Ciberseguridad en servicios financieros

Ataques a la cadena de suministro: En este ataque, los ciberdelincuentes penetran en los componentes de un proveedor externo o un tercero para acceder a los sistemas de sus clientes. Los atacantes pueden obtener acceso remoto a los sistemas de las instituciones financieras, robar datos sensibles o desplazarse lateralmente por diferentes entornos. Un ejemplo infame de ello son los ataques del grupo Lazarus en Corea del Sur a través de una cadena de suministro que afectaba al software utilizado por bancos y organismos gubernamentales de este país. En Fluid Attacks disponemos de las herramientas que pueden reforzar la seguridad de tu cadena de suministro de software: SCA (análisis de composición de software) y SBOMs (lista de materiales de software). Con SCA, se realiza un análisis del código para identificar los componentes de código abierto y sus dependencias, y así encontrar riesgos asociados a componentes de terceros e informar y recomendar soluciones para mitigarlos. Con la actualización continua de los SBOM, se obtiene una imagen clara de todo lo que compone tu software. Nuestro SCA tiene la capacidad de producir SBOMs precisos y completos para ti en diferentes formatos estandarizados (CycloneDX y SPDX). Consulta aquí más información sobre este proceso.

Ataques de phishing: Estos correos o mensajes engañosos, que suplantan la identidad de entidades o personas reales, pueden contener malware que se descarga en el dispositivo del receptor con solo hacer clic en un enlace malicioso, o pueden enviarse con la intención de engañar al destinatario para que revele información sensible, como sus credenciales de acceso. Esta táctica puede utilizarse tanto en empleados de empresas como en clientes. Algunos ejemplos son la estafa por phishing del banco OCBC de 2021, que provocó pérdidas de 13,7 millones de dólares y tenía como objetivo a los clientes de esta entidad de Singapur, y la campaña de spear-phishing de PerSwaysion, que vulneró las cuentas de correo electrónico de altos ejecutivos financieros.

Ingeniería social: Esta táctica consiste en manipular a las personas para que divulguen información sensible o realicen acciones que comprometan la seguridad. Los ataques de phishing son una forma de ingeniería social, pero los atacantes también pueden utilizar las redes sociales, las llamadas telefónicas o incluso hacerse pasar por personal de la empresa para engañar a los empleados. Algunos ejemplos son los hackers que engañaron a un empleado de la red interbancaria chilena Redbanc para que descargara un malware, dándoles acceso a información sensible, y la campaña Dyre Wolf de 2015 que utilizó ingeniería social avanzada para robar alrededor de 1 millón de dólares a empresas.

Ransomware: Este peligro latente cifra los datos críticos y bloquea los sistemas operativos hasta que se paga un rescate, interrumpiendo las operaciones y causando pérdidas. El ransomware puede distribuirse de diferentes formas. Algunos ejemplos son el ataque de ransomware de 2021 que afectó a la aseguradora estadounidense CNA Financial e interrumpió los servicios de empleados y clientes de la empresa, y el ataque de ransomware al que se enfrentó la aseguradora israelí Shirbit, cuya negación a pagar el rescate dio lugar a cuatro demandas colectivas de clientes afectados por la filtración de datos que ascendían a 360 millones de dólares.

Ataques de denegación de servicio (DDoS): Los ataques DDoS saturan un servidor con tráfico de Internet falso, haciendo que deje de estar disponible para los usuarios legítimos e interrumpiendo el servicio de la institución financiera. Estos ataques tan comunes pueden comprometer la banca en línea, las cuentas de los clientes, los portales de los empleados, etc. Algunos ejemplos son los ataques DDoS de 2022 a la Bolsa de Moscú y Sberbank que sacaron de servicio sus sitios web, y los ataques DDoS a entidades financieras holandesas (ABN Amro, ING y Rabobank) de 2018 que dejaron caídos sus servicios de banca en línea y aplicaciones móviles.

Amenazas internas: Esta forma de riesgo puede deberse a diferentes motivos: A veces, empleados descontentos o codiciosos pueden hacer un uso indebido de información sensible; otras veces, los datos pueden ser filtrados accidentalmente por empleados descuidados. Algunos ejemplos son el incidente de fraude en cajeros automáticos de Bank of America en 2010, en el que un empleado instaló malware en 100 cajeros y robó miles de dólares, y el empleado de Scotiabank quien puso en peligro varias cuentas de clientes al acceder a ellas sin una razón válida.

