El FBI alerta de un aumento del llamado «jackpotting», una técnica con la que los delincuentes infectan cajeros automáticos con malware para que expulsen efectivo sin ninguna operación legítima. Un caso reciente en Wisconsin, con dos cajeros vaciados en cuestión de días, ha puesto el fenómeno en los titulares. La agencia lo describe como una nueva forma de atracar un banco, sin armas y sin violencia. Detrás hay una mezcla de acceso físico, software especializado y vigilancia previa. Los bancos estadounidenses han notificado más de 1900 incidentes desde 2020, y más de 700 solo en 2025. Repasamos cómo funciona el ataque, qué se sabe del malware implicado, qué cifras maneja el FBI y qué medidas se recomiendan.

Dos cajeros y 340 000 dólares

El caso que ha reavivado la alerta ocurrió en Wisconsin. En marzo, las cámaras de un banco de Glendale grabaron a dos hombres frente a un cajero. No introdujeron ningún PIN. Uno de ellos abrió la máquina con una llave. La pantalla se apagó y el equipo pareció reiniciarse. Los dos se marcharon.

Una hora después volvieron. Esta vez sacaron fajos de billetes y se hicieron un selfi con el botín. En Glendale se llevaron unos 110 000 dólares. Una semana más tarde, en Greenfield, desaparecieron unos 230 000 de otro cajero. En total son unos 340 000 dólares, y el segundo golpe fue algo más de dos veces mayor que el primero. No está claro si ambos robos están relacionados.

La policía de Glendale sospecha que uno de los implicados podría ser de Chicago. La de Greenfield ha cerrado su caso sin pistas. El responsable del FBI en Milwaukee, Alan Karr, explicó que estos grupos dedican días a vigilar el banco, sus cámaras y sus puntos débiles antes de actuar.

Llave, disco y reinicio

La secuencia que muestra el vídeo encaja con lo que describe el aviso FLASH del FBI, publicado el 19 de febrero de 2026. Los atacantes combinan vulnerabilidades físicas y de software. Primero acceden al interior del cajero. Después retiran el disco duro y lo sustituyen por otro, o por un dispositivo externo, con el malware ya instalado. Por último reinician la máquina.

El reinicio explica la pantalla negra del vídeo. Cuando el cajero arranca, ya obedece al software del atacante. Según la prensa especializada, muchas veces basta una llave genérica para abrir el compartimento de mantenimiento. Es un detalle poco sofisticado frente a la parte informática del ataque.

El FBI insiste en que estos delitos no tocan las cuentas de los clientes. El malware no necesita conexión con ninguna cuenta bancaria para dispensar efectivo. Actúa sobre el propio cajero, y la retirada puede completarse en minutos. Por eso suele detectarse cuando el dinero ya se ha ido.

Ploutus y la capa XFS

El nombre que más aparece en la alerta es Ploutus. Según SecurityWeek, esta familia lleva más de una década en circulación. Una vez instalada, da a los delincuentes control directo de la máquina y les permite ordenar retiradas.

Su punto de ataque es XFS, las siglas de eXtensions for Financial Services. Es la capa de software que traduce las órdenes de la aplicación del cajero a acciones del hardware, como la lectura de la tarjeta, el teclado o el dispensador de billetes. Como explica Security Affairs, el malware aprovecha sistemas Windows y funciona en cajeros de distintas marcas con cambios mínimos.

Ese detalle importa. Si la capa XFS es común a muchos fabricantes, un mismo programa sirve para muchas máquinas. Además, los cajeros suelen ejecutar sistemas operativos antiguos, lo que deja margen para atacar fallos conocidos antes de que se instalen parches. La misma fuente recuerda que en enero de 2018 se descubrió Ploutus-D, una variante para la plataforma multifabricante Kalignite.

Las cifras detrás de la alerta

Los números explican la preocupación del FBI. Desde 2020 se han notificado más de 1900 incidentes en Estados Unidos. De ellos, más de 700 ocurrieron solo en 2025, es decir, alrededor del 37 % del total en un único año. Las pérdidas de ese año superaron los 20 millones de dólares.

Con esos datos salen dos cuentas sencillas, que son cálculos propios. Más de 700 ataques en un año equivalen a casi dos al día. Y 20 millones entre 700 incidentes dan una media superior a 28 000 dólares por ataque. Los casos de Wisconsin quedan por encima de esa media, sobre todo el de 230 000.

Hay que leer estas cifras con cuidado. Proceden del FBI y se refieren a Estados Unidos. Son incidentes comunicados, así que la cifra real podría ser mayor. Aun así, la tendencia es clara: el fenómeno se ha concentrado en los últimos años.

Cómo se detecta y se frena

El aviso incluye indicadores de compromiso para que los bancos detecten ataques. Algunos son informáticos. Los equipos deberían registrar la conexión de teclados USB, concentradores USB o memorias flash, dispositivos que no tienen motivo para aparecer en un cajero. Otros son físicos, como las alertas de puerta abierta fuera del calendario de mantenimiento.

Las medidas recomendadas también combinan ambos mundos. En lo físico, el FBI sugiere sensores de vibración y de cambio de temperatura en los equipos y los vestíbulos, además de mejores cerraduras y teclados de acceso. En lo informático, plantea auditar el uso de almacenamiento extraíble, controlar el acceso a los archivos y mantener el software actualizado. Karr resumió la idea con tres frases sencillas: actualizar programas, reforzar la protección física y poner cámaras en la zona.

La segmentación de red, que limita la propagación del malware entre máquinas, completa la lista de defensas. Ninguna medida es suficiente por sí sola. El ataque exige acceso físico, así que cada capa añade tiempo y riesgo para los delincuentes.

Reflexiones adicionales

Este caso recuerda una idea básica de seguridad. Un cajero es un ordenador con una caja fuerte conectada. Si se protege la caja pero se descuida el ordenador, el sistema falla por el lado más débil. Aquí se explota justo esa unión entre lo físico y lo digital.

También conviene fijarse en lo que no ocurre. El cliente no pierde dinero de su cuenta, porque el ataque no pasa por ella. La víctima es la entidad o el operador del cajero. Eso no significa que el problema no importe al usuario. Los costes acaban repercutiendo en el servicio, y un cajero comprometido puede quedar fuera de uso.

Por último, la sofisticación tiene límites. Es un ataque de bajo perfil técnico en la entrada, con llaves y discos, y de alto perfil en el software. Por eso la defensa más rentable sigue siendo la básica: cerraduras robustas, alertas de apertura, parches al día y cámaras. Si las cifras del FBI se mantienen, los operadores tendrán que tomarse en serio esa lista.