La IA está cambiando el panorama de las ciberamenazas para los bancos

La IA está cambiando tanto la ciberdefensa como la capacidad de ciberataque

La inteligencia artificial está alterando la ciberseguridad en dos direcciones a la vez. Los bancos pueden utilizar la IA para analizar grandes volúmenes de actividad de red, priorizar alertas y detectar patrones sospechosos más rápidamente. Los atacantes pueden utilizar las mismas capacidades para automatizar el reconocimiento, mejorar la ingeniería social y reducir la experiencia necesaria para desarrollar ciertas formas de actividad maliciosa. El resultado no es un panorama de ciberriesgos completamente nuevo, sino una aceleración de una contienda existente entre atacantes y defensores.

Para los bancos, esto es importante porque son objetivos atractivos y operan con infraestructuras tecnológicas altamente interconectadas. Las instituciones financieras poseen datos valiosos, procesan grandes volúmenes de pagos y dependen de combinaciones complejas de sistemas heredados, plataformas en la nube y proveedores externos. La IA puede ayudar a los atacantes a navegar por ese entorno de manera más eficiente, mientras que los defensores deben mejorar la velocidad y la calidad de la detección y la respuesta.

La ingeniería social se está volviendo más convincente

El phishing es uno de los ejemplos más claros. La IA generativa puede producir mensajes gramaticalmente correctos y personalizados en varios idiomas e imitar el tono de un colega o proveedor. Por lo tanto, las señales de advertencia tradicionales, como la mala ortografía, están perdiendo utilidad. El personal necesita hábitos de verificación más sólidos, especialmente cuando una solicitud implica credenciales, instrucciones de pago o información sensible.

El audio y el vídeo sintéticos crean un riesgo relacionado. Un atacante puede imitar a un ejecutivo, cliente o proveedor lo suficientemente convincentemente como para influir en un empleado bajo presión de tiempo. Por lo tanto, las instrucciones de alto valor deben basarse en controles independientes del canal de comunicación, como procedimientos de devolución de llamada, aprobación dual u otra verificación autenticada.

Los ciclos de ataque técnico pueden acelerarse

La IA también puede ayudar con la generación de código, la investigación de vulnerabilidades y el análisis de información pública. Esto no significa que todo criminal adquiera de repente la capacidad de un actor de amenazas avanzado, pero puede reducir el costo y el tiempo necesarios para realizar tareas que anteriormente requerían conocimientos más especializados. Por lo tanto, los bancos pueden enfrentarse a mayores volúmenes de ataques técnicamente competentes.

Los equipos defensivos pueden utilizar la IA de maneras similares. Las plataformas de seguridad pueden priorizar alertas, identificar anomalías y resumir información de incidentes. Esto puede reducir la carga de trabajo de los analistas, pero las decisiones de seguridad automatizadas aún requieren gobernanza. Los falsos negativos pueden pasar por alto ataques reales, mientras que los falsos positivos excesivos pueden abrumar a los equipos y reducir la atención.

Los propios sistemas de IA crean nuevas superficies de ataque

Los sistemas generativos y agénticos introducen riesgos que las aplicaciones tradicionales no presentaban de la misma forma. La inyección de prompts, por ejemplo, puede intentar manipular un sistema de IA mediante instrucciones maliciosas incrustadas en contenido externo. El riesgo se vuelve más significativo cuando una herramienta de IA tiene permiso para acceder a bases de datos, correo electrónico o sistemas operativos.

Por lo tanto, los permisos deben seguir el principio del menor privilegio. Un asistente que solo produce texto tiene un perfil de riesgo diferente de un agente que puede enviar mensajes o ejecutar transacciones. Las acciones sensibles deben conservar una aprobación explícita hasta que la organización haya demostrado que el proceso y los controles son confiables.

Los proveedores externos de IA también crean riesgo de proveedor. Los bancos necesitan comprender dónde se procesan los datos, cómo se comunican los incidentes de seguridad y qué sucede si el proveedor deja de estar disponible o cambia materialmente el servicio. DORA proporciona un marco de resiliencia operativa relevante para estas dependencias.

