"El panorama geopolítico es algo a lo que hay que prestar atención en el mundo cibernético, porque tiene un impacto"

ChatGPT, fintech, criptomonedas, neobancos, DeFi e incluso computación cuántica. En los últimos años, los servicios financieros han estado en medio de una total revolución tecnológica que ha sacudido las bases de este sector, otrora tan tradicional. Y con estas innovaciones que, usualmente, van en pos de una mejora de la calidad y el acceso a los servicios financieros a toda la sociedad, llegan también los retos. 

El Centro de Análisis e Intercambio de Información de Servicios Financieros (FS-ISAC) es la única comunidad mundial en la que las organizaciones del ámbito financiero colaboran en torno a la ciberinteligencia en el sector. Con más de 5.000 miembros en más de 70 países, esta asociación sin ánimo de lucro lleva 25 años velando por la protección del sistema financiero global, asegurando su resiliencia y continuidad ante los ataques de actores maliciosos. 

Antes de servir como directora global de Inteligencia del FS-ISAC, Teresa Walsh ya se había forjado una carrera como analista de inteligencia, primero en el Servicio Naval de Investigación Criminal (NCIS) del Departamento de Defensa de Estados Unidos y luego en Citibank y JP Morgan en Europa. Desde Londres, donde reside actualmente, Walsh cuenta a CSO cómo se abordan desde el sector privado todos estos cambios tecnológicos que imponen duros desafíos de seguridad a las instituciones financieras alrededor del mundo. 

Ha trabajado tanto en el sector público como en el privado. ¿Existen diferencias entre ambos sectores a la hora de abordar la ciberseguridad?

Yo trabajo en el ámbito de la inteligencia, así que diría que, desde el punto de vista del sector público, hemos tenido mucho tiempo para desarrollar y mejorar lo que hacemos, décadas o incluso siglos según el país, para desarrollar la práctica de la inteligencia. La ciberinteligencia es, obviamente, muy nueva, pero en el sector público creo que ha tenido la oportunidad de beneficiarse del trabajo de inteligencia tradicional, especialmente en el análisis, que es lo que yo hago. Y en el sector privado todavía es bastante nueva, probablemente tenga menos de 20 años ahora mismo, donde muchas empresas todavía están tratando de averiguar qué es la ciberinteligencia y cómo contribuye realmente a la ciberseguridad, y creo que es algo que estamos madurando como sector privado. Creo que el sector financiero ha madurado más que la mayoría, y eso se debe probablemente a que, como estamos muy regulados, tenemos que tener una buena ciberseguridad, porque si no la tenemos, nos multan y tenemos que hablar con los reguladores si pasa algo. Por eso, la gente se ha dado cuenta del valor de la ciberseguridad, pero también de la inteligencia sobre ciberamenazas.

“Nos ayudamos en un concepto de defensa mutua, lo que le ocurra a uno de nosotros puede ser una lección para todos”

¿Cómo describiría el trabajo que realiza la FS-ISAC en ciberinteligencia?

Intentamos ayudar a nuestros miembros, que son instituciones financieras, a comprender el panorama de las amenazas. Y la razón por la que esto es importante es porque tienen que averiguar cómo defenderse a sí mismos y a sus clientes de esas ciberamenazas. Cuáles son los riesgos clave, cuáles son las prioridades, porque no se puede cubrir todo, así que hay que priorizar, y por eso tratamos de llevar ese nivel de comprensión de lo que está sucediendo al sector financiero y lo que se puede hacer al respecto. Y como también somos una comunidad, la gente se ayuda, de hecho pueden hacer crowdsourcing de ese conocimiento, pueden pedirse mutuamente opiniones, pueden obtener benchmarking de los demás, así que nos ayudamos mutuamente en un concepto de defensa mutua: algo que le ocurra a uno de nosotros puede ser la lección aprendida de la que todos nos beneficiemos.

¿Es una comunidad exclusivamente del sector privado o incluye también al sector público?

Es sólo para el sector privado, sólo para instituciones financieras, así que si probablemente estás regulado por un regulador financiero, puedes ser miembro. Tenemos miles de miembros, lo cual está muy bien. Hay diferentes tipos de servicios financieros, no sólo bancos: compañías de seguros, bolsas, así que tenemos una gran variedad para que puedas hablar con alguien como tú. Tenemos asociaciones con el sector público que consisten en comprender lo que el sector público puede aportar al sector financiero. Ellos pueden tener información sobre amenazas, pueden conocer ciertos tipos de vulnerabilidades. En Estados Unidos, por ejemplo, la CISA [Agencia de Seguridad de Infraestructura y Ciberseguridad] tiene un catálogo de vulnerabilidades que son explotadas por los hackers, y realmente se puede ver cuál está siendo utilizada activamente por los malos para llegar a las empresas. 

Más de un año después de la invasión de Ucrania y con un 2022 marcado por el aumento y la sofisticación de los ciberataques, ¿cómo ve el panorama actual de las ciberamenazas en el sector financiero?

Creo que esto ha cambiado definitivamente el panorama, especialmente en Europa. Hicimos un estudio con Akamai en el que analizábamos los ataques DDoS y descubrimos que habían aumentado significativamente en Europa, y gran parte de ello se debe a la guerra de Ucrania. Muchos hacktivistas volvieron, no habíamos visto tantos en los últimos años, pero volvieron y lo llamamos ‘El regreso de los hacktivistas’, porque de repente estaban atacando con DDoS a todo tipo de sitios, no sólo gubernamentales y militares, sino también a instituciones financieras, y todo en respuesta a la guerra. 

Vimos un aumento significativo de los ataques DDoS, pero también vimos cómo cambiaba el panorama del ransomware. Muchos de los operadores de ransomware tienden a ser de Europa del Este, así que debido a lo que estaba pasando, también tuvieron cambios internos en su forma de operar. El ransomware sigue aquí, sigue afectando a todo tipo de organizaciones del sector privado y no creo que vaya a desaparecer pronto, pero ha sufrido muchos cambios. Es de esperar que la gente tenga en cuenta que el panorama geopolítico es algo a lo que hay que prestar atención en el mundo cibernético porque tiene un impacto, no sólo en términos de guerra, y tenemos que estar atentos a esas cosas. Pero, de nuevo, ahí es donde entra en juego la comunidad, porque si alguien lo ve primero, puede avisar a los demás para que empiecen a prepararse. 

“La tecnología tiene dos caras: por un lado, cuál es la próxima novedad que va a encantar a los clientes, y por otro lado, la seguridad”

Las fintech están entrando en el mercado cada vez con más fuerza. ¿Qué retos y qué beneficios están aportando al sector en términos de ciberseguridad?

Hay mucha tecnología nueva ahí fuera, da un poco de vértigo lo que se avecina en el horizonte y lo que va a formar parte de la vida cotidiana. Con las nuevas tecnologías siempre tienes esos nuevos retos de seguridad. Cada vez hay más herramientas que facilitan el trabajo de algunos operadores maliciosos contra nosotros. Herramientas de inteligencia artificial, ChatGPT, tecnologías realmente fascinantes pero que al mismo tiempo reducen la barrera para que alguien se involucre en hackeos o fraude. Antes, la forma tradicional de buscar un correo electrónico de phishing era buscar errores de ortografía o cosas por el estilo, ahora se puede utilizar una de estas herramientas y sería casi perfecto. Si quieres hacer un ataque en español, pero no sabes español, sólo tienes que utilizar una de estas herramientas. Es casi completamente exacto en este punto, excepto tal vez por la jerga. Realmente baja la barrera de que ya no tienes que ser un experto.

En el lado positivo, creo que hay muchas empresas que intentan innovar, que intentan protegernos. La tecnología tiene dos caras: por un lado, siempre se trata de cuál es la próxima novedad que va a encantar a los clientes, y por otro lado está la seguridad, qué cosas podemos utilizar tecnológicamente para proteger esas nuevas tecnologías y proteger también a las personas que las utilizan.

Estamos viendo muchos cambios en el sector financiero en términos de tecnología: criptomonedas, neobancos, finanzas descentralizadas, inteligencia artificial, incluso computación cuántica. Teniendo todo esto en cuenta, ¿cuáles son los retos de ciberseguridad a los que tendrá que enfrentarse el sector financiero en los próximos años?

Creo que siempre tenemos que mirar hacia delante y prepararnos. Ese es siempre nuestro mantra. Por ejemplo, en el caso de la cuántica, tenemos un grupo de trabajo que está estudiando este problema, para ver qué tenemos que hacer ahora y qué deberíamos hacer en el futuro, porque ahora mismo algunas de esas tecnologías no existen. Sabemos que algún día existirán, pero hoy no existen. Parte de esto es asegurarse de que todo el mundo sabe que cuando llegue el momento va a ser mucho trabajo y vamos a tener que cambiar potencialmente infraestructuras enteras para ponernos al día también. Así que esto es algo en torno a lo que la comunidad de FS-ISAC se reúne para hablar: qué está surgiendo, para qué se está preparando la gente. Y como tenemos instituciones financieras de todos los tamaños, a veces las empresas con más recursos, las más grandes, que pueden dedicar mucho tiempo y experiencia a ello, pueden ayudar también al resto del sector. Estamos trabajando juntos como una comunidad para ayudar a resolver estos problemas, y creo que muchas de estas cosas, como he mencionado, son nuevas y emocionantes, pero también presentan desafíos para nosotros. Las divisas digitales son algo que hemos estado estudiando. Hemos trabajado, por ejemplo, en las divisas digitales de los bancos centrales (CBDC) y hemos analizado las posibles repercusiones en la ciberseguridad que los equipos deben conocer, especialmente si participan en pagos, y ser capaces, como profesionales de la ciberseguridad, de saber qué aspecto tiene, cuáles son los retos, las posibles vulnerabilidades y cómo pueden actuar los delincuentes. Para todos estos nuevos tipos de tecnologías o nuevos tipos de riesgos, podemos utilizar a la comunidad para hablar de ello.

¿Qué avances tecnológicos estamos viendo actualmente en materia de ciberseguridad en el sector financiero?

Creo que hay muchos tipos diferentes. Hace años, cuando yo empecé, todavía utilizábamos Excel y Sharepoint y diferentes herramientas por el estilo, y he visto que algunas empresas de ciberseguridad realmente fantásticas han sacado nuevos tipos de herramientas para analizar, por ejemplo, la autenticación, para asegurarte de que tu cliente es realmente tu cliente, lo que, por supuesto, con la IA y ChatGPT va a ser mucho más difícil. Este tipo de herramientas ayudan a entender los metadatos, que a veces es el mundo oculto de Internet que la mayoría de la gente no entiende. Si podemos utilizar esa tecnología a nuestro favor, nos ayudará a estar más seguros y a proteger a nuestros clientes. La tecnología es uno de esos ejemplos clásicos de que a veces puede usarse para el mal, como vemos en el caso de los actores maliciosos, pero también puede usarse para el bien, para ayudar a proteger a todo el mundo, para que la banca y los seguros y otros tipos de servicios financieros sean lo más seguros posible.