su acción criminal y así, lograr en el mejor de los casos su ubicación y captura. Esto no siempre se logra y por lo tanto, cuanta más información confiable y relevante se pueda obtener, mejores mapas se podrán delinear sobre un territorio siempre incierto que plantea el adversario (El-Kosairy & Azer, 2018).

Acciones frente al secuestro y extorsión con datos. Algunas ideas convencionales y no convencionales

Cuando una organización sufre de la materialización de un ransomware, debe considerar las dos partes de la ecuación y no sólo concentrarse en el dolor que esto genera al interior, con las consecuencias naturales que esto trae desde el punto de responsabilidades individuales y colectivas.

En este sentido, se plantean algunas acciones convencionales que las empresas o personas aplican cuando se ha concretado el secuestro y la extorsión con datos, lo cual implica consecuencias que ponen en riesgo la reputación de la empresa.

·         Contratar o buscar servicios especializados para restaurar los datos que se han comprometido. Este tipo de servicios generalmente son costosos e implican usos de herramientas particulares que tratan de encontrar patrones y establecer vías alternas para tener acceso a los datos, lo que no siempre se logra.

·         Contactar a los proveedores de herramientas de seguridad y control, o sus contactos para establecer alternativas que permitan encontrar maneras de recuperar la información o parte de ella. Esta acción, generalmente suele generar logros discretos comoquiera que existen centros de investigación asociados que pueden dar luces al respecto.

·         Usar los respaldos de información con los que cuenta la empresa o la persona, los cuales generalmente no responden a una práctica sistemática y validada. Esta estrategia suele funcionar de forma parcial dado que la actualización de la información respaldada define el nivel alcance y maniobra que la organización o la persona puede tener. El uso de esta información como forma de recuperación podrá generar deficiencias y diferencias al ser usada.

·         Pagar al agresor en los términos y condiciones que este indique para poder recuperar la información que se ha comprometido. Cuando se toma esta opción las organizaciones y empresas saben que estarán pagando un soborno, lo cual es abiertamente ilegal, y por otro lado, que siempre podrán recuperar toda la información y tendrán la duda permanente, si el agresor no ha hecho copias adicionales con las cuales pueda negociar en otro momento.

Otra manera de actuar frente a la materialización del ransomware, es incorporar estrategias no convencionales que generen mayor incertidumbre en la ecuación de riesgos del atacante. Esto es, que lo lleve a actuaciones erráticas que habiliten mejores posibilidades para su identificación y seguimiento. Esto se traduce, en comprender con claridad las perspectivas y expectativas del agresor para jugar de forma diferente en el mismo campo que el adversario propone. Lo anterior se traduce en:

·         Atribución – Mostrar con datos concretos y comunicaciones creíbles que han logrado identificar patrones que permiten establecer la identidad de la persona o grupo que ha intervenido en el secuestro.

·         Evidencias – Detallar e ilustrar cómo los mecanismos de seguridad y control cuentan con evidencias de los patrones del agresor, lo cual establece una línea de acción concreta para identificar a los posibles atacantes.

·         Represalias – Crear un ambiente y entorno basado en los dos temas anteriores, para anunciar acciones legales y seguimientos a nivel local e internacional que pueden terminar en la captura y judicialización de los adversarios.

·         Apetito al riesgo – Detallar con hechos y datos cómo la organización está preparada para asumir el evento, con lo cual los impactos que se pueden tener no son los esperados por el agresor y por lo tanto, su capacidad de presión y negociación se pueden limitar (Saydjari, 2018).

Cualquiera de las acciones convencionales que se tome tendrá como resultado mantener el status quo de incertidumbre que propone el adversario, lo que generalmente le dará la ventaja para mantener el control de la situación. Adicionalmente este tipo de acciones estarán ajustadas al ordenamiento legal (con excepción del pago de la extorsión) lo que le dará tranquilidad a los ejecutivos en sus marcos de cumplimiento y reporte a los entes de control.

