Ciberseguridad bancaria: preguntas frecuentes de bancos y fintechs

El ransomware ya no es un riesgo teórico para el sector. El Banco de México reportó que en 2025 grupos cibercriminales formaron alianzas y comprometieron sistemas del sector financiero mexicano, incluidos servicios de transferencias electrónicas y retiros en cajeros. También señaló que el ransomware como servicio y las técnicas basadas en IA elevan el costo del riesgo (fuente: Banxico, Reporte de Estabilidad Financiera, dic 2025).

Qué tener listo antes del ataque:

• Plan de respuesta con roles, decisiones y contactos, ensayado en simulacros.
• Respaldos inmutables y aislados, con pruebas periódicas de restauración.
• Detección y respuesta en endpoints y red (EDR/XDR) para contener rápido.
• Segmentación para que un equipo comprometido no alcance los sistemas críticos.
• Protocolo de comunicación con regulador, clientes y medios.

Durante el incidente: contener primero, preservar evidencia y restaurar por prioridad de negocio.

Un proveedor con acceso a tus sistemas puede convertirse en la puerta de entrada de un ataque. En Brasil, en julio de 2025, criminales usaron credenciales de un empleado de una empresa de tecnología que conectaba instituciones al sistema de pagos y desviaron cientos de millones de reales; el Banco Central suspendió a tres instituciones del Pix (fuente: Agência Brasil, jul 2025).

La regulación respondió. En Brasil:

• La Resolución BCB 498 (5 sep 2025) fija reglas más estrictas para los proveedores de servicios de tecnología (PSTI) que conectan instituciones a la RSFN: deben designar directores de ciberseguridad, riesgo y cumplimiento y crisis, y pueden ver suspendida su conexión (fuente: LegisWeb).
• La Resolución CMN 5.274, publicada el 18 de diciembre de 2025 con adecuación hasta el 1 de marzo de 2026, modifica la CMN 4.893: fija 14 controles mínimos de ciberseguridad, exige una prueba de penetración independiente cada año con resultados guardados por 5 años y extiende los controles a los sistemas de terceros (fuente: Grant Thornton). Para instituciones de pago, corredoras y distribuidoras, la Resolución BCB 538, del mismo día, fija exigencias complementarias con el mismo plazo.

Buenas prácticas:

• Inventario y clasificación de proveedores según su acceso e impacto.
• Due diligence de seguridad antes de contratar: políticas, auditorías e historial de incidentes.
• Gestión de identidades y accesos privilegiados (IAM/PAM): mínimo necesario, con MFA, registro de sesiones y caducidad.
• Enfoque de confianza cero (zero trust): verificar cada acceso, también el de usuarios internos y proveedores, en lugar de confiar en la red.
• Detección de amenazas internas y de uso anómalo de credenciales.
• Cláusulas contractuales de notificación de incidentes y derecho de auditoría.
• Revisión continua, no solo al firmar.

Los cajeros siguen siendo un objetivo. El Banco de México reportó que en 2025 grupos cibercriminales comprometieron sistemas del sector financiero mexicano, incluidos los retiros de efectivo en cajeros automáticos (fuente: Banxico, Reporte de Estabilidad Financiera, dic 2025). Los ataques combinan lo físico (dispositivos conectados al equipo) y lo lógico (malware que ordena dispensar efectivo).

Capas de protección:

• Lista blanca de aplicaciones: el cajero solo ejecuta el software autorizado.
• Protección del disco y del arranque, para impedir cambios no autorizados.
• Detección de manipulación física y de dispositivos conectados.
• Cifrado entre el cajero y el sistema central.
• Monitoreo de retiros para detectar patrones de "cash-out" en tiempo real.
• Gestión de parches centralizada para todo el parque.

Criterios: compatibilidad con tus modelos de cajero y con tus sistemas operativos, y gestión remota desde un solo lugar.

Según IAPP:

• La ley rige desde el 1 de marzo de 2025.
• La banca, los servicios financieros y los medios de pago son servicios esenciales.
• La Agencia Nacional de Ciberseguridad (ANCI) califica a los operadores de importancia vital (OIV), que asumen obligaciones específicas.

Según las guías publicadas sobre el artículo 9 de la ley, los incidentes con efectos significativos se notifican al CSIRT Nacional con una alerta temprana dentro de 3 horas y un segundo reporte dentro de 72 horas, plazo que se acorta para un operador de importancia vital cuyo servicio esencial se ve afectado. Confirma los plazos exactos con tu área legal.

Qué suele necesitar un banco o emisor de medios de pago:

• Detección de incidentes con capacidad de reportar en plazos cortos.
• Sistema de gestión de seguridad de la información documentado.
• Monitoreo continuo, con SOC propio o tercerizado.
• Inteligencia de amenazas para anticipar campañas contra el sector.
• Proveedores críticos que avisen a tiempo de sus propios incidentes.

La presión sube en la región. Según un informe de Akamai reportado por ebizlatam (mayo de 2026), América Latina concentró el 7% de los ataques DDoS de capa de aplicación contra servicios financieros en 2025, con un crecimiento del 40% anual, el segundo mayor del mundo; además, el 96% de los líderes de servicios financieros encuestados tuvo al menos un incidente de seguridad de APIs en 12 meses. En Brasil, la Resolución CMN 5.274 incluye la seguridad de APIs entre sus controles mínimos (fuente: Grant Thornton).

Capas de protección:

• Mitigación de DDoS en red y en capa de aplicación.
• WAF / WAAP para aplicaciones web y APIs.
• Gestión de bots: relleno de credenciales, creación masiva de cuentas y extracción de datos.
• Descubrimiento y seguridad de APIs, incluidas las no documentadas.

Criterios para comparar:

• Capacidad de mitigación y tiempo de reacción comprobables.
• Tasa de clientes legítimos bloqueados.
• Impacto en la latencia.
• Integración con tu SOC y tus herramientas actuales.

Las exigencias ya lo piden. En Brasil, la Resolución CMN 5.274 incluye la inteligencia de amenazas entre sus controles mínimos, con adecuación hasta el 1 de marzo de 2026 (fuente: Grant Thornton). En Chile, la Ley 21.663 pide una alerta temprana de incidentes significativos dentro de 3 horas, según las guías publicadas sobre la ley. Y la amenaza es real: el Banco de México reportó que en 2025 grupos cibercriminales formaron alianzas y comprometieron sistemas del sector financiero mexicano (fuente: Banxico, Reporte de Estabilidad Financiera, dic 2025).

Opciones:

• SOC propio: máximo control y conocimiento del negocio; exige personal, turnos y herramientas.
• SOC tercerizado o MDR: cobertura 24/7 rápida; conviene definir bien qué decide el proveedor y qué decide tu equipo.
• Modelo híbrido: tu equipo gobierna y el proveedor cubre horario y escala.

Para cumplir con CTI no basta con comprar fuentes: hay que definir qué amenazas importan a tu institución, quién las analiza y cómo se traducen en reglas de detección y acciones.

Qué revisar: tiempos de detección y respuesta comprometidos por contrato, acceso a tus registros, integración con tu SIEM y relevancia de la inteligencia para el sector financiero de la región.