2013 – Aparición de la banda Carbanak (aka FIN7):

• Grupo criminal avanzado especializado en ataques a la infraestructura bancaria.

• Utilizó técnicas de spear phishing para comprometer redes internas de bancos.

• Manipuló directamente sistemas centrales para programar cajeros a liberar efectivo en momentos específicos, coordinados con mulas.

• Robó un estimado de 1,070 millones de dólares en cinco años, afectando más de 100 instituciones en al menos 40 países.

México, 2013 – Ataque con malware Ploutus:

• Primer ataque de jackpotting a gran escala documentado.

• Infección de más de 450 cajeros automáticos con el malware Ploutus.

• Ploutus permitía a los atacantes controlar el dispensador de efectivo directamente, mediante comandos enviados por teclado físico o por red.

• El malware fue introducido mediante acceso físico a los puertos USB o CD-ROM de los cajeros.

Europa Oriental, 2013–2014 – Primeras variaciones de Ploutus:

• Adaptaciones regionales del malware original, ajustadas a diferentes marcas de cajeros automáticos (Diebold, NCR).

• Se observaron ataques que requerían intervención física mínima gracias a la conectividad remota o uso de redes internas vulnerables.

2016–2017 – Expansión de ATMitch y Cobalt Strike:

• Grupos como Cobalt desarrollan herramientas avanzadas como ATMitch, que simula comandos legítimos de administración del cajero.

• Incorporación de malware bancario con capacidades de reconocimiento del hardware del cajero y evasión de detección por antivirus.

• Explotación de fallas en el software de los proveedores de cajeros automáticos para obtener persistencia.

Estados Unidos, 2018 – Primeros casos documentados de jackpotting:

• FBI emite alertas sobre jackpotting en territorio estadounidense.

• Ataques dirigidos a cajeros stand-alone (fuera de bancos), aprovechando medidas de seguridad más laxas.

• Utilización de dispositivos de diagnóstico y herramientas como Tyupkin y Cutlet Maker.

A partir de 2020 – Aumento global de ataques postpandemia:

• Incremento en frecuencia y sofisticación de los ataques aprovechando la desatención operativa durante el confinamiento.

• Nuevas variantes de Ploutus y Tyupkin con compatibilidad multiplataforma (Windows 10, Linux embebido).

• Incorporación de técnicas de living off the land, donde los atacantes usan herramientas legítimas del sistema para ejecutar comandos maliciosos sin ser detectados.