Tomar acciones no convencionales, es hacer una apuesta arriesgada que puede tener o no resultados positivos. Es un ejercicio de inteligencia y contrainteligencia para movilizar los esfuerzos de la organización en un terreno donde no está acostumbrada a jugar, para lo cual deberá tener serenidad y estar dispuesta a correr riesgos para movilizar al atacante de su trinchera y motivar acciones que le permitan ver movimientos que el agresor no tenía previstos y que lo obliguen a salirse del guión que había planeado frente a sus víctimas. Es claro que para navegar en este tipo de actuación deberá contar con acompañamiento y asesoría para cometer el menor número de errores (Jiménez, 2019).

Reflexiones finales

El ransomware es una modalidad de crimen organizado que es fruto de la transformación digital de la criminalidad desde hace más de 10 o 15 años, cuando se iniciaba con el tema de las botnets, herramientas de acceso remoto y los caballos de troya. Poder tener control de un equipo sin que la víctima se dé cuenta, es uno de las expresiones y motivaciones más relevantes que experimentan los atacantes para concretar acciones delictivas basadas en el posible anonimato o “irrastreabilidad” que esto puede llevar (Kardile, 2017).

Los supuestos actuales de la criminalidad digital como son

a) el máximo anonimato, con la mínima evidencia,

b) la máxima ambigüedad jurídica con el mínimo conocimiento tecnológico disponible y

c) la máxima efectividad de su acciones, con el mínimo esfuerzo

establecen una economía del cibercrimen que habilitan el desarrollo de capacidades técnicas, sociales y de inteligencia lo suficientemente sofisticadas, para aumentar el nivel de incierto en las personas, las organizaciones y los países, y así motivar acciones ilegales lucrativas que pueden pasar por debajo de los radares de las autoridades oficiales (Interpol, 2020).

El ransomware es una expresión convergente del aprovechamiento por parte del “lado oscuro de la fuerza” de las tecnologías disruptivas, de la sensibilidad y comprensión de las nuevas apuestas de las organizaciones en el contexto digital, y sobremanera de la masificación y multiplicación de los productos y servicios basados en tecnología, que las personas y organizaciones pueden usar para cambiar la manera de hacerlas cosas, particularmente hacerlas de forma más ágil y sencilla.

El aumento de la conectividad y la mayor superficie digital disponible en la dinámica social, fruto de una creciente densidad digital y convergencia tecnológica, hace que los flujos de datos e información, se conviertan en activos fundamentales tanto para los individuos como las empresas (Do, Martini  & Choo, 2018). En este contexto, los datos y la información representan y definen la identidad y la presencia de los seres humanos en esta nueva realidad, lo cual manifiesta y revela una lectura extendida de derechos y deberes que se deben entender y asumir para armonizar las relaciones de las personas ahora conectadas y digitalmente aumentadas en una sociedad tecnológicamente modificada (Bechmann, 2019).

En consecuencia, el secuestro y extorsión de datos establece una agresión digital de especial relevancia para la dinámica social actual, dado que lo que está en juego va más allá de la acción tecnológica que esto lleva, esto es, comprometer y afectar derechos de personas y empresas que pueden tener implicaciones a nivel político, económico, social, tecnológico y hasta ecológico, si lo que se compromete, está asociado con una infraestructura crítica de una nación (Pankov, 2020).

Por tanto, cuando una persona u organización es víctima de un ransomware deberá pensar muy bien sus estrategias de acción, para establecer con cabeza fría y visión holística, el camino a seguir para limitar tanto como se pueda los efectos adversos de esta condición, y analizar si quiere o no, entrar al tablero del juego incierto del agresor, para desde allí, formular estrategias que lleven al adversario a acciones no previstas y así lograr una mejor posición de negociación, sin ningún tipo de garantías ni reglas claras que seguir.

 

Referencias

Al-rimy, B., Aizaini, M. & Zainudeen, S. (2018). Ransomware threat success factors, taxonomy, and countermeasures: A survey and research directions. Computers & Security. 74, 144-166. Doi: 10.1016/j.cose.2018.01.001

Baykara, M. & Sekin, B. (2018). A novel approach to ransomware: Designing a safe zone system. 2018 6th International Symposium on Digital Forensic and Security (ISDFS), Antalya. 1-5. Doi: 10.1109/ISDFS.2018.8355317

Bechmann, A. (2019). Data as humans: Representation, Accountability, and Equality in Big data. En Jorgensen, R. F. (editor) (2019) Human rights in the age of platforms. Cambridge, MA. USA: MIT Press. 73-94.