La capacitación y la gobernanza deben evolucionar

Los programas de concienciación sobre ciberseguridad ahora deben incluir el phishing habilitado por IA, los medios sintéticos y los riesgos creados por las herramientas públicas de IA. Los empleados deben saber cómo verificar solicitudes inusuales y dónde reportar actividad sospechosa. Los equipos de finanzas, tesorería y servicio al cliente pueden requerir ejemplos diferentes porque los métodos de ataque relevantes para sus funciones difieren.

Los desarrolladores también necesitan orientación. Los asistentes de codificación de IA pueden mejorar la productividad, pero el código generado aún requiere pruebas, revisión y escaneo de vulnerabilidades. Un desarrollo más rápido no debe crear software inseguro más rápidamente.

Las juntas directivas y los altos directivos deben preguntar si los escenarios de ciberriesgo reflejan estos cambios. La pregunta clave no es si el banco ha comprado productos de seguridad de IA, sino si los modelos de amenazas, las evaluaciones de proveedores, la capacitación del personal y los ejercicios de incidentes se han actualizado para un entorno en el que tanto defensores como atacantes utilizan sistemas cada vez más capaces.

Conclusión

La IA no reemplaza los fundamentos de la ciberseguridad. La autenticación multifactor, el parcheo, el control de acceso, el desarrollo seguro de software, el monitoreo, las copias de seguridad y la respuesta a incidentes siguen siendo esenciales. Lo que cambia es la velocidad y la sofisticación con la que ambas partes pueden operar. Por lo tanto, los bancos necesitan fortalecer la integración entre la gobernanza de la IA, el ciberriesgo y la resiliencia operativa.

La Academia eBSI de Banca aborda la ciberseguridad como parte de la competencia profesional bancaria porque los eventos cibernéticos afectan a los clientes, las operaciones, la reputación y las obligaciones regulatorias. Las instituciones mejor posicionadas para gestionar las amenazas habilitadas por IA serán aquellas que combinen una tecnología sólida con procesos disciplinados y personas informadas.

La autenticación y el desarrollo de software merecen una atención renovada

El crecimiento de los medios sintéticos debilita los procedimientos de seguridad que dependen de reconocer una voz, rostro o estilo de escritura familiar. Los bancos deben revisar si las aprobaciones de alto riesgo dependen demasiado de estas señales informales. Las instrucciones de pago, los cambios de privilegios y la divulgación de información sensible deben verificarse a través de canales autenticados que sigan siendo confiables incluso cuando el audio o el vídeo puedan imitarse convincentemente.

El desarrollo seguro de software también necesita adaptarse. Los asistentes de codificación de IA pueden mejorar sustancialmente la productividad, pero el código generado aún debe ser revisado, probado y escaneado en busca de vulnerabilidades. El hecho de que el código se produzca más rápidamente no reduce la responsabilidad del banco por su seguridad. Por lo tanto, los equipos de desarrollo deben integrar el uso de la IA en los estándares de desarrollo seguro existentes en lugar de tratar el código generado como una categoría separada.

Estos ejemplos refuerzan un punto más amplio: el ciberriesgo de la IA no está confinado al departamento de seguridad. Afecta a los controles de pago, la capacitación del personal, la ingeniería de software, la gestión de proveedores y la supervisión de la junta directiva. La institución necesita una respuesta coordinada porque los atacantes también son cada vez más capaces de moverse a través de estos límites.

La resiliencia sigue siendo el objetivo final

Los programas de ciberseguridad deben asumir que algunos ataques eludirán los controles preventivos. Por lo tanto, los bancos necesitan procesos de recuperación probados, copias de seguridad seguras, arreglos de comunicación alternativos y la capacidad de restaurar servicios críticos sin depender de sistemas que puedan estar comprometidos. La IA no cambia este principio; aumenta la velocidad a la que un incidente puede desarrollarse.

La gerencia también debe asegurarse de que las lecciones de los incidentes relacionados con la IA se retroalimenten en la gobernanza del modelo y la capacitación del personal. Un evento de inyección de prompts, un intento de fraude de identidad sintética o el uso indebido de un asistente de codificación pueden revelar debilidades de control que se extienden más allá de la ciberseguridad. La revisión multifuncional ayuda a evitar que la misma debilidad subyacente reaparezca en otro lugar.