La ciberdelincuencia, una amenaza para la banca de América Latina
'Phishing', 'malware', 'vishing', 'ransonware' son solo la punta del iceberg de los problemas de (ciber)seguridad que afrontan las entidades financieras de la región. En el marco del cl@b 2017, reguladores, ejecutivos de banca y expertos en tecnología ofrecen claves para combatir el problema.
Las cifras más conservadores sitúan en casi mil millones de dólares anuales las pérdidas del sector financiero latinoamericano por deficiencias relacionadas con la ciberseguridad. Sin embargo, en muchos países de la región, el concepto de ciberdelincuencia y su combate siguen estando ausentes de las normativas nacionales, lo que dificulta un marco legal para su erradicación.
“Estos delincuentes han ampliado el negocio a América Latina porque ven que las infraestructuras son deficientes o inexistentes y las entidades normalmente actúan de manera reactiva, con lo cual los esfuerzos preventivos son escasos. Además, existe una gran capacidad de inventiva y creatividad (en el sentido negativo) que provoca mucho daño al cliente de banca”, explica un experto de una firma de investigación.
En esencia, los expertos definen la ciberseguridad como una metodología que se rompe por el eslabón más débil, que en la gran mayoría de los casos suele ser un humano, el usuario final, sea este el cliente (de un banco) o un empleado de una entidad financiera. Las amenazas provienen en su gran mayoría de agentes externos, pero se aprovechan de la laxitud, por ejemplo, de un cliente descuidado o un empleado de banca que -sin querer- haya compartido sus claves para acceder a los sistemas informáticos. “En el caso de las entidades financieras, es importante tener en cuenta que cada empleado es un punto de contacto para atacar a la organización, por lo cual la preparación y formación de cada uno de ellos es crucial para frenar la ciberdelincuencia”, señala un experto en IT.
Expertos en uno de los paneles sobre ciberseguridad de cl@b 2017, celebrado en Miami.
En el caso de América Latina, las prácticas delictivas se dividen en aquellas dirigidas contra las entidades financieras, como es el caso de ataques a las páginas de banca online para intentar modificar los DNS (y redireccionar a páginas con un look & feel similar al banco real) y el robo de datos sobre tarjetas y cuentas, y aquellas destinadas a perjudicar directamente a un cliente específico, como es el phishing o clonación de tarjetas. A esto se suma la aparición de un mercado negro de venta de números de cuentas, tarjetas y contraseñas que tiene su origen principalmente en Rusia, pero que busca “alianzas” con ciberdelincuentes en los diferentes mercados latinoamericanos.
Según los ponentes, los delincuentes del ciberespacio han ido evolucionando su “negocio”. Si en un principio sus ataques se dirigían principalmente a los PC (en los inicios de la banca online), no han tardado en apuntar su artillería contra el smartphone, el dispositivo de comunicación por excelencia en esta nueva era. “Los delincuentes siempre irán donde está la información y hoy en día, pocas cosas guardan más información que un móvil”, afirmaba uno de los expertos de una agencia de inteligencia.
Participantes del cl@b 2017 durante una de las ponencias sobre ciberseguridad en la banca latinoamericana.
Casi irónicamente ha sido la tecnología la que ha abierto la puerta para que “prácticamente cualquiera” se convierta en ciberdelincuente, advertían los panelistas. Y el fenómeno no ha hecho más que empezar. Una de las nuevas preocupaciones gira en torno al llamado ‘Internet de las Cosas’, un universo de aparatos interconectados que compartirán información -mucha información- y que promete simplificar (o complicar) la vida de los usuarios de una manera nunca vista.
Cómo combatir la ciberdelincuencia
Según los ponentes, la banca ha aumentado -aunque tímidamente- la inversión promedio en ciberseguridad, que ha pasado del 7% al 10% del presupuesto de IT, con un énfasis importante en países como México y Brasil. Pero queda mucho por hacer para convertir esa lucha en una prioridad, aseguran.
¿Es diferente el ciberataque en América Latina comparado con el resto del mundo? Aparentemente sí. Los expertos apuntan a su carácter más rudimentario pero no por eso menos eficiente. “En los ataques que vemos en la región a veces basta con recodificar o manipular un virus de Rusia y China para hacerlo invisible a los antivirus más conocidos", afirma la responsable de un importante banco de EE.UU.
El panel alerta de que las autoridades de la región han actuado, en muchos casos, con lentitud para desarrollar políticas formales para combatir la ciberdelincuencia, aunque ya se observan iniciativas importantes en algunas plazas financieras como Colombia, México o Chile, que acaba de presentar uno de los planes más completos al respecto. “La colaboración entre gobiernos y privados (los bancos) es crucial para combatir el problema. Tiene que haber más intercambio de información entre entidades y también con los reguladores”, explican.
Otra de las medidas recomendadas por los reguladores es la formación e información tanto a empleados de banca como a los clientes, un capítulo que presenta deficiencias incluso en entidades importantes de la región, en algunos casos por falta de recursos y en otros “porque consideran que no es una amenaza inminente”.