“Timeo Danaos et dona ferentes”, advertía Virgilio. Desconfiad de los griegos incluso cuando traen regalos. Veintiocho siglos después, el caballo de Troya sigue colándose, solo que ya no carga soldados sino un ejecutable llamado Remcos.
En una sola semana, Paraguay vio dos formas distintas, y complementarias, de vaciarte la cuenta. A una diputada le sustrajeron G. 35 millones tras instalársele, probablemente por correo o descarga engañosa, un RAT: un troyano de acceso remoto que ve tu pantalla, registra tu teclado y opera contigo mientras ingresás tu token. No hackea el banco, habita el equipo de la víctima y espera el momento exacto.
A una emprendedora le robaron G. 43 millones por el vector más viejo del oficio: buscó “elnombredemibanco” en su navegador, cayó en una réplica casi perfecta del sitio del banco, y entregó credenciales y token a un servidor intermedio (un proxy AiTM) que los reenviaba en vivo hacia la plataforma real. Web spoofing puro.
Ninguna de las dos víctimas fue descuidada: una diputada y una emprendedora, gente que factura y fiscaliza. Cayeron igual, porque el engaño ya no apela a la ignorancia sino a la velocidad; hay segundos, no minutos, entre el clic y la cuenta en cero.
Ambos casos comparten lo esencial: ya no basta con robar una contraseña estática; el fraude moderno secuestra la sesión completa, token incluido, en tiempo real. Por eso el segundo factor que nos vendieron como blindaje infalible ya no alcanza, y por eso la Policía investiga hoy a una estructura, con venezolanos detenidos, que opera esto como negocio, no como hecho aislado.
¿De quién es la responsabilidad? De los tres actores, con matices. Del usuario, que instala software no verificado o navega de memoria en vez de teclear la URL. Del banco, porque un sistema vaciable con una transferencia inmediata a un desconocido no tiene fricción suficiente, falta autenticación resistente a Phishing (passkeys, FIDO2) y retención automática ante operaciones atípicas. Y de Google, que sigue permitiendo que anuncios y resultados de búsqueda suplanten la marca de un banco, el buscador que debía protegerte terminó siendo la puerta de entrada.
Consejos, brevísimos. Para los bancos, autenticación sin contraseña, topes y demoras a transferencias nuevas de montos altos, monitoreo conductual, y reversión rápida en vez de “no nos hacemos cargo”. Para las personas, jamás instalar software de acceso remoto desde un link, escribir siempre la URL del banco a mano, activar alertas por cada movimiento, y desconfiar de toda pantalla que pida “verificar de nuevo” el token, ya que ningún banco lo hace dos veces.
El caballo de Troya funcionó porque los troyanos lo metieron ellos mismos dentro de las murallas. Nosotros seguimos haciendo lo mismo, un clic a la vez, sin darte cuenta, te vacían la cuenta.
Virgilio escribió: “No es lícito confiar cuando los dioses son adversos”.