Por Vanessa Arenas
La inversión en nuevas tecnologías no es suficiente para hacer frente a un ciberataque. Con el aumento de la digitalización, la ciberdelincuencia ha encontrado más espacios para expandirse. Expertos coinciden en que avances tecnológicos, cambio de cultura y educación en toda la organización pueden marcar la diferencia.
El pasado 6 de septiembre de 2020, el banco comercial estatal de Chile, BancoEstado, registró un ataque informático bajo la técnica de Ransomware, en el que secuestraron los datos de la entidad financiera vulnerando su sistema de seguridad. Esto obligó al cierre de todas sus sucursales durante el día anterior del ataque y la caída de su sitio web.
“Se hizo la denuncia a la unidad de Cibercrimen en la Policía de Investigaciones y esa investigación ya está en curso. Lo que hay que de- terminar es cuál es la naturaleza del malware, cuál pudo haber sido su origen y una vez ahí se van a evaluar las acciones judiciales”, declaraba el subsecretario del Interior, Juan Francisco Galli, minutos después del cibercrimen.
En mayo de 2018 se originó un hackeo al Banco de Chile, a raíz de un correo electrónico con un malware que fue abierto en un computa- dor perteneciente al sistema de la entidad. Este tipo de ciberataques, denominado phishing, significó la pérdida de US$10 millones para la institución.
Estos son sólo algunos casos referenciales que han trascendido durante los últimos años en el sector financiero del país. Con la llegada de la pandemia se ha acelerado la digitalización y, como es de esperarse, también el problema de la ciberseguridad. Según un estudio de Fortinet, la región de Latinoamérica experimentaba un aumento de 131% en ataques de virus/malware tan sólo comparando marzo de 2020 con el mismo mes de 2019.
“A nivel mundial se han perdido miles de millones de dólares como resul- tado de los ciberataques, lo que hace que la implementación de mejores soluciones para las transacciones remotas sea una prioridad para todos los bancos”, advirtió Camilo Méndez, responsable de Transformación Digital en la empresa de tecnología y seguridad cibernética, OneSpan.
Gestión de riesgos cibernéticos
En Chile se cuenta con una Política Nacional de Ciberseguridad para el período 2017-2022, una Ley de Delitos Informáticos, una Ley de Protección de Datos Personales (ambas con modificaciones) y está pendiente el envío al Congreso de una Ley Marco Ciberseguridad.
De acuerdo a Bernardita Piedrabuena, comisionada de la Comisión para el Mercado Financiero (CMF) en Chile; antes de que se presenten incidentes, el banco debe planear y preparar; durante hay que mitigar, restaurar y después de una vulnerabilidad o ataque, se debe aprender las lecciones para un mejoramiento continuo. Durante todos los proce- sos debe existir la coordinación y comunicación, “no sólo al interior sino con los diferentes actores de la industria”. Esto lo indicó en el segundo encuentro digital del Club Ciberseguridad, organizado por la Alianza Chilena de Ciberseguridad y Formación Ejecutiva del Diario Financiero, realizado en noviembre de 2020.
La CMF tiene disponibles un conjunto de normas relacionadas a la ciberseguridad que rigen desde enero de 2016 hasta la actualidad. “Los organismos tienen que cumplir con las acciones que determina el regu- lador, tenemos la potestad sancionatoria en caso de incumplimiento que van desde multas cuantiosas y que imposibilitan la capacidad de hacer otros negocios”, refirió Piedrabuena.
“La ciberseguridad y protección de datos es una prioridad para la CMF, muestra de eso es que hayamos actualizado nuestra normativa al respecto. No es sólo una responsabilidad con los clientes, sino una respuesta a las demandas crecientes que hay sobre este tema, el riesgo reputacional en el que se ve involucrado una entidad financiera, que puedetraerriesgosfinancieros,enelcasoderoboaestaentidad”, agregó la comisionada.
Otra de las recomendaciones, que afianzó como representante del ente regulatorio, es capacitar una cultura de riesgo en las instituciones y tener la tecnología y el presupuesto adecuado para poder responder ante un ciberataque.
