Los ciberataques a bancos nigerianos afectan a los principales proveedores de software bancario
A principios de octubre supuestamente hubo una serie de Ataques cibernéticos a bancos nigerianos que afectó a varios acreedores y otras empresas financieras. El fraude que siguió podría provocar el retiro de miles de millones de naira de las cuentas de los clientes, según TechCabal, que se basó en personas cercanas a los acontecimientos y que los conocían de primera mano. La publicación decía que el 1 de octubre, los atacantes irrumpieron en los sistemas de una empresa que proporciona software bancario básico.
Para los clientes comunes, la preocupación central es simple: si un proveedor de tecnología compartida falla, muchos bancos podrían verse afectados al mismo tiempo. El Banco Central de Nigeria (CBN) hizo la misma advertencia semanas antes.
Qué implicaron los ciberataques de octubre a los bancos nigerianos
Según TechCabal, el proveedor opera las plataformas bancarias centrales de las que dependen las instituciones financieras y ha estado en el centro de los ciberataques a los bancos nigerianos. El medio describe a la empresa como una de las empresas de tecnología financiera más grandes de África, aunque no proporciona un nombre. TechCabal también señaló que no pudo calcular la cantidad de ataques que ocurrieron, el tamaño de las pérdidas o si los eventos separados estaban interconectados.
Un ejecutivo de una pasarela de pagos, que habló sin ser identificado, llamó al mes “Octubre Negro” tras los ciberataques a los bancos nigerianos. El ejecutivo dijo que empresas de todo el sector de servicios financieros se vieron afectadas.
Según los informes, un importante prestamista de microfinanzas también se vio involucrado en los ciberataques a los bancos nigerianos. Una fuente le dijo a TechCabal que el prestamista perdió fondos y vio sus sistemas interrumpidos, lo que lo llevó a establecer acuerdos temporales para continuar atendiendo a sus clientes. La misma fuente dijo que el prestamista contrató a un jefe de seguridad.
TechCabal pidió a NIBSS, el operador del centro de pagos nacional, comentarios sobre los ciberataques a los bancos nigerianos, pero no recibió respuesta. Un portavoz de CBN dijo que el regulador continúa monitoreando los incidentes cibernéticos en las instituciones bajo su supervisión y que sus requisitos de supervisión y ciberseguridad siguen vigentes.
CBN advirtió sobre el riesgo de los proveedores
El 9 de septiembre de 2026, un alto funcionario del CBN advirtió que una infracción en un solo banco, fintech, proveedor de pagos o proveedor de tecnología podría desencadenar perturbaciones más amplias en todo el sistema financiero interconectado. La advertencia provino del Dr. Rakiya Opemi Yusuf, Director de Supervisión del Sistema de Pagos de CBN y Presidente del Foro de Fraude Electrónico de Nigeria. Habló en la 19ª Conferencia Anual de Banca y Finanzas de CIBN en Abuja.
Yusuf instó a los bancos a ampliar la ciberseguridad y la gestión de riesgos a sus socios tecnológicos, en lugar de tratar a los proveedores externos como fuera de su perímetro de riesgo. También describió un efecto de “fuego único”, en el que la debilidad de una institución se propaga rápidamente a otras y puede desestabilizar todo el sistema.
Los informes de octubre parecen una prueba de esa advertencia. El compromiso de un proveedor puede llegar a todas las instituciones que dependen de él, independientemente de la fortaleza de las defensas de cada banco.
¿Se siguió la regla de las 24 horas?
Según el marco de ciberseguridad 2024 del CBN, las instituciones supervisadas deben informar al regulador en el plazo de un día tras detectar cualquier incidente cibernético. También se espera que presenten información sobre amenazas antes del cinco del próximo mes. El objetivo de estas reglas es ayudar al regulador a detectar tempranamente amenazas emergentes.
La adherencia ha sido débil en el pasado. NIBSS analizó 163 instituciones y encontró que solo 60 habían reportado casos de fraude en 2023, una tasa de cumplimiento del 37 por ciento. Los informes disponibles no establecen si las instituciones afectadas en octubre dieron la alarma en un plazo de 24 horas, y el CBN no lo ha dicho públicamente.
La última vía del CBN, Payments System Vision 2028, exige un Centro de Operaciones de Seguridad Nacional y una plataforma compartida donde se pueda intercambiar información sobre fraudes. Su objetivo es una reducción del 70 por ciento en las pérdidas por fraude para 2028. En enero, el banco principal ya había ordenado al NIBSS que dedujera dinero de las cuentas de liquidación en poder de los bancos comerciales siempre que estas instituciones recibieran ingresos por fraude. El CBN predice que esto alentará a los bancos y fintechs a examinar más de cerca las transacciones.
Un año de crecientes violaciones
Octubre no surgió de la nada. El 4 de agosto de 2026, Zenith Bank informó a sus clientes que los piratas informáticos habían accedido a un conjunto limitado de sus datos, específicamente direcciones de correo electrónico y números de teléfono. El banco dijo que esto era parte de un ciberataque global más amplio. Afirmó que sus servicios bancarios, canales digitales y sistemas centrales siguen siendo seguros y en pleno funcionamiento. Instó a los clientes a tener cuidado con los correos electrónicos, mensajes de texto y llamadas de phishing y a nunca compartir su contraseña, PIN o contraseña de un solo uso con nadie.
En marzo de 2026, los piratas informáticos accedieron a datos de clientes de Sterling Bank, Providus Bank y otros bancos nigerianos. El gobierno federal prometió en abril investigar, pero no se han hecho públicas conclusiones. En junio, BusinessDay informó que la Comisión de Protección de Datos de Nigeria estaba investigando si los datos vinculados a Remita y Sterling Bank habían sido expuestos.
Las cifras más amplias son claras. La Visión 2028 del sistema de pagos del CBN estimó las pérdidas del sector bancario y de los clientes debido al fraude en ₦ 134,48 mil millones entre 2020 y 2025, de ₦ 187,79 mil millones en intentos de fraude. Los datos de Check Point muestran que la organización nigeriana promedio enfrentó 4.361 intentos de ciberataque por semana en junio de 2026. Esta cifra es superada solo por Angola en África.
Según las propias cuentas de TechCabal, Access Holdings, GTCO y Zenith Bank revelaron pérdidas por fraude de ₦ 2,740 millones en el primer semestre de 2026. La cifra de GTCO aumentó un 450,24 por ciento interanual.
Qué deben preguntar los clientes y qué sigue
Tres preguntas son las más importantes. ¿Qué proveedor se vio comprometido y qué bancos lo utilizan? ¿Las instituciones afectadas informaron al CBN en un plazo de 24 horas? ¿Y se reembolsará a los clientes que perdieron dinero?
Ninguno de los dos tiene una respuesta pública todavía. Sin embargo, los clientes pueden seguir los consejos de Zenith. Deben tratar los correos electrónicos, los mensajes de texto y las llamadas inesperadas con sospecha y nunca compartir su contraseña, PIN o contraseña de un solo uso.
Se está desarrollando un marco nacional de ciberseguridad. Se espera que exija a las empresas que informen de incidentes y gasten una cantidad mínima en ciberseguridad. Nigeria también ha avanzado normas para obligar a revelar los ataques cibernéticos. Si ocurre como se describe, la opacidad alrededor de octubre puede volverse más difícil de mantener.
- Se está desarrollando un marco nacional de ciberseguridad
- Se espera que el marco exija la notificación de incidentes.
- Se espera que el marco requiera una inversión mínima en ciberseguridad.
- Nigeria avanza normas para obligar a revelar los ciberataques
