Los bancos, usted, su clave y su cuenta están bajo asedio: ¿qué se está haciendo y es esto suficiente?

La tendencia era constatable a través de las estadísticas desde antes del 2020, cuando se certifica el doble salto cuantitativo y cualitativo en la digitalización y uso de servicios en línea. Al menos a nivel de denuncias, los casos casi se duplicaron entre enero y agosto de 2022 en relación a todo el año anterior.

En la cadena no hay un único eslabón débil pues, cuando no ha sido el usuario el que cayó en la trampa, las barreras de protección de algunos bancos no parecen haber detenido a los ciberdelincuentes. La falta de información generaliza las sospechas, pues el Organismo de Investigación Judicial (OIJ) no clasifica ni brinda información de las denuncias según las entidades bancarias del cliente afectado.

La Superintendencia de Entidades Financieras (Sugef) solicitó en dos ocasiones información a los bancos sobre los procesos de ciberseguridad implementados en lo referente a prevención, localización y reacción o seguimiento. Lo hizo el 28 de setiembre de 2018 y más recientemente el 21 de abril de 2022, el mes cuando fue público el ataque del grupo Conti contra el Ministerio de Hacienda a través de un sistema de secuestro y encriptación de información conocido como ransomware.

Los resultados del sondeo apuntan a que las capacidades de los bancos van desde lo más básico que se puede pedir (“existe conciencia” de la importancia de la ciberseguridad” y un mayor involucramiento y responsabilidad de la alta gerencia en la materia) hasta determinar que “la mayoría” cuenta con estructuras formales, gestión de la ciberseguridad está presupuestada e invierten en capacidades analíticas como un primer paso.

En general, de acuerdo a los resultados de la encuesta de Sugef, las entidades cuentan con políticas y procedimientos, plan de gestión de incidentes, plan de continuidad, personal dedicado y afirman estar preparadas ante los riesgos de ciberseguridad por teletrabajo.

La superintendente, Rocío Aguilar, sostiene que en Costa Rica las entidades financieras avanzaron en la gestión de los riesgos asociados a la seguridad de la información y la ciberseguridad. Deberán avanzar más.

“Se observa que se vienen tomando medidas y acciones por parte de las entidades financieras con respecto a la ciberseguridad y demás temas de seguridad”, dijo Aguilar. “Sin embargo, el ámbito tecnológico es muy dinámico, por lo que se siguen afrontando retos importantes en relación con el fortalecimiento de la postura de ciberseguridad de las organizaciones, para detectar, resistir o contener, y reaccionar ante los ciberataques”.

El reto también estaría en el tipo de tecnología de seguridad informática que adquieren y utilizan varias de las entidades. “Adquieren herramientas, no soluciones”, advirtió Luis Alonso Ramírez, miembro de la comisión de ciberseguridad del Colegio de Profesionales de Información y Computación (CPIC).

Los llamados crackers (también conocidos como hackers) mantienen una alta intensidad, habilitados por servicios de software malignos en la nube que permiten a una persona no especialista realizar ataques como el de Conti.

Un reciente reporte de la firma Fortinet muestra que en la primera mitad de 2022 la región de América Latina y el Caribe sufrió 137.000 millones de intentos de ciberataques, un aumento del 50% en comparación con el mismo período del año pasado. Específicamente Costa Rica sufrió 513 millones intentos de intrusión, un aumento del 104%.

Otras actividades delictivas se enfocan en los usuarios. Las estadísticas del OIJ muestran que desde el 2018 se contabilizan más de 9.000 denuncias clasificadas como estafas informáticas y estafa con tarjeta (uso vía Internet). Del 1.° de enero al 4 de agosto de 2022 los casos acumulados sumaron más de 3.000, casi el doble que en 2020 y 2021.

Madurez tecnológica

Copiado!

Las autoridades indican que la creciente sofisticación de los delitos informáticos y el incremento en el número de ataques obliga a las entidades financieras a fortalecer sus equipos en ciberseguridad y sus acciones de gestión de riesgos operativos, las normas de gestión de tecnología de información y las medidas para preservar la integridad, confidencialidad y disponibilidad de la información en las operaciones financieras.