Cano, J. (2020). Modelo SOCIA. Una reflexión conceptual y práctica desde la perspectiva del adversario. Actas X Congreso Iberoamericano de Seguridad Informática 2020. Universidad Politécnica de Madrid – Universidad del Rosario. Enero. Doi: 10.12804/si9789587844337.09

Do, Q., Martini, B.  & Choo, R. (2018). Cyber-Physical Systems Information Gathering: A Smart Home Case Study. Computer Networks. 138. 1-12.  doi: 10.1016/j.comnet.2018.03.024

El-Kosairy, A. & Azer, M. A. (2018). Intrusion and ransomware detection system. 2018 1st International Conference on Computer Applications & Information Security (ICCAIS), Riyadh. 1-7, Doi: 10.1109/CAIS.2018.8471688

Herrera Silva, J. A.; Barona López, L. I.; Valdivieso Caraguay, A. L. & Hernández-Álvarez, M. (2019). A Survey on Situational Awareness of Ransomware Attacks—Detection and Prevention Parameters. Remote Sens. 11(10). 1-20. Doi: 10.3390/rs11101168

Interpol (2020). Cybercrimen: Covid-19 Impact. August. De: https://www.interpol.int/es/content/download/15526/file/COVID-19%20Cybercrime%20Analysis%20Report-%20August%202020.pdf

Jiménez, F. (2019). Manual de inteligencia y contrainteligencia. Tercera edición. Sevilla, España: CISDE.

Kardile, A. (2017). Crypto ransomware analysis and detection using process monitor. Master Thesis. University of Texas, Arlington. De: http://hdl.handle.net/10106/27184

Pankov, N. (2020). Lazarus experimenta con un nuevo ransomware. Kaspersky Latam. De: https://latam.kaspersky.com/blog/lazarus-vhd-ransomware/19773

Saydjari, O. (2018). Engineering trustworthy systems: get cybersecurity design right the first time. New York, USA.: McGraw Hill

 

Sittig, D. F., & Singh, H. (2016). A Socio-Technical Approach to Preventing, Mitigating, and Recovering from Ransomware Attacks. Applied clinical informatics, 7(2), 624–632. Doi: 10.4338/ACI-2016-04-SOA-0064

Empresario ecuatoriano condenado por soborno extranjero y lavado de dinero que involucra a funcionarios de PetroEcuador

Un empresario ecuatoriano que vive en Miami fue sentenciado la semana pasada en EE.UU. a 35 meses de prisión por su participación en un esquema de soborno y lavado de dinero.

Armengol Alfonso Cevallos Díaz, de 58 años, admitió que desde 2012 hasta 2015 conspiró para solicitar, intermediar y pagar sobornos de US$ 4,4 millones de una empresa de servicios petroleros y empresas asociadas o controladas por Cevallos a funcionarios de PetroEcuador utilizando empresas con sede en Estados Unidos y cuentas bancarias en Estados Unidos para obtener y retener negocios de PetroEcuador.

Cevallos también admitió haber conspirado para ocultar y promover el esquema de sobornos al lavar los fondos a través de empresas ficticias con sede en Miami y cuentas bancarias que se utilizaron para adquirir propiedades en el área de Miami en beneficio de ciertos funcionarios de PetroEcuador.

Cevallos es la más reciente persona en ser sentenciada en la investigación en curso del Departamento de Justicia sobre soborno y lavado de dinero que involucra a PetroEcuador. Las personas procesadas incluyen exfuncionarios de PetroEcuador que recibieron y ocultaron los pagos de sobornos, empresarios y contratistas que pagaron los sobornos para obtener contratos de PetroEcuador e intermediarios que permitieron y facilitaron el soborno mediante el uso de empresas y cuentas bancarias en EE.UU y offshore.

La Brigada Internacional contra la Corrupción del FBI en Miami está investigando el caso.

Los abogados litigantes Jonathan Robell y Katherine Raut de la Sección de Fraude de la División Criminal   y el abogado litigante Randall Warden de la Sección de Lavado de Activos y Recuperación de Activos de la División Criminal (MLARS) procesaron el caso. MLARS investiga y procesa a los bancos y otras instituciones financieras, incluidos sus funcionarios, gerentes y empleados, cuyas acciones amenazan la integridad de la institución individual o del sistema financiero en general.