Bank of America gasta aproximadamente $1,000 millones al año en ciberseguridad. BofA no solo compra herramientas de seguridad, las construye, y cuenta con casi 6,600 patentes. La estrategia de BofA se centra en proteger el punto de contacto digital. Esto incluye implementar "Erica", un asistente virtual impulsado por IA que maneja consultas de rutina, ayudando a proteger al personal del centro de llamadas de ataques de ingeniería social.

Si bien los bancos comunitarios y medianos no tienen el presupuesto de estos gigantes globales, aun así pueden lograr una postura de seguridad sólida y resiliencia. 

Obtén más información sobre los aspectos esenciales de ciberseguridad para bancos.

Al evaluar cuáles bancos son los más seguros, surgen varios elementos innegociables:

Gobernanza sólida

Las mejores prácticas de ciberseguridad alinean los controles técnicos con la gobernanza empresarial. Las auditorías de la FFIEC frecuentemente citan a los bancos por los efectos de una gobernanza débil, particularmente una desalineación entre las políticas de alto nivel y los procedimientos de bajo nivel. Una gobernanza sólida se basa en el entendimiento de que el riesgo técnico es riesgo empresarial. Es responsabilidad de la junta directiva y la alta gerencia brindar supervisión y recursos para la ciberseguridad.

Inventario completo de activos

Solo puedes proteger lo que conoces. Por eso la guía de la FFIEC exige un inventario de todos los sistemas, incluyendo software de código abierto, APIs e imágenes de contenedores. Los bancos con mejor seguridad implementan soluciones de gestión continua de la superficie de ataque de activos (CAASM) que se integran con plataformas de infraestructura (VMware), servicios en la cloud (AWS, Azure), servicios de directorio (Active Directory), y herramientas de gestión de endpoints (Huntress) para construir un mapa en vivo del entorno. Estas herramientas correlacionan continuamente los datos para revelar TI en la sombra insegura y sirven como la única fuente de verdad para las decisiones de acceso.

Cifrado

La mejor práctica en cifrado ha evolucionado hacia la gestión de todo el ciclo de vida de los datos y las claves, anticipando amenazas futuras como la computación cuántica.

• Datos en reposo: Las organizaciones deben usar cifrado AES-256 para todos los datos estáticos. FIPS 140-3 es ahora el estándar objetivo para los módulos criptográficos.

• Datos en tránsito: Todo el tráfico interno y externo debe cifrarse usando TLS 1.2 o 1.3. 

• Datos en uso: Para los datos de pago (PANs), el cifrado es insuficiente debido al riesgo de robo de claves. La mejor práctica es la tokenización, donde los datos sensibles se reemplazan por un equivalente no sensible (token) que no tiene significado extrínseco. 

A medida que los bancos migran a la cloud, deben decidir una estrategia de gestión de claves. 

• Trae tu propia clave (BYOK): El banco genera claves en un módulo de seguridad de hardware (HSM) local y las importa al KMS del proveedor de la cloud.

• Conserva tu propia clave (HYOK): Para datos ultrasensibles, los bancos utilizan HYOK, donde los datos se cifran antes de salir del perímetro del banco. 

Los bancos también deben protegerse contra amenazas de "cosechar ahora, descifrar después" (HDNL), donde los adversarios roban datos cifrados para descifrarlos una vez que las computadoras cuánticas estén disponibles. Los bancos deben comenzar la transición a la criptografía poscuántica ahora.

MFA en todas partes

La presión regulatoria de la FFIEC y otros organismos ha transformado la MFA de una herramienta de "acceso remoto" a un requisito universal. Esto aplica ya sea que los empleados trabajen dentro de la sucursal bancaria o desde casa. Para aplicaciones heredadas y mainframes que no admiten MFA de forma nativa, los bancos utilizan capas de orquestación de identidad. Estos proxies se ubican frente a la aplicación heredada, aplicando MFA antes de dejar pasar al usuario. Cada vez más, los bancos están migrando a MFA resistente a phishing (más sobre esto a continuación).

La segmentación bloquea a los atacantes.

El marco de Zero Trust asume que la red ya está comprometida e implementa segmentación para asegurar que una intrusión en un punto de la red bloquee a un atacante de moverse lateralmente a otra parte más crítica de la red. La microsegmentación lleva esto un paso más allá. La estación de trabajo de un cajero solo debería poder comunicarse con el gateway específico de Infraestructura de Escritorio Virtual (VDI) requerido para su trabajo. Debería estar bloqueada por firewall para comunicarse con otras estaciones de trabajo de cajeros (evitando la propagación de gusanos punto a punto) o para acceder directamente al mainframe.  

