Janata, los sitios web del Banco Comercial de Bengala están fuera de línea en medio de temores de ciberataque

⚠ Los sitios web de Janata Bank y Bengal Commercial Bank han sido cerrados debido a temores de ciberataques, dejando a los clientes incapaces de obtener información o utilizar otros servicios a través de las plataformas en línea de los bancos. Cuando se accedió a los dos sitios web alrededor de las 12:30 del domingo, los avisos indicaron que se estaban realizando trabajos de mantenimiento y que los sitios volverían en línea pronto, con disculpas por las molestias —pero los intentos repetidos de acceder a ellos más tarde siguieron sin éxito. Los intentos de contactar al director gerente en funciones de Janata Bank, Fayaz Alam, para comentar también fueron infructuosos.

🗓 Este desarrollo se produce al final de una semana en la que las preocupaciones sobre posibles ciberataques a bancos y otras instituciones financieras han aumentado constantemente. El sitio web oficial del Banco de Bangladesh fue desactivado el jueves pasado como medida de precaución y fue restaurado el domingo a las 8:00 am después de tres días, con el portavoz del banco central, Arif Hossain Khan, confirmando que el sitio había sido revisado en busca de posibles vulnerabilidades antes de su reapertura. Los sitios web de Agrani Bank, IFIC Bank, Standard Islami Bank y SBAC Bank también habían sido desactivados durante el período, pero ahora están operativos de nuevo. En todo momento, las transacciones de banca por internet y banca móvil continuaron con normalidad, sin interrupciones en los pagos de los clientes.

🌐 El desencadenante sigue siendo el mismo evento global: una gran proporción de los sitios web del mundo —incluidos los que ofrecen servicios gubernamentales, plataformas bancarias, comercio electrónico y medios de comunicación en Bangladesh— dependen del lenguaje de programación PHP, y el reciente descubrimiento de dos graves vulnerabilidades de seguridad en PHP ha generado preocupaciones de ciberseguridad en todo el mundo, provocando cierres de emergencia desde Europa hasta Asia mientras las organizaciones se apresuraban a parchear antes de que los atacantes pudieran explotar las fallas.

🏦 El triaje silencioso del sector

📉 Leídos en conjunto, los cierres y reaperturas de la semana delinean el primer ejercicio masivo de evaluación por prioridad del sector bancario de este tipo. Al menos seis instituciones —el banco central, dos bancos comerciales estatales (Janata y Agrani), IFIC, Standard Islami, SBAC y el Banco Comercial Bengal)— dejaron sus páginas web públicas fuera de línea durante el mismo período, mientras que los sistemas de transacciones en toda la industria continuaron operando. Ese patrón envía una clara lección a los departamentos de TI de los bancos: los portales se consideraron prescindibles por días, las vías de pago no, y el sector supo distinguirlo bajo presión.

📢 Sin embargo, la estrategia de comunicación reveló una brecha. Los avisos que atribuían los inconvenientes a trabajos de mantenimiento —mientras se realizaban parches en segundo plano— dejaron a los clientes deducir la causa real a partir de informes noticiosos, y el silencio de la dirección bancaria contrastó con el mensaje público comparativamente claro del banco central. Para un sector bancario que reconstruye la confianza pública tras años de problemas de gobernanza, los incidentes cibernéticos manejados con transparencia visible son una oportunidad y no una desventaja: los clientes perdonan las labores de mantenimiento, pero recuerdan haber sido mantenidos en la oscuridad sobre amenazas a su dinero.

🌐 El episodio también subraya la heterogeneidad del patrimonio web del sector. Algunos bancos restauraron sus sitios en menos de un día; otros siguen sin servicio días después de que alcanzara su punto máximo la alerta global —una diferencia que refleja variaciones en las pilas de gestión de contenido, acuerdos de alojamiento y capacidad interna para aplicar parches. Cada banco que tardó en restablecerse ahora tiene un caso de negocio para las inversiones poco llamativas que hicieron a sus pares más rápidos: inventarios de versiones, entornos de prueba, contratos de soporte con proveedores y procedimientos de recuperación ensayados.

🔭 La expectativa entre los profesionales de la seguridad es que sitios como los de Janata y Bengal Commercial volverán una vez que se completen sus propias comprobaciones — la misma secuencia que siguió el banco central. La pregunta más importante es qué institucionaliza el sector después del susto: escaneo de vulnerabilidades de rutina de los sistemas orientados al público, divulgación coordinada a través del banco central y BGD e-GOV CIRT, y plantillas de comunicación con los clientes que indiquen lo que realmente está sucediendo. La falla de PHP será parcheada y olvidada en cuestión de semanas; los hábitos forzados esta semana merecen ser mantenidos durante años.

💰 Las consecuencias regulatorias valen la pena anticipar. El Banco de Bangladesh ha pasado años presionando a los bancos hacia la modernización de la banca central, estándares de centros de datos y gobernanza de TI; una semana en la que seis bancos eligieron simultáneamente desactivar sus sistemas públicos en lugar de arriesgarse a la exposición proporciona a los supervisores tanto evidencia como urgencia. Esperen un seguimiento silencioso: requisitos de auditoría de TI más estrictos, plazos de informes para incidentes de seguridad más cortos y presión sobre las instituciones rezagadas cuyo ritmo de restauración reveló una dotación técnica escasa. La regulación después de los incidentes tiende a ser retrospectiva, pero la industria haría bien en anticiparla documentando voluntariamente las lecciones de esta semana.

📋 Mientras tanto, los clientes experimentaron el episodio como un recordatorio de higiene práctica. Los sitios web de los bancos son la puerta de entrada al phishing: cuanto más familiarizados estén los usuarios con los sitios que están legítimamente fuera de servicio, más fácil será para los delincuentes enviar correos electrónicos de restauración de aspecto oficial que recopilen credenciales. Los investigadores de seguridad han observado durante mucho tiempo que los avisos de mantenimiento falsos y las páginas de inicio de sesión falsificadas prosperan exactamente en estas ventanas. Los bancos que fueron rápidos en restaurar también fueron, en efecto, rápidos en cerrar esa ventana de phishing — una razón más por la que el reloj de restauración, no solo el reloj de parche, es una métrica de seguridad que vale la pena publicar.