Ciberseguridad en la industria financiera: riesgos y desafíos

La ciberseguridad en la industria financiera es la capacidad de bancos, aseguradoras, financieras y cooperativas para proteger los datos, los canales digitales y la continuidad de su operación frente a ataques y errores. Sus riesgos y desafíos no son solo tecnológicos, porque dependen igualmente de los procesos, la cultura de la organización y la conciencia de cada persona.

Imagine el lunes de un director general de una cooperativa financiera. Antes de las ocho recibe una llamada del responsable de tecnología. Durante el fin de semana un colaborador que ya no trabaja en la institución todavía tenía activo su acceso a una herramienta interna, y alguien lo utilizó desde una red doméstica. No se sabe aún qué se vio ni qué se descargó. Cada minuto que pasa, la pregunta deja de ser técnica. Es la que hará el regulador, la que harán los asociados y la que hará el consejo. Qué datos de nuestros clientes están expuestos, desde cuándo y por qué nadie lo advirtió.

Esa escena resume el desafío del sector. La digitalización ya no es una ventaja competitiva en la banca, los seguros o las cooperativas, es una condición de operación, y la competencia consiste en lanzar más servicios digitales con mayor rapidez. Pero cada canal nuevo amplía la superficie que alguien debe defender, y la confianza que tardó años en construirse puede perderse en una sola semana. La ciberseguridad deja entonces de ser un tema del departamento de tecnología y pasa a ser una decisión de negocio sobre retención, lealtad y costo de servir.

¿Por qué el sector financiero es el favorito de los atacantes?

Las empresas del sector financiero atienden a sus clientes, internos y externos, por una cantidad de canales que crece cada año. Hay aplicaciones móviles, portales de servicios, sitios informativos, correo electrónico, redes privadas virtuales y esquemas de teletrabajo, y cada uno es una puerta que debe estar bien cerrada. Esa multiplicación de accesos aumenta de manera proporcional el riesgo de ataque en un sector que, desde hace años, ha sido el preferido de quienes buscan beneficio económico.

La razón es sencilla. Ninguna otra industria concentra tantos datos sensibles y tan variados de las personas y de las empresas. Una institución financiera conoce el nombre y los datos de contacto de sus clientes, pero también sus ingresos, las empresas en las que participan y sus utilidades, sus impuestos, la composición de su familia, las tarjetas de crédito, las cuentas y los productos financieros que poseen, las fechas en que reciben sus ingresos y los datos de las personas autorizadas a operar en su nombre. Con esa información, un atacante puede suplantar una identidad con una credibilidad que ningún otro sector ofrece.

El Fondo Monetario Internacional lo describió en 2024 con datos de su análisis de estabilidad financiera. Los ciberataques se han más que duplicado desde la pandemia, los que apuntan a empresas financieras representan casi una quinta parte del total y los bancos son los más expuestos. Las pérdidas extremas por incidentes cibernéticos se han más que cuadruplicado desde 2017 hasta los 2.500 millones de dólares, y las pérdidas indirectas, como el daño reputacional y las mejoras de seguridad posteriores, son sustancialmente mayores que las directas (FMI, Rising Cyber Threats Pose Serious Concerns for Financial Stability). Para un director financiero, esa última frase es la más importante. El costo visible de un incidente es apenas una parte de su costo real.

>> Reportería avanzada en Magento <<

Riesgos técnicos y humanos que debe conocer la dirección

Los riesgos que enfrenta el sector van desde lo técnico hasta lo humano, y es un error tratarlos por separado. En el plano técnico, el patrón más frecuente es la infraestructura que no se prueba de forma regular. Si nadie busca vulnerabilidades de manera proactiva, el primero en encontrarlas será alguien ajeno. A ello se suman las versiones de sistemas desactualizadas, que no incorporan los últimos parches de seguridad, y los equipos conectados a redes que no son seguras, algo cada vez más común con el trabajo remoto.

En el plano de los accesos, el problema suele ser de gestión más que de tecnología. Existen accesos especiales sin un control adecuado, políticas débiles de contraseñas y autenticación, y credenciales que debieron darse de baja cuando una persona cambió de puesto, salió de la organización o terminó una colaboración temporal. El caso del lunes por la mañana descrito al inicio es, precisamente, este último. Los esquemas de operación seguros para el trabajo remoto y las políticas de monitoreo de comportamientos sospechosos completan el cuadro, porque sin ellos una intrusión puede pasar meses sin ser detectada.

El último eslabón es el humano. Con frecuencia los colaboradores no están informados de los riesgos que existen, y un correo fraudulento bien redactado sigue siendo la forma más barata de entrar a una institución. Por eso la conciencia del problema, desde la presidencia hasta el personal operativo, es la primera línea de defensa, antes que los bits y los bytes.

>> 8 tips de administracion de inventario para su e Commerce <<

¿Cómo se manifiesta el riesgo en un banco, una aseguradora o una cooperativa?

El mismo riesgo adopta formas distintas según el modelo de negocio. Imagine un banco regional que lanza una aplicación móvil con apertura de cuentas en línea. La presión comercial por captar clientes empuja a simplificar la verificación de identidad, y el atacante que logra abrir cuentas con documentos falsos las usa para mover fondos de terceros. El costo no solo es el fraude, sino las cuentas bloqueadas, las quejas y la desconfianza de los clientes legítimos que ahora enfrentan más fricción.

En una aseguradora, el punto débil suele estar en los portales que usan agentes y corredores. Cada intermediario tiene acceso a datos de pólizas y reclamaciones, y no todos mantienen el mismo nivel de higiene digital. Si una cuenta de corredor es comprometida, el atacante ve información de salud, patrimonio y beneficiarios. En una cooperativa, con equipos pequeños y muchas funciones concentradas en pocas personas, el riesgo se vuelve organizativo, porque la misma persona aprueba, ejecuta y revisa. La segregación de funciones, tan antigua como la contabilidad, sigue siendo una de las defensas más eficaces.

Hay también un argumento que los directivos plantean con razón. Reforzar controles encarece la operación y puede ralentizar el lanzamiento de servicios. La respuesta no es negar ese costo, sino compararlo con la alternativa. Un control bien diseñado se incorpora al proceso desde el inicio y cuesta una fracción de lo que cuesta remediar un incidente en producción, además de evitar la parálisis de proyectos que sigue a cada crisis.

¿Por qué la seguridad de hoy no alcanza mañana?

La ciberseguridad implica no solo las herramientas tecnológicas necesarias, sino los procesos que dotan a la organización de formas seguras de operar, que puedan auditarse y mejorarse de manera constante. Esa constancia es la clave, porque lo que hoy es seguro, mañana ya no lo es. Así como las instituciones incorporan cada día mejores sistemas, quienes las atacan innovan en sus métodos con el objetivo de encontrar nuevas vulnerabilidades.

Suele citarse que cada 39 segundos se registra un ataque informático. Conviene precisar el origen de la cifra, que proviene de un experimento de 2007 de la Universidad de Maryland en el que se expusieron a internet cuatro computadoras deliberadamente débiles y se registró la frecuencia de los intentos de intrusión. La conclusión relevante no es el número exacto, sino la naturaleza de esos ataques. La mayoría era automática e indiscriminada, ejecutada por programas que prueban listas de usuarios y contraseñas comunes en miles de equipos a la vez (Universidad de Maryland, estudio de Michel Cukier). Dicho de otro modo, ninguna institución es demasiado pequeña para pasar inadvertida, y la defensa básica sigue siendo decisiva.

La digitalización acelerada que trajo la pandemia agravó la situación. Muchas iniciativas de transformación digital se lanzaron sin tiempo para integrar la ciberseguridad desde el diseño, y esa deuda se arrastra hasta hoy. La mejor iniciativa para gestionarla consiste en no tomarla a la ligera y en asumir que cada proyecto digital arrastra un capítulo de seguridad que debe presupuestarse desde el primer día.

Diez acciones concretas para reducir la exposición

La experiencia de las instituciones que han avanzado en este tema sugiere un orden de prioridades. La primera decisión es de gobierno. Todo proyecto de digitalización debe contar con los tiempos y recursos necesarios para evaluar su ciberseguridad, y el equipo responsable debe participar activamente en la definición de los procesos de digitalización, trabajo remoto, gestión de accesos y manejo de datos. Si la seguridad llega al final, siempre llega tarde.

La segunda es validar el esquema de seguridad de manera sistemática y periódica, de tal forma que las defensas mejoren siempre. Eso incluye revisar, fortalecer y mejorar las políticas de autenticación y de gestión de permisos, y mantener un inventario claro de activos de software y de hardware para aplicar a tiempo los parches que publican los fabricantes. Merecen atención especial las piezas de software obsoletas o que el fabricante ya no actualiza, porque son las que menos se defienden. Para quienes operan plataformas de comercio electrónico, una buena referencia es la Guía de Migración y actualización de versión de Magento 2.4, que muestra cómo planear una actualización sin interrumpir la operación.

La tercera decisión se refiere a con quién se construye. Conviene apoyar las aplicaciones de digitalización en plataformas y servicios reconocidos que brinden respaldo real, como Adobe, AWS, Azure o Cloudflare, sin olvidar que la responsabilidad por la configuración sigue siendo de quien los utiliza. También conviene implementar una matriz de cumplimiento de regulaciones que permita una aplicación gradual pero sostenida, porque la tarea puede resultar agobiante y muy demandante en recursos si se intenta de una sola vez.

Finalmente, los procesos son la clave para tener una visión de trescientos sesenta grados de dónde está la institución y hacia dónde debe ir en materia de seguridad. Deben actualizarse y ponerse a prueba constantemente, y quienes lo hacen suelen sorprenderse por las vulnerabilidades que descubren. Un simulacro de incidente, con la presidencia en la sala, revela en una tarde lo que un informe de auditoría tarda meses en mostrar.

