Como vicepresidente sénior de seguridad de la información en Wells Fargo, Tim Morris disfrutaba de las simulaciones de ciberataques de 48 horas que el banco organizaba en auditorios locales para sus numerosos equipos de seguridad.
«Éramos unas 100 personas, procedentes de todas las divisiones de seguridad», afirma Morris al referirse a las maratonianas sesiones en las que supervisaba simulacros de ataques ofensivos del «equipo rojo», que iban desde sencillas campañas de phishing por correo electrónico del tipo « » hasta sofisticados ataques de ransomware. «Nos hemos enfrentado a todo tipo de incidentes de seguridad y ataques que se puedan imaginar, desde ataques de denegación de servicio distribuidos hasta intentos de sustracción de datos a gran escala». Se ríe: «Al cabo de dos días, la gente estaría bastante cansada».
Durante décadas, e incluso siglos, los bancos y las aseguradoras han sido los guardianes de la información financiera confidencial de los clientes. En la actualidad, en la era de la tecnología financiera (también conocida como «fintech»), esos datos están digitalizados casi en su totalidad, desde los ingresos salariales y los pagos hipotecarios hasta las plataformas de negociación móvil y las tenencias de bitcoins. Además, lo que está en juego a nivel empresarial es mucho mayor.
«En el caso de las empresas fintech», afirma Morris, «los datos son el producto». Es el medio de vida de sus clientes. «Si se producen robos de depósitos o carteras, ello supone un enorme perjuicio para la reputación».
Gracias a la tecnología y al teletrabajo impulsado por la pandemia, las redes fintech forman parte ahora de prácticamente todas las transacciones de los consumidores, del comercio electrónico y de los inversores. Tanto si es usted partidario como si es escéptico respecto a la tecnología financiera, está claro que va a crecer, y mucho. El volumen mundial del comercio electrónico del sector ascenderá a 3.61 billones de dólares este año, frente a los 348.7 000 millones de dólares registrados en 2010, y se estima que alcanzará los 6.07 billones de dólares en tan solo cinco años, según el informe de Ascential titulado « » Money20/20 .
«: en el sector fintech, los datos son el producto». Si se producen robos de carteras, ello supone un enorme perjuicio para la reputación.»Tim Morris, antiguo vicepresidente sénior de seguridad de la información de Wells Fargo
Las amenazas a la ciberseguridad también irán en aumento. De manera sistemática, de entre todos los sectores, el bancario ha sido el que más ha sufrido los costes derivados de la ciberdelincuencia. In 2019, it came in a dismal No. 1 in Accenture’s Ninth Annual Cost of Cybercrime study. Desde entonces, la situación no ha hecho más que empeorar, ya que el coste global de todos los delitos cibernéticos se disparó hasta alcanzar casi 1 billón de dólares en 2020, debido a la pandemia y al teletrabajo. El ciberataque del año pasado contra la aplicación de banca digital «Dave», en el que unos piratas informáticos sustrajeron los datos personales de unos 7.5 millones de usuarios de dave.com, pone de manifiesto las vulnerabilidades a las que se enfrenta el sector fintech.
Para muchos críticos, los algoritmos que sustentan las plataformas de pagos en línea, seguros y préstamos constituyen un aspecto clave para su estabilidad y fiabilidad. En realidad, eso no es así, afirma Morris. Lo que resulta verdaderamente fundamental es la forma en que estas empresas gestionan los datos y la solidez de los sistemas que los protegen.
Las joyas de la corona
Moshe Katri es director general de análisis bursátil en Wedbush Securities, una empresa de gestión patrimonial e inversiones que cuenta con unos 6,000 clientes y gestiona 4.2 000 millones de dólares. Katri afirma que el hecho de que las empresas fintech sean innovadoras no significa que asuman mayores riesgos.
De hecho, las empresas orientadas al consumidor, como las fintech, que operan en sectores con mayor volatilidad —ya sean plataformas de intercambio de criptomonedas o de negociación de acciones—, suelen incorporar medidas de seguridad adicionales. «Lo último que desean es que su confianza se vea afectada por una filtración», afirma Katri.
Como era de esperar, Morris, que actualmente trabaja como estratega tecnológico en Tanium , en Carolina del Norte, afirma que la visibilidad en toda la red es fundamental para la seguridad de los datos. Para lograrlo, las empresas de tecnología financiera deben saber cuántos puntos finales hay en su red, cómo están configurados dichos puntos finales, qué software ejecutan y si dicho software cuenta con los parches necesarios y está actualizado. Solo así podrán definir su superficie de ataque y proteger sus activos más valiosos. Dando un paso atrás, afirma que las empresas de tecnología financiera también deberían ser conscientes de cómo se perciben ellas mismas desde el punto de vista de un atacante.
Asúmala
Los ciberdelincuentes atacan al sector fintech por la misma razón por la que atacan a otros: para obtener ganancias rápidas (a menudo mediante ransomware). Esto proporciona a las empresas de seguridad una base sobre la que trabajar y anticiparse a los acontecimientos. Además, según Morris, aunque los ataques suelen parecer cada vez más sofisticados, por lo general son oportunistas y están bien planificados. El ransomware, afirma, se está convirtiendo en un «producto de consumo».
