El sitio web del Banco de Bangladesh fue restaurado después de un cierre de 3 días debido a un ciberataque PHP

✅ El sitio web oficial del Banco de Bangladesh, que fue puesto fuera de línea el jueves pasado debido a temores de un ciberataque, fue restaurado a las 8:00 a.m. del domingo después de tres días, poniendo fin al cierre preventivo de más alto perfil del país durante el temor mundial a las vulnerabilidades de PHP de la semana pasada. Fundamentalmente para el sistema financiero, las transacciones de banca por internet y banca móvil continuaron con normalidad durante los tres días, por lo que los clientes no enfrentaron interrupciones en sus pagos.

📞 El portavoz del Banco de Bangladesh, Arif Hossain Khan, dijo a Prothom Alo el domingo que el sitio web había sido revisado en busca de posibles vulnerabilidades antes de ser restablecido. La decisión de desconectarlo se tomó debido a temores de ataques a nivel mundial, y como el riesgo había disminuido, el sitio web había sido restaurado, dijo — una descripción mesurada de una operación deliberadamente poco glamurosa: parche primero, verificar, luego reabrir.

🌐 El contexto es el temor mundial que se desató en torno a dos graves vulnerabilidades de seguridad descubiertas en PHP, el lenguaje de programación que alimenta una gran parte de los sitios web del mundo, incluyendo muchos que operan servicios gubernamentales, plataformas bancarias, sitios de comercio electrónico y medios de comunicación en Bangladesh. Según informes de la BBC y Reuters, los gobiernos de varios países tomaron medidas de emergencia después de que se identificaran las vulnerabilidades, y desde el miércoles por la noche, los gobiernos y organizaciones comerciales de todo el mundo comenzaron a cerrar sus sitios web. A pesar de estas precauciones, los informes en varios medios de comunicación indican que se realizaron millones de intentos de pirateo contra sistemas expuestos.

📡 ¿Qué realmente probó el episodio

🌐 Para el Banco Central de Bangladés, el cierre fue una admisión pública inusual de que el patrimonio web de una entidad central se encuentra en el mismo software vulnerable que el resto — y que mantener la cara pública de la institución en línea por tres días se consideró más seguro que dejarla expuesta. El proceso de restauración, con transacciones sin interrupción durante todo el tiempo, también demostró algo que los reguladores han estado predicando durante años: que el sitio web y la red de transacciones son activos distintos. Un portal dañado o explotado humilla a una institución; un interruptor de pagos comprometido es un evento sistémico. Mantenerlos separados fue exactamente lo que permitió tomar la precaución sin costo financiero.

📈 La lección más amplia para las instituciones de Bangladés es de carácter procedimental, no técnico. Las instituciones que sobrevivieron mejor la semana fueron aquellas que pudieron responder rápidamente a tres preguntas: ¿cuáles son exactamente los sistemas que ejecutan qué software?, ¿cuáles de esos son accesibles por internet?, y ¿con qué rapidez cada uno puede ser actualizado o aislado? El cierre de tres días del Banco Central de Bangladés sugiere que su inventario respondió a todas ellas — mientras que la alerta previa del BGD e-GOV CIRT impulsó a todas las agencias gubernamentales, bancos y telécos a responder las mismas preguntas por sí mismos. Donde las respuestas fueron lentas, esta semana expuso las brechas de manera clara.

⚠️ La restauración también incluye una advertencia: PHP2Shell-style las vulnerabilidades suelen ser seguidas por oleadas de investigación imitadora, donde los investigadores de seguridad — y los atacantes — usan escaneo asistido por IA para encontrar fallos vecinos en los mismos códigos. Un sitio web restaurado hoy no es un sitio web seguro para siempre; el calendario de parches, los escaneos de vulnerabilidades y los ejercicios de respuesta a incidentes que esta semana hicieron obligatorios ahora son el costo operativo permanente de estar en línea.

🔭 En el sector financiero, específicamente, el resultado sin problemas no debería generar complacencia, sino confianza en el proceso: el banco central trató una alerta global como un incidente doméstico, actuó de manera visible y reabrió con un mensaje de que todo estaba en orden. Ese modelo —triage rápido, comunicación transparente, servicios básicos sin interrupciones— es uno que los bancos comerciales del sector, las fintechs al estilo de bKash y las plataformas digitales del gobierno harían bien en institucionalizar antes de que la próxima vulnerabilidad global llegue sin previo aviso. Internet ya no tiene más advertencias que dar; la próxima prueba llegará exactamente como esta, a través de un feed de divulgación en lugar de un pronóstico del tiempo.

📄 El cronograma de divulgación merece una nota más. Las vulnerabilidades se detallaron públicamente a mediados de la semana pasada; en cuestión de horas, Cloudflare y otras empresas de monitoreo informaron de millones de intentos de explotación en todo el mundo; en un día, los gobiernos de Tokio a Helsinki habían cerrado servicios. Las instituciones de Bangladesh —desde el banco central hasta prestamistas comerciales como Janata Bank y Bengal Commercial Bank, que desactivaron sus propios sitios web debido a los mismos temores— estaban operando con un reloj de respuesta medido en horas, no en semanas. Ese es un ritmo exigente para cualquier departamento de TI nacional, y ahora es el ritmo permanente de la ciberseguridad global: cada institución en Bangladesh que depende de software desarrollado en el extranjero hereda cada falla futura de ese software en el momento en que se divulga.

💰 Existe un precedente positivo para operar en este banco también. La infraestructura financiera digital del país —los conmutadores interbancarios, los servicios financieros móviles y las pasarelas de pago que funcionaron normalmente durante tres días de alerta elevada— superó una prueba de estrés en tiempo real sin incidentes visibles. Para una economía que ha trasladado cientos de millones de transacciones diarias a sistemas construidos en la última década, mantener el servicio ininterrumpido durante una alerta global no es un logro menor; es una prueba de que las inversiones en redundancia, monitoreo y separación de funciones tienen sustento real. Ahora, la tarea es extender esa misma disciplina de resiliencia al patrimonio web público, donde esta semana quedó claro que el país sigue siendo más vulnerable.