Como vicepresidente sénior de seguridad de la información en Wells Fargo, Tim Morris deleitó las simulaciones de ciberataques de 48 horas que el banco realizó en auditorios locales para sus enormes equipos de seguridad.
“Tendríamos alrededor de 100 personas, de todas las divisiones de seguridad”, dice Morris de las sesiones de maratón donde supervisó agresiones ofensivas simuladas de equipo rojo, que van desde campañas simples de phishing por correo electrónico hasta ataques sofisticados de ransomware. “Hicimos todo tipo de incidentes y ataques de seguridad que pueda imaginar, desde la denegación distribuida del servicio hasta intentos de exfiltración de datos a gran escala”. Se ríe: “Después de dos días, las personas estarían bastante cansadas”.
Durante décadas, e incluso siglos, los bancos y las aseguradoras han sido los responsables de la información financiera confidencial de los clientes. Ahora, en la era de la tecnología financiera (también conocida como “fintech”), esos datos están casi exclusivamente digitalizados, desde depósitos de cheques de pago y pagos de hipotecas hasta plataformas de negociación móviles y tenencias de Bitcoin. Las apuestas comerciales también son mucho más altas.
“Con las fintechs”, dice Morris, “los datos son el producto. Es el sustento de sus clientes. Si se roban depósitos o carteras, eso es un gran daño a la reputación”.
Gracias al trabajo remoto inducido por la tecnología y la pandemia, las redes de tecnología financiera ahora se integran en casi todas las transacciones de consumidores, comercio electrónico e inversionistas. Ya sea que sea fanático o escéptico de la tecnología financiera, está listo para ser cada vez más grande. El volumen global de comercio electrónico del sector será de 3.61 billones de USD este año, frente a los 348.7 000 millones de USD en 2010, y se estima que alcanzará los 6.07 billones de USD en solo cinco años, según el informe Money20/20 de Ascential.
“Con las fintechs, los datos son el producto. Si las carteras son robadas, eso es un gran daño a la reputación”.Tim Morris, exvicepresidente sénior de seguridad de la información, Wells Fargo
La amenaza a la ciberseguridad también aumentará. Constantemente, entre todas las industrias, la banca ha soportado la bruma de los costos de los delitos cibernéticos. En 2019, se produjo en un desalentador estudio Noveno costo anual de delitos cibernéticos de Accenture. Las cosas solo han empeorado desde entonces, ya que el costo global de todos los delitos cibernéticos se disparó a casi 1 billón de dólares en 2020, gracias a la pandemia y el trabajo remoto. El ataque cibernético del año pasado a la aplicación de banca digital Dave, en el que los hackers robaron los datos personales de alrededor de 7.5 millones de usuarios de dave.com, muestra las vulnerabilidades que enfrenta el sector de la tecnología financiera.
Para muchos críticos, los algoritmos que admiten plataformas de pago, seguros y préstamos en línea son un problema clave en su estabilidad y confiabilidad. En realidad, ese no es el caso, dice Morris. Lo que es realmente crítico es cómo estas empresas gestionan los datos y la solidez de los sistemas que los protegen.
Joyas de la corona
Moshe Katri es director ejecutivo de investigación de capital en Wedbush Securities, una firma de inversión y gestión de patrimonio con unos 6,000 clientes y 4.2 000 millones de USD bajo gestión. Katri dice que solo porque las fintechs son innovadoras, no significa que estén asumiendo mayores riesgos.
De hecho, las empresas orientadas al consumidor, como las fintechs, que operan en campos con mayor volatilidad, ya sean intercambios criptográficos o plataformas de comercio de acciones, tienden a agregar capas de seguridad. “Lo último que quieren es tener confianza sacudida con una filtración”, dice Katri.
No es sorprendente que Morris, que ahora trabaja como estratega de tecnología en Tanium en Carolina del Norte, diga que la visibilidad en toda la red es clave para la seguridad de los datos. Para lograrlo, los actores de tecnología financiera deben saber cuántos puntos finales hay en su red, cómo están configurados esos puntos finales , qué software están ejecutando y si ese software está parcheado y actualizado. Solo entonces pueden definir su superficie de ataque y asegurar sus joyas de corona. Retroceder un poco, dice, las empresas de tecnología financiera también deben comprender cómo se ven ellos mismos ante un atacante.
Poseerlo
Los delincuentes cibernéticos apuntan al sector tecnofinanciero por el mismo motivo por el que apuntan a otros, para un día de pago rápido (a menudo a través del ransomware). Eso les da a las empresas de seguridad algo con lo que trabajar y anticipar. Además, según Morris, si bien los ataques a menudo parecen cada vez más sofisticados, generalmente son oportunistas y están bien planificados. El ransomware, dice, se está “modificando”.
