ATM Jackpotting: cuando el cajero automático se convierte en objetivo de un ataque informático
Raymond Orta Martinez, Abogado Perito Informático
Durante años, cuando se hablaba de delitos relacionados con cajeros automáticos —ATM, por sus siglas en inglés—, la atención se concentraba principalmente en la clonación de tarjetas, la captura fraudulenta de números de identificación personal (PIN), la instalación de dispositivos de skimming o, sencillamente, en ataques físicos contra las máquinas.
La evolución tecnológica de los cajeros automáticos modificó ese escenario.
Un ATM moderno no es únicamente una caja fuerte conectada a un lector de tarjetas. Es, en términos funcionales, un sistema informático especializado, compuesto por hardware, sistema operativo, aplicaciones, interfaces de comunicación, controladores, periféricos y conexiones con las redes de las instituciones financieras.
Precisamente por ello puede convertirse en objetivo de ataques informáticos.
Una de las modalidades más relevantes recibe el nombre de ATM Jackpotting, expresión utilizada para describir ataques mediante los cuales un delincuente consigue manipular el sistema del cajero automático y provocar la dispensación de efectivo sin que exista una operación bancaria legítima que la autorice.
La analogía con una máquina tragamonedas que entrega un premio extraordinario explica el origen del término jackpotting. Sin embargo, detrás de esa denominación casi coloquial existe una modalidad seria de delincuencia informática y financiera.
¿Qué es el ATM Jackpotting?
Europol ha definido el jackpotting como una técnica mediante la cual se utiliza software malicioso para tomar control del computador de un ATM y ordenar al dispensador de efectivo que entregue dinero. En otras variantes, conocidas generalmente como ataques Black Box, puede utilizarse un dispositivo externo no autorizado para interactuar directamente con determinados componentes del cajero.
La diferencia fundamental frente al fraude tradicional con tarjetas es importante.
En un caso convencional de clonación, el delincuente intenta obtener las credenciales de una persona para posteriormente realizar operaciones fraudulentas sobre su cuenta.
En el jackpotting, por el contrario, el objetivo principal puede ser el propio cajero automático y su infraestructura informática.
El atacante pretende alterar el funcionamiento normal de la máquina hasta conseguir que esta ejecute instrucciones que aparentan provenir de sus propios componentes o aplicaciones.
Dicho de una manera sencilla: el delincuente intenta convertir al cajero en una computadora comprometida con acceso directo a dinero en efectivo.
Una amenaza que continúa vigente en 2026
El fenómeno no pertenece únicamente a los primeros años del malware bancario.
El 19 de febrero de 2026, el Federal Bureau of Investigation (FBI) publicó una alerta específica denominada Increase in Malware Enabled ATM Jackpotting Incidents Across United States, advirtiendo sobre un incremento de este tipo de ataques en territorio estadounidense.
Las cifras comunicadas por el FBI resultan particularmente significativas.
Desde 2020 se habían reportado aproximadamente 1.900 incidentes de ATM jackpotting. Solamente durante 2025, más de 700 incidentes ocasionaron pérdidas superiores a 20 millones de dólares, según la alerta de la agencia federal.
Esto permite comprender que no estamos frente a una curiosidad de laboratorio ni ante una técnica obsoleta.
Estamos frente a un riesgo actual para entidades financieras, operadores independientes de cajeros automáticos, empresas procesadoras de pagos y organizaciones responsables de infraestructuras financieras.
El cajero automático como sistema informático
Para comprender el problema desde la informática forense debemos abandonar momentáneamente la percepción cotidiana del ATM.
Cuando una persona observa un cajero automático, normalmente identifica una pantalla, un teclado, un lector de tarjetas y una ranura que dispensa billetes.
El investigador forense debe observar algo diferente.
Debe reconocer un sistema informático compuesto por diferentes subsistemas que interactúan entre sí.
Existe un computador. Existe almacenamiento digital. Existen aplicaciones. Existen registros de eventos. Existen procesos ejecutándose. Existen controladores. Existen interfaces que permiten que las aplicaciones se comuniquen con los dispositivos físicos del ATM. Existen comunicaciones de red. Pueden existir mecanismos de administración remota, dispositivos periféricos, mecanismos de autenticación, cámaras y registros generados por sistemas externos.
Ese ecosistema tecnológico es precisamente lo que convierte un ataque contra un ATM en un problema de informática forense.
Malware especializado para cajeros automáticos
Una característica particularmente interesante de estos ataques es la existencia de malware diseñado específicamente para interactuar con cajeros automáticos.
Europol ha documentado durante años diferentes familias de malware utilizadas contra ATM. Ya en 2016 informó sobre investigaciones relacionadas con Tyupkin, un malware utilizado para manipular cajeros y vaciar sus casetes de efectivo.
La amenaza evolucionó posteriormente.