Desde el 2020 se reforzaron las acciones y recursos, incluyendo las propiamente normativas (con requerimientos a nivel de gobernanza y gestión corporativa, de tecnologías de información y de riesgos) y la obligación de activar protocolos ante un incidente (reporte inmediato a la Superintendencia, mecanismos de respuesta establecidos en la regulación).

Se estableció, además, una nueva regulación específica para la gestión de la ciberseguridad y se recopiló información en mayo anterior para determinar el nivel de madurez de las entidades en protección de la información, dado que una inadecuada gestión del riesgo tecnológico repercute en la continuidad de las operaciones y su patrimonio, además de afectar a los clientes.

La Sugef indicó que el mayor número de ataques que reciben las entidades son mediante comunicaciones no deseadas (spam) y falsas (phishing). “No obstante, a pesar de que la mayoría de las entidades señalaron que han sufrido los eventos anteriores, estos no se han materializado”, afirmó Aguilar.

Las entidades confirman que, como organizaciones financieras, se encuentran en el radar de los ciberdelincuentes desde el inicio de las operaciones en Internet, que hay incrementos significativos en los últimos años especialmente en amenazas como malware y phishing, y que diariamente se presentan manifestaciones de múltiples tipos de amenazas e intentos “que son controlados por las herramientas de defensa”.

“A pesar del incremento a nivel mundial de los intentos e incidentes asociados a ciberataques, a los cuales las organizaciones financieras están expuestas junto con otras industrias relevantes para el cibercrimen, en BAC no se han identificado ataques efectivos con consecuencias negativas en los servicios brindados”, afirmó Laura Moreno, vicepresidenta de relaciones corporativas de BAC.

El reto sigue siendo cómo incorporar nuevos canales y servicios, tecnologías y facilidades que no resten competitividad ni agilidad al usuario manteniendo la seguridad de sus cuentas y de su información. El asedio es constante.

Una entidad recibe más de 1,2 millones de intentos de ataques en promedio diario desde enero de 2020, lo que implica un incremento del 25%, que son repelidos con éxito, pero implican una degradación del servicio en línea.

El Financiero consultó a los bancos, basándose en los mismos ítemes de la solicitud de información que les envió la Sugef para determinar el grado de madurez tecnológica de las entidades financieras, y sumando otros adicionales. No respondieron los bancos Scotiabank, Cathay, Lafise y BCT.

Las entidades respondieron que se enfocan en asegurar que los clientes realicen operaciones bancarias y pagos por compras de forma segura, para lo cual implementan acciones que permitirían anticipar, detectar y monitorear actividades ilícitas o irregulares e intrusiones, apoyándose en sistemas automatizados.

En el papel, siguiendo los procesos, normativas vigentes y plataformas y políticas de las casas matrices en los casos de entidades internacionales, los bancos cuentan con herramientas, centros de operación de seguridad, certificaciones en normas o estándares internacionales, protocolos de respuesta ante incidentes y para atención de reclamos, así como planes de sensibilización internos (incluyendo auditorías) y hacia los clientes.

“Recordamos y recalcamos a nuestros clientes que nunca se les contactará telefónicamente, por correo o WhatsApp para solicitarle información sensible como usuario, clave o contraseña, correos electrónicos o códigos”, recalcó Rebeca López, jefe de la división de seguridad de la información del Banco Popular. “Además, de forma permanente le estamos recordando a nuestros clientes la importancia de sospechar de cualquier llamada que le hagan creer que la efectúa un supuesto personero bancario”.

De hecho las entidades participan en la campaña impulsada por la Cámara de Bancos e Instituciones Financieras, el Banco Central de Costa Rica, el Ministerio de Seguridad, el Ministerio Público y el OIJ para alertar y sensibilizar a los clientes bancarios para que eviten ser víctimas de los delincuentes.

Los bancos recalcan que sus sistemas tecnológicos son seguros. “Hasta el momento no hemos sido sujetos de ningún ciberataque”, destacó Erick Hernández, jefe de informática Grupo Financiero Desyfin.

Claramente deben mantener altos niveles de protección de las transacciones electrónicas y de los datos, probablemente con niveles mayores que a otras industrias, tanto por la alta sensibilidad que tendría cualquier incidente en sus operaciones e imagen como por la regulación existente.