Implementar buenas prácticas de higiene cibernética es clave para hacer que sea más difícil para los delincuentes entrar, lo que a menudo es suficiente para enviarlos a buscar una víctima más vulnerable. Entre los mejores: encontrar e inventariar todos los puntos finales y dispositivos conectados a una red; administrar la creciente cantidad de aplicaciones y otros software que han proliferado durante la era del trabajo remoto; automatizar el parcheo de software sancionado (mientras se eliminan las aplicaciones fraudulentas) y crear un plan de respuesta rápida a las amenazas de seguridad.
Morris dice que las empresas tecnofinancieras deben incorporar la seguridad temprano en su tecnología operativa, una práctica conocida como pruebas de software de “cambio hacia la izquierda”. Esto prioriza las pruebas anteriores en el ciclo de desarrollo, en lugar de reforzarlas después del hecho. También alienta, si no requiere, más colaboración entre los equipos de seguridad y los desarrolladores.
“A menudo uso una casa como analogía”, dice Morris. “Descifra los límites y las cerraduras a medida que configura las ventanas y las puertas”.
Un desafío para el sector tecnofinanciero, que se completa tal como está con muchas pequeñas empresas, es la tentación de que las empresas externalicen toda la responsabilidad por su TI y seguridad. Las tecnologías financieras no pueden simplemente confiar en un proveedor para cada necesidad. (Los ataques recientes a la cadena de suministro seguramente les han enseñado eso). No pueden configurarlo y olvidarlo. Necesitan ser propietarios de su estrategia de seguridad. Ponerlo en condiciones de mercado crea un riesgo de terceros para la empresa, además del riesgo de datos, dice Morris.
“Las empresas deben comprender cómo se ven ellos mismos ante un atacante”.
También se ejecuta una falta de reguladores. El sistema de información de una fintech no solo debe cumplir con sus propios requisitos comerciales, sino también con los de los reguladores financieros y de seguridad. También deben cumplir con los protocolos de los socios o patrocinadores de servicios financieros. Y no pueden estar listos para usar.
“Necesita reglas realmente buenas, no reglas enlatadas o plantillas’’, dice Chuck Pine, quien dirige la práctica de cumplimiento en la firma de contaduría y asesoramiento BDO, y cuyo equipo se enfoca en estrategias antifraude y antilavado de dinero. “Necesitan ser diseñados para sus clientes”.
Amenazas en evolución
En un entorno donde la transformación digital continúa acelerándose, las amenazas digitales también evolucionan rápidamente. Eso hace que las fintechs sean uno de los tutores más importantes de los preciados datos de los clientes y subraya la importancia del sector de mantener prácticas de higiene cibernética difíciles.
Pine dice que las empresas que comienzan en el espacio de la tecnología financiera y se embarcan en el cumplimiento a menudo no comprenden que su perfil de riesgo es inherentemente alto debido a la naturaleza de las empresas en las que están operando.
[Leer también: Las elevadas multas regulatorias de Europa están rugiendo]
La tecnología financiera en sí también es un panorama cambiante. Crypto, que parece robar los titulares, es una innovación que ofrece a los inversionistas un producto, monedas digitales y una nueva tecnología, la cadena de bloques, que en teoría tiene el potencial de cambiar toda la plomería de la industria de servicios financieros. Los defensores de la plataforma dicen que sus operaciones cifradas llevan la seguridad de los servicios financieros a un nuevo nivel, mientras que los críticos dicen que está abierta al abuso debido al anonimato de la resolución.
Katri en Wedbush dice que mucha energía en las empresas criptográficas está anticipando la posible introducción de reglamentaciones, o al menos más supervisión.
“La criptografía se regulará de una manera u otra”, dice Katri. “Será un evento positivo para la industria y proporcionará algo de legitimidad”.
Volver a lo básico
Los datos no son solo un activo preciado para las empresas de tecnología financiera. Puede impulsar la innovación tecnológica y abrir nuevos mercados. Hágalo bien y las fintechs tienen una gran oportunidad de prosperar. Pero si hay tropiezos, fallas del sistema o filtraciones, habrá presión sobre los vigilantes estadounidenses para que tomen medidas enérgicas e impongan parámetros que puedan amenazar el crecimiento que ha llevado al sector a donde está hoy.
Para Morris, gran parte se reduce a buenas prácticas de ciberseguridad antiguas. Cuando está llevando a cabo una evaluación de amenazas y ve una posible ruta para que un atacante ingrese en el sistema, “siente un hoyo en su estómago”, dice. “Pero también se siente bien porque ha encontrado algo antes que nadie”.
