Riesgos cibernéticos en el sistema financiero

Si hay algún sector donde los riesgos cibernéticos son más temibles, es el sector financiero. Simplemente, utilizando las redes sociales, que funcionan en tiempo real divulgando información masiva, es posible manipular los precios para obtener ganancias. Sin ir más lejos, la semana pasada, nada menos que la Comisión de Bolsa y Valores de Estados Unidos (SEC, por sus siglas en inglés) sufrió un ataque cuando un hacker accedió a su cuenta de X y publicó información falsa sobre un anuncio sobre la aprobación de los fondos cotizados de bitcoin al contado. En total, según Funcas, entre 2013 y 2022 la industria financiera mundial ha sido objeto de cerca de 12.000 ciberataques.

Europa está muy activa en la lucha contra este nuevo riesgo operacional del sistema financiero. El año pasado se aprobó el Reglamento DORA (Digital Operational Resilience Act), con el objetivo de complementar los planes informáticos con lo que ya cuentan los bancos y otras entidades financieras para garantizar que la industria funcione en todo momento. El BCE, por su parte, ya ha anunciado que realizará en 2024 “pruebas de ciberestrés” a las bancos europeos.

Además, en Europa, se constituyó en 2020 el Euro Cyber Resilience Board, un foro cuyo objetivo es propiciar debates estratégicos sobre los riesgos cibernéticos para que sus miembros –infraestructuras financieras paneuropeas, sus proveedores de servicios críticos, bancos centrales y otras autoridades europeas claves– combinen sus esfuerzos para su propio beneficio y el del ecosistema financiero en general.

Las amenazas son muchas. Dos de las principales, como señaló Piero Cipollone, miembro del Comité Ejecutivo del BCE, en el discurso que pronunció en la reunión que han tenido esta semana dicho foro, son los ataques de ransomware–código malicioso que impide la utilización de los equipos o sistemas que infecta– y la complejidad e intensa interconectividad en el sistema financiero actual, que conlleva que las entidades financieras también deban cuidar con quiénes se relacionan, dado el creciente uso de la subcontratación y su alta dependencia de proveedores de servicios digitales. Del mismo modo, deben vigilar los riesgos que asumen con los proveedores de servicios públicos, como empresas de energía o de telecomunicaciones.

Las nuevas tecnologías pueden ayudar, pero también pueden jugar en contra. Así, la inteligencia artificial puede ayudar a prevenir y detectar ciberataques, por ejemplo, detectando anomalías en los comportamientos de los usuarios, los sistemas y las redes en tiempo real, pero también se está utilizando la IA para llevar a cabo actividades cibernéticas delictivas. Igualmente, la computación cuántica tiene potencial para mejorar enormemente el control, pero también puede romper los algoritmos de criptografía que se utilizan actualmente para la comunicación y la protección de datos.

Pero si hay algo que resulta fundamental es que las infraestructuras y entidades financieras así como los sectores críticos notifiquen los incidentes. Y ese es un gran problema, porque los ciberataques tienden a no ser denunciados para no perder reputación y la confianza de los inversores y clientes.