La ciberseguridad, una prioridad para el sector financiero

Desde que comenzó el uso extensivo de internet, delincuentes y grupos criminales organizados comenzaron a ampliar su ámbito de actuación hacia el entorno digital. La motivación mayoritaria es lucrarse económica de forma directa o indirecta, pero también existen otros potenciales objetivos como dañar la reputación o imagen de las organizaciones.

En este sentido, las entidades financieras han estado siempre en el punto de mira y, aunque probablemente sea de los sectores más concienciados en cuanto a ciberseguridad, su atractivo se ha visto potenciado, además por la posibilidad de lucrarse directamente, por la cantidad de información que manejan de sus clientes, y que abre la puerta al robo masivo de datos y su posterior explotación. 

Ante este escenario, en el que el número de ciberataques no deja de escalar año tras año, la ciberseguridad se ha convertido en una prioridad, no solo para las compañías, sino también para los reguladores, que cada vez son más demandantes en el cumplimiento de medidas de seguridad. Así ha quedado patente en los últimos años con la publicación de la directiva NIS o la próxima entrada en vigor de DORA para el sector financiero.

¿Cómo afectan los entornos interconectados y la cadena de suministro a la ciberseguridad?

A día de hoy no podemos hablar del sector financiero como un grupo de compañías aisladas, ya que cuando hablamos de la ciberseguridad de una empresa no podemos limitarnos a pensar en sus sistemas, sus redes, o sus empleados, sino que es necesario considerar su ecosistema completo; también todas aquellas compañías a las que está conectado, o de las que es dependiente: proveedores, clientes, partners, etc.

Este concepto de seguridad en la cadena de suministro ha ido tomando fuerza en los últimos años, debido al aumento en el número y en el impacto de incidentes. Tal es la relevancia que, según IBM, el 17% de las violaciones de las infraestructuras críticas se produjo debido a que un socio comercial se vio inicialmente comprometido. Podemos encontrar algunos ejemplos como el incidente de Solarwinds, donde un software utilizado por miles de empresas se vio comprometido, sirviendo como puerta de entrada para los ciberdelincuentes a las compañías que hacían uso de este software.

Como siempre sucede en el mundo de la seguridad, los delincuentes aprovechan el eslabón más débil de la cadena para cometer sus ataques. Eso significa, que es más atractivo para los cibercriminales comprometer una pieza de software menos protegida, pero que además está presente en muchos entornos y puede servir como punto de acceso para atacar compañías más grandes y mejor protegidas. De hecho, Gartner predice que, para 2025, el 45 % de las organizaciones de todo el mundo habrán sufrido ataques en el software de sus cadenas de suministro.

¿Qué otras tendencias nos depara 2023?

El inicio del año viene marcado por el clima de incertidumbre política y económica y tecnológicamente, seguimos bajo el influjo de la pandemia, que ha traído consigo cambios significativos: la mayor digitalización de muchas compañías, el aumento exponencial en el consumo de servicios digitales y la deslocalización de muchos trabajadores gracias al trabajo remoto. Factores que, junto a la creciente tendencia actual  en las empresas, de la migración de sus servicios a la nube y la habilitación de accesos desde terminales móviles como los smartphones, hacen que se amplíe la superficie de ataque.

En este contexto, estas son algunas de las tendencias en materia de ciberseguridad que nos ocuparán a lo largo de este año:

• Impactos del clima político actual: La creciente tensión de los últimos meses puede suponer un aumento del hacktivismo y del incremento de uso de ataques de ransomware destructivo sobre infraestructuras críticas. En este tipo de ataques, los datos se bloquean sin que se solicite un rescate para recuperarlos. La reducción en la cooperación internacional también puede suponer una menor capacidad de evitar y contener ciberincidentes de forma temprana. 
• Ataques persistentes: Los ataques complejos, como las Amenazas Avanzadas Persistentes (APTs por sus siglas en inglés) seguirán proliferando en 2023. Este tipo de ataques se prolongan en el tiempo y tienen como objetivo adentrarse en las organizaciones de forma persistente, ya sea para robar datos o conseguir acceso a las partes más sensibles de las organizaciones.
• Estrategias de seguridad zero-trust: Con la deslocalización de trabajadores y servicios, la forma de protegerse de las organizaciones ha cambiado y los conceptos “dentro” y “fuera” han dejado de existir. Si bien, tradicionalmente las compañías ponían el foco el tener un perímetro securizado y una vez dentro de ese perímetro, se reducían las medidas de seguridad, en la actualidad muchas empresas están migrando a estrategias de cero confianza, donde ya no se presume que la empresa es un entorno seguro y que las amenazas solamente provienen del exterior. 
• La era dorada  de la ingeniería social: La ingeniería social sigue siendo uno de los vectores de entrada más populares, ya que los ciberdelincuentes aprovechan las debilidades naturales del ser humano, como el miedo, la urgencia o la confianza, pero a día de hoy, con la proliferación de redes sociales y tecnologías de Inteligencia Artificial, que permiten realizar deep fakes, toma todavía más relevancia como canal de entrada de los ataques en las organizaciones.
• Exceso de confianza en servicios cloud: El incremento en los precios de la energía y el encarecimiento y falta de disponibilidad de hardware en los últimos meses ha precipitado todavía más crecimiento de servicios cloud en detrimento de los on premise. Si bien esta estrategia puede ser un acelerador, no podemos olvidar los ciber riesgos asociados a estos servicios y la falta de claridad, en algunos casos, sobre las responsabilidades de implementar y mantener las medidas de seguridad pertinentes.
• Menor cobertura de las aseguradoras: Algunas aseguradoras, como Zurich, ya han anunciado que los seguros contra ciberataques podrían llegar a su fin o ver reducidas sus coberturas, debido al alto impacto que este tipo de incidentes están llegando a tener. Esto significa que las empresas tendrán que realizar una mayor inversión en protegerse ante este tipo de eventos, ya que no podrán transferir el riesgo que supone. Y es que los seguros contra ciberataques han dejado de ser rentables para las aseguradoras. Según Cybersecurity Ventures, los daños podrían alcanzar los 10,5 billones de dólares en 2025.