La alerta emitida por el FBI en febrero de 2026 hace referencia, entre otras, a la familia de malware Ploutus, utilizada para comprometer ATM y provocar dispensaciones no autorizadas.
Un elemento técnico particularmente relevante es la interacción de este tipo de malware con las capas de software que permiten que las aplicaciones del cajero controlen sus componentes físicos.
El FBI explica que determinadas variantes pueden aprovechar las eXtensions for Financial Services (XFS), infraestructura de software utilizada para que las aplicaciones financieras interactúen con dispositivos como lectores, teclados y dispensadores de efectivo.
Esta característica permite comprender una cuestión esencial: el ataque no tiene necesariamente que “romper” físicamente el mecanismo que contiene los billetes.
Puede intentar conseguir algo técnicamente mucho más sofisticado: hacer que el propio sistema ordene al dispensador entregar el dinero.
Jackpotting y Black Box no son exactamente lo mismo
En la literatura técnica es frecuente encontrar relacionadas las expresiones jackpotting y Black Box attack.
Aunque pueden perseguir resultados semejantes, conviene distinguirlas conceptualmente.
El jackpotting puede utilizarse como expresión general para determinadas modalidades de ataque lógico cuyo objetivo final consiste en provocar una dispensación ilegítima de efectivo.
Los ataques denominados Black Box, por su parte, utilizan normalmente un dispositivo externo no autorizado que interactúa con determinados componentes del ATM para enviar órdenes al dispensador.
Europol ha documentado operaciones policiales contra organizaciones dedicadas a esta modalidad y describe el Black Box como una forma de ataque lógico mediante la conexión de dispositivos no autorizados destinados a enviar directamente órdenes de dispensación.
Desde una perspectiva forense esta diferenciación puede ser determinante, porque la naturaleza de los vestigios digitales y físicos dependerá de la modalidad utilizada.
¿Qué debe buscar un investigador informático forense?
Cuando se produce un incidente relacionado con un ATM, uno de los errores más graves consiste en concentrar exclusivamente la investigación en el dinero sustraído.
El efectivo constituye el resultado material del ataque, pero no necesariamente contiene la explicación tecnológica de lo ocurrido.
La investigación debe intentar reconstruir qué ocurrió, cuándo ocurrió, qué componente fue comprometido, qué modificaciones fueron introducidas, qué procesos se ejecutaron, qué comunicaciones se produjeron y cuál pudo haber sido el mecanismo utilizado para ordenar la dispensación.
Por ello pueden resultar relevantes, dependiendo de la arquitectura específica del cajero, las imágenes forenses de sus dispositivos de almacenamiento, archivos ejecutables, servicios instalados, registros del sistema operativo, registros de aplicaciones, mecanismos de persistencia, archivos temporales, dispositivos conectados, eventos de encendido y apagado, información de red y registros asociados a las transacciones.
Igualmente deben correlacionarse esos elementos con fuentes externas.
Los registros del sistema bancario, servidores de administración, sistemas de videovigilancia, controles de acceso, plataformas de monitoreo, registros de red y mecanismos de seguridad física pueden proporcionar información indispensable para construir una cronología.
La cronología digital
En este tipo de investigación la elaboración de una línea temporal constituye una herramienta fundamental.
No basta con identificar un archivo sospechoso dentro del ATM.
Debe determinarse cuándo apareció, cuándo fue modificado, cuándo pudo haberse ejecutado y qué ocurrió inmediatamente antes y después.
Esa cronología debe posteriormente compararse con los momentos de apertura o manipulación física del cajero, las dispensaciones anómalas, las alarmas, las interrupciones de comunicación, las imágenes de videovigilancia y los registros del sistema financiero.
La convergencia de múltiples fuentes independientes aumenta considerablemente la capacidad de reconstrucción del incidente.
La ausencia de una transacción legítima también puede constituir evidencia
Existe otro aspecto técnicamente interesante.
Cuando un cajero entrega dinero normalmente debería existir una cadena lógica de eventos relacionada con una operación autorizada.
En determinadas modalidades de jackpotting, esa correlación puede encontrarse alterada o simplemente no existir.
Por ello, una discrepancia entre el dinero físicamente dispensado y los registros esperables de autorización puede convertirse en un indicador de enorme importancia.
La informática forense no estudia solamente aquello que aparece registrado.
En determinados contextos también estudia aquello que debería encontrarse registrado y no aparece.
Preservación de la evidencia
Después de descubrir un ATM comprometido puede existir una tendencia natural a reiniciarlo, reinstalar inmediatamente el sistema, eliminar archivos sospechosos o intentar devolver la máquina al servicio cuanto antes.
Desde el punto de vista operativo puede parecer razonable.
Desde el punto de vista forense puede destruir evidencia.
Antes de ejecutar acciones potencialmente modificadoras deben evaluarse los mecanismos adecuados de preservación.