“La generación de fraudes electrónicos no es una situación exclusiva de una entidad, todo el sector se ha visto impactado”, explicó Jaime Murillo Víquez, subgerente general de operaciones del Banco Nacional (BN).

Misión reforzar

Copiado!

El aumento de los fraudes informáticos contra los clientes bancarios también obligó a las entidades a reforzar todo el arsenal de medidas de carácter administrativo y tecnológico que tienen.

El asedio a los usuarios con información personal al detalle, fraudes donde las transferencias “no autorizadas” por los clientes que sobrepasan los límites de los montos establecidos por los mismos bancos y propietarios legítimos, evadiendo los sistemas instalados, o la creación de cuentas a nombre de las personas dejan dudas evidentes sobre la eficiencia de las estrategias, protocolos y soluciones de seguridad utilizados. Algunas entidades debieron correr para subsanar situaciones y crisis.

El BN empezó en mayo anterior un plan piloto donde los usuarios de su aplicación móvil utilizan en forma opcional la firma digital, a través del Gestor de Autenticación Digital (Gaudi) del Banco Central de Costa Rica (BCCR), para tener acceso y realizar transacciones por medio de esta app. Gaudi estará disponible en esta entidad tanto para el servicio de Banca en Línea como para el de Banca Móvil a partir de setiembre.

Gaudi es una app que puede utilizarse en computadoras personales (portátiles y de escritorio) y en teléfonos inteligentes. Las personas que cuentan con firma digital solo tienen que descargar la app y habilitarla; para quienes no tienen firma digital deben realizar el trámite de adquisición con un costo de (¢5.000), siete veces menor para usarla en el móvil puesto que en este caso no requieren tarjeta ni lector USB.

La medida ocurrió después que en el BN se incrementó en casi 50% las denuncias por traslados de dinero de las cuentas de los clientes utilizando Sinpe Móvil en el primer trimestre del 2022 y en comparación al mismo periodo del 2021.

El BN denunció que la situación está relacionada con las estrategias de los ciberdelincuentes de crear páginas falsas que suplantan la del Banco. La entidad había detectado cerca de 400 páginas falsas en los dos primeros meses del 2022, más que las 120 identificadas en todo el 2021.

Otras entidades también están probando la adopción de Gaudi para efectos de seguridad de los servicios en línea.

En el BCR los clientes jurídicos usan Gaudi en los servicios web y en diferentes procesos (afiliación o matrícula de cuentas, entre otros). Para clientes físicos estará disponible en el último trimestre de este 2022 inicialmente en transacciones que requieren ciertos niveles de seguridad (transferencias a terceros).

En el Banco Popular se proporcionará a finales de este 2022. Actualmente está en proceso de implementación de Gaudi para autenticación y firma de transacciones en móviles. Podría extenderse a transacciones de autorregistro de nuevos clientes y aplicación a solicitudes de préstamos.

Para la industria la tarea es ir más allá. Ramírez, de CPIC, explicó que el cumplimiento regulatorio es exigente en cuanto a establecer controles para prevenir los ataques a las entidades y los fraudes al cliente. Pero el problema sería que se compran herramientas de seguridad y lo que se necesita son soluciones o arquitecturas de prevención y detección cuando se agrede a las organizaciones. Se estaría dejando superficies “porosas y fisuras”.

Las entidades estarían avanzando en la implementación de sistemas para control de acceso a información, firewall para bases de datos que bloquean accesos no permitidos, revisan privilegios y notifican accesos no autorizados, metodologías de cero confianza para tener visibilidad completa y responder ante los intentos de los ciberdelincuentes y contratación y gestión de personal técnico y no técnico que puede exponer —voluntaria o involuntariamente— datos o accesos a información, pues no necesariamente los casos de fraudes se deben a mala praxis de los clientes o usuarios con sus claves o contraseñas.

“Los ciberdelincuentes siempre van a ir adelante”, advirtió Alonso. “La inversión en este tipo de tecnología tiene su costo para los bancos. El martillo que se está comprando es muy pequeño para el clavo que se quiere poner en la pared”.

¿Qué tienen los bancos?

Copiado!

De acuerdo a las respuestas de las entidades bancarias, estas son las herramientas, protocolos, normas y procedimientos, en general, implementados por bancos en Costa Rica en materia de seguridad informática y protección de datos:

Bancos públicos

Bancos privados