Acá coincide con Juan Roa, Gerente de Defensa de Redbanc, quien conversó con Digital Trends al respecto e indicó que es relevante liderar el cambio de mentalidad organizacional en ciberseguridad, incorporándola como una actividad continua, con una visión sistémica y holística imprescindible. “El involucramiento del directorio, el CEO de la compañía y el equipo ejecutivo, es un elemento fundamental para lograrestecambio”.
Protección de datos del cliente
La comisionada Piedrabuena considera que la protección de datos personales es uno de los mayores desafíos para la industria bancaria en Chile. Pero este es un tema que abarca a toda Latinoamérica. De acuerdo a la visión de Redbanc, el aumento sostenido de operaciones bancarias online, desde dispositivos móviles, ha generado gran-
des beneficios para las instituciones y clientes. Al mismo tiempo, la digitalización, con la incorporación de nuevas tecnologías, tales como el internet de las cosas IoT, Big Data y analítica avanzada, Inteligencia Artificial (AI), Blockchain y la aparición de 5G, representan grandes oportunidades para el sector financiero. Sin embargo, estas tecnologías pueden transformarse en nuevas amenazas, imponiendo una serie de desafíos en materia de ciberseguridad.
Es en este contexto, donde la industria financiera se ha convertido en un blanco muy apetecido para los cibercriminales, dado la gran canti- dad de datos que se manejan y activos financieros que se mantienen en estas organizaciones.
Tecnologías
La manera de evitar estos crímenes es estar siempre un paso adelante en términos de tecnología de seguridad, apunta Méndez, de OneSpan. “Las entidades financieras siempre están en busca de estas nuevas tecnologías, ya sea desarrollándolas ellas mismas o como sector, pero, sobre todo, dependen de empresas de seguri- dad cibernética que aprovechan su exposición y conocimiento, así como también el acceso de expertos de primera clase que comba- ten la delincuencia en su día a día”.
En esta línea, el Gerente de Defensa de Redbanc, Juan Roa, enumeró las principales tecnologías emergentes que pueden ayudar a la prevención y monitoreo de ciberataque: Deep Learning (Herramientas de comportamiento anómalo basadas en Inteligencia Artificial), EDR (Endpoint Detection and Response), UBA (User-behavior analytics), Modelos Seguridad del tipo “Zero Trust” y Modelos Seguridad en “cloud”.
Una de las amenazas más comunes y que más ha evolucionado desde el lado de los hackers, según los expertos, es la apropiación de cuentas, por lo que Méndez considera como necesario contar con formas fiables e intuitivas de verificar las identidades de forma remota mediante el uso del reconocimiento facial, la biometría del comportamiento, la Inteligencia Artificial y el aprendizaje automático.
Méndez las llama tecnologías de Autenticación Inteligente Adaptativa. Estas evalúan el riesgo de cada transacción en función de diferentes variables, utilizando la IA, para luego solicitar el méto- do de autenticación requerido en función de la amenaza identifi- cada, lo que equilibra la experiencia del usuario con el apetito de riesgo de la institución, explica.
Otra tecnología de tendencia es el Blindaje para Aplicaciones (AppShielding) – las instituciones financieras hacen enormes inver- siones para asegurar sus sitios de transacciones y la comunicación entre la aplicación y el servidor, pero el dispositivo móvil del usuario suele estar fuera de su ámbito, abriendo una brecha vulnerable a los piratas informáticos para atacar a los usuarios a través de su dispositivo.
“AppShielding se desarrolló para cerrar esta brecha, al implementar una serie de tecnologías dentro de la aplicación que previenen y bloquean algunos ataques como la ingeniería inversa, la inyección de código y la lectura de pantalla, para robar las credenciales del usuario y desviar su dinero”, agrega Méndez.
A pesar de estos avances, los expertos enfatizan que la tecnología, por sí misma, no resuelve los desafíos de la ciberseguridad. La evolución en inversión tecnológica de las instituciones financieras debe ir de la mano de una estrategia que aborde esta temática de manera integral, los procesos y las personas son, entre ambos, parte de la solución.