Cuando técnicamente resulte procedente, debe obtenerse una imagen forense de los dispositivos relevantes mediante procedimientos reproducibles, documentar el estado de la máquina y calcular valores hash que permitan posteriormente verificar la integridad de las evidencias adquiridas.
También debe documentarse cualquier elemento físico extraño encontrado en el dispositivo.
La informática forense y la criminalística física deben trabajar conjuntamente.
Cadena de custodia
La existencia de malware no elimina los principios tradicionales de tratamiento de evidencia.
Todo dispositivo, imagen forense, archivo extraído, fotografía, registro o elemento físico susceptible de convertirse posteriormente en evidencia debe estar sometido a mecanismos adecuados de identificación, preservación y trazabilidad.
La cadena de custodia debe permitir responder, entre otras, las siguientes interrogantes:
quién obtuvo la evidencia, cuándo fue obtenida, dónde se encontraba, mediante qué procedimiento fue adquirida, quién tuvo acceso posteriormente a ella y qué mecanismos permiten demostrar que el objeto analizado conserva correspondencia con el originalmente recolectado.
El hash criptográfico tiene una función especialmente importante dentro de esta metodología, pero no sustituye la cadena de custodia.
Constituye uno de sus mecanismos técnicos de verificación.
No confundir jackpotting con skimming
La distinción también resulta relevante desde el punto de vista investigativo.
En el skimming, el objetivo suele ser obtener información correspondiente a tarjetas y eventualmente sus PIN para cometer posteriormente operaciones fraudulentas.
En el jackpotting, el propósito fundamental es conseguir que el cajero entregue efectivo mediante la manipulación de su infraestructura informática o de los componentes que controlan el dispensador.
Europol diferencia expresamente ambas modalidades dentro de su clasificación de amenazas contra ATM.
Esto significa que encontrar un ATM comprometido no implica necesariamente que las credenciales de sus usuarios hayan sido sustraídas.
La determinación deberá surgir de la investigación técnica.
Prevención mediante defensa en profundidad
No existe una única medida capaz de eliminar el riesgo.
La seguridad de los ATM debe abordarse mediante defensa en profundidad.
El endurecimiento del sistema operativo, las restricciones frente a software no autorizado, la protección de mecanismos de arranque, la seguridad física del gabinete, la limitación de interfaces innecesarias, el monitoreo de integridad, la supervisión de procesos, la segmentación de redes y la detección de comportamientos anómalos forman parte de una estrategia integral.
Europol ha destacado históricamente medidas como el aseguramiento del BIOS, las restricciones al arranque desde dispositivos externos, el endurecimiento del sistema operativo y la utilización de sistemas de alarma como parte de las defensas aplicables contra ataques lógicos a ATM.
Pero la prevención también debe incluir algo menos visible: preparación forense.
Las instituciones financieras deben saber previamente qué información generan sus ATM, dónde se conservan los registros, cuánto tiempo permanecen disponibles y cuál será el procedimiento de actuación ante un incidente.
Cuando estas preguntas comienzan a formularse después del ataque, frecuentemente ya se ha perdido información.
Informática forense aplicada a infraestructuras financieras
El ATM Jackpotting constituye un excelente ejemplo de la transformación contemporánea del delito.
Una conducta que termina materializándose en la sustracción física de billetes puede tener su origen en la manipulación de software, sistemas operativos, comunicaciones digitales y dispositivos electrónicos.
Por esa razón, la escena del hecho tampoco termina frente al cajero.
Puede extenderse al almacenamiento digital, las redes, los sistemas de administración, los servidores financieros, los sistemas de videovigilancia y cualquier infraestructura tecnológica capaz de aportar información sobre el incidente.
El investigador moderno debe aprender a interpretar conjuntamente esos mundos.
La evidencia física puede demostrar que alguien accedió al cajero.
La videovigilancia puede mostrar quién estuvo frente a él.
Los registros informáticos pueden determinar qué ocurrió dentro del sistema.
La imagen forense puede permitir identificar modificaciones.
Los registros financieros pueden demostrar que no existía una operación legítima que justificara determinadas dispensaciones.
Y la correlación de todas estas evidencias puede permitir reconstruir técnicamente el ataque.
El ATM Jackpotting, por tanto, no debe entenderse simplemente como una novedosa forma de robar dinero de un cajero automático.
Es una manifestación de delincuencia informática en la que el software, el hardware, las comunicaciones y la infraestructura financiera convergen dentro de una misma escena tecnológica.
Y precisamente por ello, cuando ocurre un incidente de esta naturaleza, una de las primeras preguntas no debería ser únicamente cuánto dinero desapareció.
La pregunta forense fundamental debe ser otra:
¿qué ocurrió digitalmente dentro del cajero para que la máquina entregara un dinero que nunca debió dispensar?
Palabras clave: