¿De qué sirve blindar tus sistemas si las claves de acceso quedan expuestas?
Entrepreneur en Espanol ·
Un reciente ataque con agentes de IA contra instituciones financieras de Latinoamérica puso el foco en un riesgo básico: las credenciales mal protegidas. The post ¿De qué sirve blindar tus sistemas si las claves de acceso quedan expuestas? appeared first on Entrepreneur en Espanol .
Durante años, la industria financiera ha destinado importantes recursos a fortalecer la seguridad de sus operaciones, desde mejorar los mecanismos de autenticación hasta incorporar herramientas de monitoreo e infraestructuras capaces de procesar millones de transacciones. Sin embargo, una investigación reciente vuelve a poner sobre la mesa un problema que solemos subestimar: incluso los sistemas más sofisticados pueden quedar expuestos cuando las credenciales que permiten acceder a ellos no están debidamente protegidas .
La firma de ciberseguridad Straiker reveló una operación atribuida al grupo CyberCartel, que utilizó agentes de inteligencia artificial (IA) para identificar vulnerabilidades y recopilar información sensible de instituciones financieras en Latinoamérica. Entre los hallazgos se identificaron 4,493 registros, incluidas 391 llaves de API, 67 contraseñas en texto plano y diversas credenciales criptográficas, algunas potencialmente relacionadas con el Sistema de Pagos Electrónicos Interbancarios (SPEI) .
Aunque todavía no se conoce el alcance de las afectaciones ni se han cuantificado pérdidas económicas, el caso deja una pregunta que merece atención: ¿de qué sirve invertir tanto en proteger una infraestructura si las credenciales que permiten acceder a ella pueden terminar en manos equivocadas?
Relacionado: Cuando el dinero deja de viajar y empieza a tomar decisiones
Durante mucho tiempo nos hemos concentrado en impedir que alguien vulnere nuestros sistemas, pero hemos prestado menos atención a lo que ocurre cuando un atacante consigue las llaves que permiten acceder a ellos. En el sector financiero, estas son indispensables para autenticar operaciones y proteger información, aunque de poco sirve contar con algoritmos de cifrado avanzados si las credenciales terminan almacenadas en archivos o aplicaciones sin los controles necesarios.
Esto no significa que una credencial comprometida permita realizar transferencias en SPEI de manera automática, pues existen controles adicionales, pero sí nos obliga a cuestionar qué tan seguros son nuestros sistemas cuando no tenemos suficiente control sobre las llaves que los protegen.
El caso CyberCartel también muestra cómo la IA está cambiando la velocidad de los ataques. Hoy es posible automatizar tareas que antes requerían mucho más tiempo, mientras algunas organizaciones todavía enfrentan dificultades para identificar dónde están sus llaves, quién puede utilizarlas y cuáles deberían haberse sustituido, incluso después de corregir una vulnerabilidad, una credencial expuesta puede seguir representando un riesgo si permanece activa.
El Instituto Nacional de Estándares y Tecnología de Estados Unidos (NIST) lleva años señalando la importancia de administrar las llaves criptográficas durante todo su ciclo de vida, algo que resulta particularmente complejo cuando conviven plataformas heredadas, proveedores externos y sistemas que deben comunicarse entre sí.
Desde mi perspectiva, seguimos cometiendo un error al considerar la gestión criptográfica como una responsabilidad exclusiva de los equipos técnicos. Una llave comprometida puede afectar la continuidad operativa, facilitar un fraude y poner en riesgo la confianza entre instituciones, por lo que su administración también debería formar parte de las decisiones de negocio. La dirección necesita saber qué sistemas podrían quedar expuestos, cómo se revocarían los accesos y cuánto tiempo tomaría recuperar la operación.
Esta misma capacidad será indispensable para enfrentar la transición hacia la criptografía poscuántica. En 2024, el NIST publicó estándares diseñados para resistir determinados ataques de futuras computadoras cuánticas, pero difícilmente podremos adoptar nuevos algoritmos si desconocemos dónde se utilizan los actuales o qué procesos dependen de ellos. La criptografía poscuántica no resolverá una mala administración de credenciales, aunque sí nos exige tener mayor control sobre nuestra infraestructura.
La investigación sobre CyberCartel no demuestra que el SPEI haya sido vulnerado, pero ofrece una oportunidad para revisar cómo protegemos los mecanismos que autentican y autorizan las operaciones. México cuenta con una infraestructura que permite mover recursos prácticamente en tiempo real y mantener esa confianza requiere que la seguridad evolucione junto con los riesgos. La IA seguirá ampliando las capacidades de los atacantes y la computación cuántica traerá nuevos desafíos. Sin embargo, mientras destinamos recursos a prepararnos para amenazas cada vez más sofisticadas, seguimos enfrentando riesgos tan básicos como una llave expuesta o una credencial que nunca se sustituyó.
The post ¿De qué sirve blindar tus sistemas si las claves de acceso quedan expuestas? appeared first on Entrepreneur en Espanol .