Qué significa para la alta dirección

El marco de ciberseguridad del Instituto Nacional de Estándares y Tecnología de Estados Unidos incorporó en su versión 2.0 una función nueva llamada Gobernar, que se suma a identificar, proteger, detectar, responder y recuperar. Su mensaje es que la ciberseguridad es un riesgo empresarial de primer orden que los líderes deben ponderar junto con los riesgos financieros y reputacionales (NIST, Cybersecurity Framework 2.0). Es una forma elegante de decir que esta conversación pertenece al comité de dirección y al consejo, no solo al responsable de tecnología.

Desde la óptica de la retención y la lealtad, la seguridad es parte de la experiencia. Un cliente que sufre un fraude o una filtración rara vez distingue entre un problema técnico y un incumplimiento de la promesa de la marca, y su respuesta suele ser silenciosa, mover su dinero a otra institución. Desde la eficiencia, cada incidente consume horas de los mejores equipos, detiene proyectos y obliga a invertir en remediación en lugar de crecimiento. Y desde el servicio, los controles de identidad y autenticación mal diseñados terminan por fatigar a los clientes honestos, de modo que la seguridad y la experiencia deben diseñarse juntas.

La decisión que corresponde a la dirección es de prioridad y de patrocinio. Debe exigir que el riesgo cibernético se presente con el mismo rigor que el riesgo de crédito, asignar un responsable con autoridad real y aceptar que parte del presupuesto de innovación se destinará a proteger lo que ya existe. El FMI recomienda precisamente fortalecer la gobernanza, con conocimiento de ciberseguridad a nivel del consejo, y mejorar la higiene básica, como la protección contra malware y la autenticación multifactor.

Cómo empezar el lunes por la mañana

Un consultor con experiencia le sugeriría empezar por tres conversaciones, no por tres compras. La primera, con quien administra los accesos, para preguntar cuántas credenciales siguen activas de personas que ya no están en el cargo ni en la institución. La respuesta suele ser incómoda y es el mejor punto de partida. La segunda, con el responsable de cada canal digital, para obtener un inventario honesto de qué sistemas existen, qué versión ejecutan y cuándo se probaron por última vez. La tercera, con el área de recursos humanos y de capacitación, para saber qué sabe realmente el personal sobre correos fraudulentos y manejo de información sensible.

Con esa fotografía, convoque a la dirección a un ejercicio de dos horas que simule un incidente. Pregunte quién decide, quién comunica a los clientes, en cuánto tiempo y con qué información. Los vacíos que aparezcan se convierten en la hoja de ruta de los próximos noventa días. Si necesita ordenar esa hoja de ruta, el Kit de Transformación Digital de ICX ofrece un marco para priorizar iniciativas, incluido el capítulo de seguridad que muchas veces queda para después.

Cómo le ayuda ICX

ICX Consulting trabaja con instituciones financieras y empresas de otras industrias para que la transformación digital avance con la seguridad incorporada desde el diseño. Desde nuestra práctica de ciberseguridad evaluamos procesos, accesos y gobierno del riesgo, y desde la consultoría de transformación digital alineamos esas decisiones con la estrategia comercial y la experiencia del cliente, apoyándonos en metodologías como ICX Compass. Para el sector financiero también ofrecemos una mirada específica sobre los servicios financieros. Si desea profundizar, le recomendamos la lectura sobre ciberseguridad estratégica para un crecimiento imparable y el análisis del modelo de negocio y operativo en la transformación digital bancaria.

Preguntas frecuentes

¿Cuáles son los principales riesgos de ciberseguridad en la banca?

Los más frecuentes combinan fallas técnicas y humanas. Entre ellos están los sistemas sin parches, los accesos que no se dan de baja, la autenticación débil, el trabajo remoto sin controles y el personal que no reconoce el fraude. Por eso las pruebas periódicas y la capacitación pesan tanto como las herramientas.

¿Quién es responsable de la ciberseguridad en una institución financiera?

La responsabilidad última es de la alta dirección y del consejo, mientras que la ejecución recae en un responsable de seguridad con autoridad e independencia suficientes. Las áreas de negocio, tecnología y personas comparten la tarea porque cada una administra datos, accesos o procesos que pueden convertirse en vulnerabilidad.

¿Cada cuánto debe evaluarse el esquema de seguridad?

Como mínimo una vez al año de forma integral, y cada vez que se lance un canal, se integre un proveedor o cambie una regulación. Entre evaluaciones, conviene mantener pruebas automáticas de vulnerabilidades y revisiones trimestrales de accesos, porque una configuración correcta en enero puede dejar de serlo en abril.

¿Cómo se equilibra la seguridad con una buena experiencia del cliente?

Aplicando controles proporcionales al riesgo de cada operación. Una consulta de saldo no exige lo mismo que una transferencia grande. Si la autenticación se diseña junto con el recorrido del cliente, la protección se percibe como cuidado y no como fricción, lo que además reduce abandonos y llamadas al centro de servicio.

Si su institución lanza servicios digitales más rápido de lo que revisa sus accesos, vale la pena detenerse antes de que lo haga un incidente. Solicite asesoría experta de ICX para evaluar su nivel de exposición y ordenar las prioridades de seguridad junto con su estrategia digital.