La aplicación de buenas prácticas de ciberseguridad es fundamental para dificultar el acceso de los delincuentes, lo que suele bastar para que estos busquen una víctima más vulnerable. Entre las principales: localizar y catalogar todos los terminales y dispositivos conectados a una red; gestionar el creciente número de aplicaciones y otro software que ha proliferado durante la era del teletrabajo; automatizar la aplicación de parches del software autorizado (al tiempo que se eliminan las aplicaciones no autorizadas); y crear un plan de respuesta rápida ante las amenazas de seguridad.
Morris afirma que las empresas de tecnología financiera deben integrar la seguridad desde el principio en su tecnología operativa, una práctica conocida como «shift left» en el ámbito de las pruebas de software. Esto da prioridad a la realización de pruebas en una fase más temprana del ciclo de desarrollo, en lugar de incorporarlas a posteriori. Además, fomenta —si no exige— una mayor colaboración entre los equipos de seguridad y los desarrolladores.
«A menudo utilizo una casa como analogía», afirma Morris. «Se definen los límites y los cierres a medida que se configuran las ventanas y las puertas».
Uno de los retos a los que se enfrenta el sector fintech, compuesto en su mayoría por pequeñas empresas, es la tentación que tienen estas de externalizar toda la responsabilidad en materia de TI y seguridad. Las empresas fintech no pueden limitarse a recurrir a un proveedor para cada necesidad. (Sin duda, los recientes ataques a la cadena de suministro les han enseñado eso.) No pueden configurarlo y olvidarse de ello. Deben asumir la responsabilidad de su estrategia de seguridad. «Al externalizarlo, se genera un riesgo relacionado con terceros para la empresa, además del riesgo relacionado con los datos», afirma Morris.
«. Las empresas deberían tener una idea clara de cómo se perciben ellas mismas desde el punto de vista de un atacante.»
Además, entra en conflicto con las autoridades reguladoras. El sistema de información de una empresa de tecnología financiera no solo debe cumplir con sus propios requisitos empresariales, sino también con los de los organismos reguladores financieros y de seguridad. Asimismo, deben cumplir los protocolos de los socios o patrocinadores del sector de los servicios financieros. Y no pueden ser productos ya fabricados.
«Se necesitan normas realmente buenas, no normas prefabricadas o basadas en plantillas», afirma Chuck Pine, responsable del área de cumplimiento normativo de la firma de contabilidad y asesoría BDO, cuyo equipo se centra en estrategias contra el fraude y el blanqueo de capitales. «Deben diseñarse pensando en sus clientes».
Amenazas en constante evolución
En un entorno en el que la transformación digital sigue acelerándose, las amenazas digitales también están evolucionando rápidamente. Esto convierte a las empresas fintech en uno de los principales guardianes de los valiosos datos de los clientes y pone de relieve la importancia de que el sector mantenga unas prácticas rigurosas de ciberseguridad.
Pine afirma que las empresas que se inician en el sector de la tecnología financiera y se adentran en el ámbito del cumplimiento normativo a menudo no comprenden que su perfil de riesgo es intrínsecamente elevado debido a la naturaleza de los negocios en los que operan.
[Lea también: Las cuantiosas multas regulatorias en Europa vuelven con fuerza]
El propio sector fintech también es un panorama en constante evolución. Las criptomonedas, que parecen acaparar los titulares, son una innovación que ofrece a los inversores un producto —las monedas digitales— y una nueva tecnología, la cadena de bloques, que, en teoría, tiene el potencial de transformar por completo la estructura del sector de los servicios financieros. Los defensores de la plataforma afirman que sus transacciones cifradas elevan la seguridad de los servicios financieros a un nuevo nivel, mientras que los detractores sostienen que es susceptible de dar lugar a abusos debido al anonimato de las liquidaciones.
Katri, de Wedbush, afirma que gran parte de los esfuerzos de las empresas del sector de las criptomonedas se están centrando en anticiparse a la posible introducción de normativas o, como mínimo, a una mayor supervisión.
«Las criptomonedas acabarán regulándose de una forma u otra», afirma Katri. «Será un acontecimiento positivo para el sector y le aportará cierta legitimidad».
Vuelta a lo básico
Los datos no son solo un activo muy valioso para las empresas de tecnología financiera. Puede impulsar la innovación tecnológica y abrir nuevos mercados. Si se hace bien, las empresas fintech tienen muchas posibilidades de prosperar. Sin embargo, si se producen tropiezos, fallos del sistema o infracciones, los organismos reguladores estadounidenses se verán sometidos a presiones para que tomen medidas drásticas e impongan restricciones que podrían poner en peligro el crecimiento que ha llevado al sector hasta su situación actual.
Para Morris, gran parte de ello se reduce a las buenas prácticas tradicionales de ciberseguridad. Cuando se lleva a cabo una evaluación de amenazas y se detecta una posible vía de acceso para que un atacante se introduzca en el sistema, «se siente un nudo en el estómago», afirma. «Pero también se siente bien porque ha descubierto algo antes que nadie».