Los delitos cibernéticos son cada vez más sofisticados en todos los sectores, pero los riesgos en el ámbito de los servicios financieros son excepcionales: este sector figura sistemáticamente entre los objetivos más frecuentes de los ciberataques, y las organizaciones se enfrentan a estratagemas en constante evolución, coordinadas por sofisticados cárteles internacionales de la ciberdelincuencia con nuevas prioridades, tácticas y objetivos finales.
Ese es el tema de «Modern Bank Heists», una mesa redonda que tendrá lugar en la RSA Conference 2023 de este año, moderada por Tom Kellermann, vicepresidente sénior de estrategia de ciberseguridad de Contrast Security.
Los atracos actuales, aunque menos mortíferos que aquellos al estilo de Bonnie y Clyde del pasado, sin duda tienen un gran impacto, señala Kellermann. Además, suponen importantes cambios para el sector de los servicios financieros en forma de nuevas normativas sobre ciberseguridad: el Departamento de Servicios Financieros de Nueva York (NY DFS), por ejemplo, ha propuesto la obligación de notificar los pagos por ransomware en un plazo de 24 horas.
Miembro del consejo asesor de investigaciones cibernéticas del Servicio Secreto de los Estados Unidos y antiguo subdirector de seguridad de la información (CISO) del Departamento del Tesoro del Banco Mundial, Kellermann conversará con Ron Green, director de seguridad (CSO) y presidente del Consejo Asesor de Investigaciones sobre Delitos Cibernéticos de Mastercard, y con Matt O’Neill, agente especial adjunto a cargo de la unidad cibernética del Servicio Secreto de los Estados Unidos, sobre las últimas tendencias en ciberseguridad y fraude electrónico que afectan al sector de los servicios financieros, así como sobre las medidas de respuesta a las que las organizaciones están dando prioridad. (Kellerman’s panel will take place Monday, April 24, at 11:30 a.m. ET / 8:30 a.m. PT, at RSAC 2023, which runs April 24-27 at the Moscone Center in San Francisco.)
Kellermann ofreció a Focal Point un adelanto de estos debates y de las tendencias que están marcando actualmente la ciberseguridad en el sector de los servicios financieros.
Pasemos directamente a la mesa redonda. ¿De dónde surgió la idea?
Hace varios años, cuando trabajaba para el Banco Mundial, fui coautor del primer libro jamás publicado sobre los retos de la seguridad de la información en el sector financiero, titulado *Electronic Safety and Soundness: Securing Finance in a New Age*. Hace seis años, volví a analizar ese modelo y comencé a redactar el «Modern Bank Heists Report», una serie de informes anuales que evalúan las tendencias más destacadas en materia de ciberataques, fraude electrónico y contramedidas defensivas.
Esos tres pilares sirven de base para nuestra mesa redonda. Pero no se trata únicamente de un debate sobre este informe: las perspectivas de los ponentes sobre estos temas son fundamentales y de vital importancia.
Los ciberataques contra las entidades financieras están evolucionando. ¿A qué tendencias debemos prestar atención hoy en día?
Todo el mundo no deja de hablar del «spear phishing», pero esa no es la forma en que los ciberdelincuentes se cuelan en las entidades financieras. Estos cárteles de ciberdelincuencia, sumamente sofisticados, están accediendo al sistema mediante ataques a las API [interfaces de programación de aplicaciones, los mecanismos que permiten la comunicación entre dos componentes de software, muy utilizados en el sector bancario para el procesamiento de pagos y la gestión de cuentas, por ejemplo].
«No solo quieren atracar el banco, sino que lo convierten en una situación con rehenes en la que aprovechan la transformación digital del banco para atacar a su público objetivo».Tom Kellermann, vicepresidente sénior de estrategia de ciberseguridad de Contrast Security
Y lo que es más importante, una vez que consiguen entrar, no se limitan a atracar el banco, sino que lo convierten en una situación de rehenes en la que aprovechan la transformación digital del banco para atacar a su público objetivo. De repente, se ve atacado por una aplicación móvil, la página web del banco le ataca a través de un «watering hole», y el correo electrónico que ha recibido del servidor de correo de la entidad financiera contiene malware o un enlace de redireccionamiento. Esto ocurre con bastante frecuencia porque son conscientes de la confianza que usted deposita en su entidad financiera y quieren utilizarla en su contra.
Además, están reaccionando de forma visceral ante los defensores. Estamos observando numerosos casos de respuesta a incidentes en los que los atacantes contraatacan para mantener su presencia en el sistema. La situación se agrava hasta el punto de que se recurre a ataques destructivos contra las instituciones a medida que estas responden. Se están distribuyendo cada vez más programas de borrado de datos y ransomware .
También ha mencionado el fraude electrónico. ¿Qué novedades hay aquí?
La tendencia más relevante en materia de fraude electrónico a la que debemos prestar especial atención es la forma en que los cárteles de la ciberdelincuencia están tratando de hacerse con información no pública del mercado. Están intentando llevar a cabo operaciones de «front-running» digital o uso de información privilegiada en el ámbito digital. El conjunto de estrategias que utilizan para obtener beneficios económicos de su permanencia en el sistema mediante métodos no tradicionales es un tema que vamos a analizar en profundidad con los ponentes.
¿En qué medida están protegidas actualmente las entidades financieras frente a estas amenazas?
Las entidades financieras están logrando avances, pero, al mismo tiempo, se enfrentan a los adversarios más sofisticados y mejor organizados del mundo.
«Existe una especie de “pax mafiosa” entre los cárteles de élite del cibercrimen y cuatro Estados rebeldes, así como sus servicios de inteligencia; esa es una de las razones por las que hemos asistido a tal proliferación de vulnerabilidades de día cero».Kellermann
Además de los cárteles del cibercrimen, hay que tener en cuenta que existe una «pax mafiosa» entre los cárteles de élite del cibercrimen y cuatro Estados rebeldes, así como sus servicios de inteligencia; esa es una de las razones por las que hemos asistido a tal proliferación de vulnerabilidades de día cero. Los utilizan, pero también se los pasan a sus cárteles de ciberdelincuencia.
Teniendo en cuenta la forma en que actúan actualmente los cárteles del cibercrimen, ¿en qué deberían centrarse principalmente las entidades financieras durante el próximo año?
Deben comprender que el modus operandi y el objetivo final del cártel del cibercrimen han cambiado: ya no se trata de un atraco a un banco, sino de una situación de rehenes. Se trata de apropiarse de la transformación digital y utilizarla para atacar a su electorado. Por lo tanto, deben defenderse de ello.
Además, debido a la escalada de las medidas punitivas por parte de los adversarios y a este vínculo entre los servicios de inteligencia y los cárteles del cibercrimen, las entidades financieras deben replantearse seriamente su estructura de gobernanza. Ya es hora de que su director de seguridad de la información (CISO) rinda cuentas ante su director general, y de que cuente con un especialista en ciberseguridad en su consejo de administración.