El monitoreo continuo protege tu red.

Un enfoque de defensa en profundidad combina detección y respuesta de endpoints (EDR), detección y respuesta de amenazas de identidad (ITDR), y gestión de información y eventos de seguridad (SIEM) para un monitoreo continuo. Estas herramientas correlacionan señales de todos los entornos para detectar comportamientos que una sola herramienta podría pasar por alto, una capacidad crucial para la detección temprana de amenazas y para contener las amenazas que logran superar las defensas.

Los empleados capacitados superan a los hackers.

El phishing fue el principal vector de ataque inicial en 2025. A medida que los atacantes usan IA para hacer que estos mensajes sean aún más convincentes, educar a los empleados sobre cómo reconocer ataques de ingeniería social se vuelve aún más crucial. Los mejores bancos usan capacitación en concientización de seguridad (SAT) regular para construir un "firewall humano" en sus organizaciones.

Los sistemas de pago en tiempo real como FedNow y Real-Time Payments (RTP) han reducido la ventana para la detección de fraude de días a milisegundos. Para mantenerse al día, los bancos con la mejor protección contra fraude construyen un perfil de comportamiento integral para cada cliente, incluidas las huellas digitales del dispositivo, la geolocalización habitual, los patrones de gasto y la actividad según la hora del día. Los modelos de aprendizaje automático califican cada transacción en relación con esta línea base en tiempo real para detectar la toma de control de una cuenta (ATO).

Cuando una transacción se marca como riesgosa pero no definitivamente fraudulenta, la autenticación de "paso adicional" sirve como un punto de fricción crítico. Por ejemplo, un usuario que inicia una transferencia bancaria por encima de cierto umbral o hacia un nuevo beneficiario podría activar un desafío de paso adicional, como un escaneo biométrico (FaceID) o una notificación enviada a un token de autenticación registrado.

En caso de un ataque sofisticado, los bancos deben contar con interruptores de emergencia, la capacidad de "detener la hemorragia" al instante. Por ejemplo, el servicio FedNow cuenta con controles específicos para la mitigación de fraude, incluidas las "listas negativas", que bloquean transacciones hacia cuentas sospechosas, y límites de transacción dinámicos durante periodos de mayor actividad de amenazas.

Las credenciales comprometidas siguen siendo un vector principal de acceso inicial en las brechas del sector financiero, a pesar del uso generalizado de la autenticación multifactor (MFA). Los ataques han evolucionado, usando técnicas de "fatiga de MFA" y kits de herramientas de "atacante en el medio" (AitM) para evadir la MFA. La mejor práctica, y cada vez más una expectativa regulatoria, es adoptar autenticadores FIDO2/WebAuthn como las YubiKeys.

El acceso justo a tiempo (JIT) agrega otra capa de protección contra las credenciales robadas. En lugar de otorgar derechos de administrador permanentes, una herramienta de gestión de accesos privilegiados (PAM) le otorga a un usuario el permiso específico que necesita solo durante un período determinado. Esto genera un registro de auditoría, lo que cumple con los estrictos requisitos de registro de la FFIEC.   

Los bancos también deben protegerse contra las “cuentas zombi” que pertenecen a exempleados. Las auditorías de seguridad suelen encontrar estas cuentas activas, al igual que los hackers. Los sistemas de gobernanza y administración de identidades (IGA) deben estar estrechamente integrados con las plataformas de recursos humanos para revocar automáticamente las cuentas y el acceso de un empleado despedido, como su cuenta de Active Directory, certificados de VPN y tokens de sesión en la cloud. El procedimiento de desvinculación también debe rastrear los activos físicos, asegurando que se devuelvan las laptops y las llaves de autenticación por hardware.

Cuando la prevención falla, la calidad de la respuesta determina la magnitud del impacto. Los bancos con la mejor ciberseguridad desarrollan manuales específicos y detallados para escenarios de alta probabilidad, incluidos ransomware, compromiso de correo electrónico empresarial (BEC) y brechas de terceros. Sin embargo, un plan de respuesta a incidentes (IR) no está completo a menos que se pruebe y se practique. Los ejercicios de simulación (TTX) trimestrales deben involucrar a los equipos de TI, legal, liderazgo ejecutivo y comunicaciones para poner a prueba la toma de decisiones bajo presión.

