El Fondo Monetario Internacional (FMI) ha advertido que los ciberataques se han más que duplicado desde la pandemia de coronavirus.
En este contexto, si bien históricamente las empresas han sufrido pérdidas directas relativamente modestas a causa de los ciberataques, algunas han experimentado un costo mucho mayor.
Por ejemplo, la agencia estadounidense de informes crediticios Equifax, pagó más de mil millones de dólares en multas después de una importante filtración de datos en 2017 que afectó a unos 150 millones de consumidores.
El FMI señala en su Informe de estabilidad financiera global de abril de 2024 que el riesgo de pérdidas extremas por incidentes cibernéticos está aumentando.
Estas pérdidas podrían causar problemas de financiación a las empresas e incluso poner en peligro su solvencia. El tamaño de estas pérdidas extremas se ha más que cuadruplicado desde 2017, a una cifra de 2.500 millones de dólares. Y las pérdidas indirectas, como daños a la reputación o actualizaciones de seguridad, son sustancialmente mayores.
Además, es todavía más desafiante que el sector financiero está especialmente expuesto al riesgo cibernético.
Las empresas financieras, dadas las grandes cantidades de datos y transacciones confidenciales que manejan, a menudo son blanco de delincuentes que buscan robar dinero o perturbar la actividad económica. Los ataques a empresas financieras representan casi una quinta parte del total, de los cuales los bancos son los más expuestos.
Es así como el FMI advierte que los incidentes en el sector financiero podrían amenazar la estabilidad financiera y económica si erosionan la confianza en el sistema financiero, interrumpen servicios críticos o causan efectos de contagio a otras instituciones.
Por ejemplo, un incidente grave en una institución financiera podría socavar la confianza y, en casos extremos, provocar liquidaciones en el mercado o corridas bancarias.
Aunque hasta ahora el FMI señala que no se han producido “ciberataques” significativos, sus análisis sugieren que se han producido salidas de depósitos modestas y algo persistentes en bancos estadounidenses más pequeños después de un ciberataque.
Los incidentes cibernéticos que interrumpen servicios críticos como las redes de pago también podrían afectar gravemente la actividad económica. Por ejemplo, un ataque en diciembre al Banco Central de Lesotho perturbó el sistema de pagos nacional, impidiendo transacciones de los bancos nacionales.
Igualmengte, las empresas financieras dependen cada vez más de proveedores externos de servicios de TI, y pueden hacerlo aún más con el papel emergente de la inteligencia artificial.
Estos proveedores externos pueden mejorar la resiliencia operativa, pero también exponer al sector financiero a shocks que afectan a todo el sistema. Por ejemplo, un ataque de ransomware en 2023 a un proveedor de servicios de TI en la nube provocó interrupciones simultáneas en 60 cooperativas de crédito de EE. UU.
Dado que el sistema financiero global enfrenta riesgos cibernéticos significativos y crecientes debido a la creciente digitalización y las tensiones geopolíticas, el FMI señala que las políticas y los marcos de gobernanza de las empresas deben seguir el ritmo.
Según una encuesta del FMI realizada a bancos centrales y autoridades de supervisión, los marcos de políticas de ciberseguridad, especialmente en las economías de mercados emergentes y en desarrollo, a menudo siguen siendo insuficientes.
Por ejemplo, solo alrededor de la mitad de los países encuestados tenían una estrategia nacional de ciberseguridad centrada en el sector financiero o regulaciones específicas de ciberseguridad.
Para fortalecer la resiliencia del sector financiero, las autoridades deberían desarrollar una estrategia nacional de ciberseguridad adecuada acompañada de una regulación y una capacidad de supervisión efectivas que deberían abarcar, entre otras cosas:
- Evaluar periódicamente el panorama de la ciberseguridad e identificar posibles riesgos sistémicos derivados de la interconexión y las concentraciones, incluidos los de terceros proveedores de servicios.
- Fomentar la “madurez” cibernética entre las empresas del sector financiero, incluido el acceso a nivel de directorio a experiencia en ciberseguridad, como lo respalda el análisis, que sugiere que una mejor gobernanza relacionada con la ciberseguridad puede reducir el riesgo cibernético.
- Mejorar la higiene cibernética de las empresas, es decir, su seguridad en línea y la salud de sus sistemas (como antimalware y autenticación multifactor), y la capacitación y concientización.
- Dar prioridad a la presentación de informes de datos y la recopilación de incidentes cibernéticos, y compartir información entre los participantes del sector financiero para mejorar su preparación colectiva.
También es importante señalar que debido a que los ataques a menudo surgen desde fuera del país de origen de una empresa financiera y los ingresos pueden desviarse a través de las fronteras, la cooperación internacional es imperativa para abordar con éxito el riesgo cibernético.
Si bien se producirán incidentes cibernéticos, el sector financiero necesita la capacidad de brindar servicios comerciales críticos durante estas interrupciones. Para ello, las empresas financieras deberían desarrollar y probar procedimientos de respuesta y recuperación, y las autoridades nacionales deberían contar con protocolos de respuesta y marcos de gestión de crisis eficaces, concluye el FMI en su informe.
Por Funds Society, México