Ley Sarbanes-Oxley (SOX): Esta ley de 2002 es una ley federal que impone requisitos de información financiera y divulgación a todas las empresas estadounidenses que cotizan en bolsa y tiene como objetivo proteger a los inversores y prevenir el fraude contable.

Ley Gramm-Leach-Bliley (GLBA): Esta ley de 1999, también conocida como Ley de modernización de servicios financieros de 1999, es una ley federal estadounidense que obliga a las instituciones financieras a proteger la información financiera de los clientes y a implementar un programa de seguridad de datos.

Consejo de estándares de seguridad de la industria de tarjetas de pago (PCI DSS): Este conjunto de políticas y procedimientos rige la seguridad de los datos de los titulares de tarjetas, como números de tarjetas de crédito, fechas de caducidad y códigos de seguridad. Los controles de seguridad PCI DSS ayudan a las empresas a minimizar el riesgo de filtración de datos, fraude y usurpación de identidad.

Departamento de servicios financieros de Nueva York (NYDFS): Estas regulaciones de ciberseguridad tienen como objetivo garantizar que las instituciones financieras protejan los datos de sus clientes y los sistemas de información contra ataques.

Reglamento general de protección de datos (GDPR): Esta legislación de la Unión Europea exige la protección de los datos personales y obliga a aplicar normas estrictas en materia de tratamiento, almacenamiento y transferencia de datos a las organizaciones que manejan información personal de residentes en la UE.

Autenticación multifactor (MFA): Este tipo de autenticación concede acceso a los recursos únicamente después de que el usuario proporcione dos o más factores de verificación. La implementación de MFA refuerza la autenticación del usuario y evita el acceso no autorizado a datos y sistemas sensibles.

Encriptación de datos: Los datos confidenciales gestionados por las instituciones financieras deben estar siempre encriptados tanto en estado inactivo como en tránsito, para garantizar que, incluso si son interceptados por actores de amenazas, permanezcan ilegibles e inutilizables.

Seguridad de los puntos finales: Los puntos finales, como computadoras para escritorio, portátiles, teléfonos inteligentes y servidores, deben protegerse con antivirus u otro software que supervise los dispositivos para detectar actividades irregulares, intentos de acceso no autorizado, detección de malware y otras amenazas.

Control de parches: Las entidades financieras deben dar prioridad a aplicar a tiempo los parches de seguridad que los proveedores de software publican periódicamente para corregir las vulnerabilidades de sus productos.

Desarrollo de software seguro: Motivamos a nuestros clientes para que sigan las buenas prácticas de codificación segura, y realizamos pruebas de seguridad exhaustivas a lo largo del ciclo de vida de desarrollo de tu software (SDLC) con nuestras herramientas automatizadas y nuestro equipo de hackers certificados para identificar vulnerabilidades en tus aplicaciones e infraestructuras.

Identificación de vulnerabilidades: Nuestras soluciones, como el pentesting y el hacking ético, tienen como objetivo encontrar vulnerabilidades, las cuales son la puerta que necesitan los ciberdelincuentes para penetrar en tus sistemas. Utilizando herramientas de alto nivel, métodos y su valiosa experiencia, nuestro equipo de hacking ataca tu sistema (con tu permiso) de la misma forma que lo haría un actor malicioso. Con sus hallazgos, que recibirás a través de nuestra plataforma, podrás tomar una decisión informada sobre cómo proceder.

Gestión de vulnerabilidades: Una vez identificadas las vulnerabilidades de tu software, las cuales están detalladas en nuestra plataforma, pueden ser priorizadas, revisadas por tu equipo y asignadas al mismo, y una vez finalizado este proceso, puedes solicitar reataques para verificar su remediación. Desde la misma plataforma, puedes hacer un seguimiento de cómo va el proceso de mitigación o reducción de la exposición al riesgo. Además, ofrecemos recomendaciones de remediación y soporte a través de IA generativa y llamadas virtuales con hackers.