Los planes de IR deben incluir mensajes preaprobados para los medios, los clientes y los reguladores. También deben detallar los procedimientos de cadena de custodia para preservar la evidencia destinada a investigaciones forenses, reguladores y aseguradoras.

El dispositivo móvil del cliente suele ser el eslabón más débil de la cadena de seguridad. Las aplicaciones móviles seguras que usan RASP (autoprotección de aplicaciones en tiempo de ejecución) integran la seguridad directamente en la aplicación de banca móvil, lo que le permite defenderse en un entorno hostil (por ejemplo, un teléfono infectado con malware). 

Para protegerte contra la suplantación de identidad, nunca uses SMS ni correo electrónico para comunicar información confidencial. Las confirmaciones de transacciones, las actualizaciones de saldo y las advertencias de fraude deben entregarse mediante notificaciones push dentro de la app, que están cifradas y autenticadas. Los documentos confidenciales (estados de cuenta, formularios fiscales) solo deben entregarse dentro del portal seguro de banca en línea.

La pieza final es educar al cliente sobre la prevención de la estafa. La campaña #BanksNeverAskThat de la American Bankers Association es un excelente ejemplo de educación efectiva al cliente, con humor, cuestionarios y videos atractivos para informar. Además, las advertencias en el momento justo durante las transacciones suelen ofrecer la educación más efectiva en el momento de riesgo.

Los bancos dependen de un ecosistema complejo de proveedores externos, desde procesadores centrales hasta socios fintech. Estas integraciones amplían enormemente la superficie de ataque. El año pasado, el compromiso de terceros fue el segundo vector de ataque inicial más común en todas las industrias.

La Office of the Comptroller of the Currency (OCC) exige un enfoque riguroso de "ciclo de vida" para la gestión de proveedores. Antes de asociarte con cualquier proveedor, revisa su postura de seguridad (informes SOC 2 Type II), sus planes de continuidad de negocio y sus propias dependencias de la cadena de suministro (riesgo de cuarto nivel).

Los contratos deben abordar requisitos de seguridad específicos, incluido el derecho a auditar, los SLA de notificación de brechas y la destrucción de datos al finalizar la asociación. Los bancos deben monitorear continuamente el desempeño y la postura de seguridad de los proveedores, utilizando herramientas como servicios de calificación de seguridad (por ejemplo, BitSight, SecurityScorecard). Para cada proveedor crítico, el banco debe mantener una estrategia de salida documentada y probada para que no queden cabos sueltos.

Los bancos deben ir más allá de las métricas superficiales (por ejemplo, "número de bloqueos del firewall") hacia métricas de rendimiento que reflejen una verdadera resiliencia operativa. Estas incluyen:

Métricas operativas

• Latencia de parcheo: El tiempo entre el lanzamiento de un parche crítico y su implementación. Las expectativas de la FFIEC para vulnerabilidades críticas a menudo exigen aplicar el parche en un plazo de 24 a 72 horas.

• Vulnerabilidades explotables sin mitigar: El total de fallas activas de alto riesgo que carecen de una solución. Dar seguimiento a esto ayuda a cuantificar la "ventana de oportunidad" actual para un atacante.

• Tiempo medio de detección (MTTD): El tiempo promedio entre la intrusión y su descubrimiento. El objetivo es reducirlo de días a minutos.

• Tiempo medio de contención (MTTC): El tiempo desde la detección hasta el aislamiento de la amenaza (por ejemplo, aislar un endpoint comprometido). Esta es la métrica más crítica para limitar el "radio de impacto" de un ataque de ransomware.

• Tiempo medio de respuesta (MTTR): El tiempo promedio que le toma a un miembro del equipo reconocer una alerta y comenzar a trabajar en ella.

• Tiempo medio de recuperación (MTTR): El tiempo promedio que toma restablecer un sistema después de que ocurre una falla.

Métricas estratégicas

• Tasa de aprobación de auditorías: El porcentaje de controles que aprueban las pruebas de auditoría internas o externas.

• Hallazgos de alto riesgo sin remediar: El número de vulnerabilidades críticas que siguen abiertas después de vencido su acuerdo de nivel de servicio (SLA) de remediación.

• Reducción de pérdidas por fraude: El valor financiero cuantificable ahorrado por los sistemas de detección de fraude (por ejemplo, "Se previnieron $5 millones en transferencias bancarias fraudulentas este trimestre").

Si bien los bancos más grandes con la mejor ciberseguridad pueden destinar presupuestos de miles de millones de dólares, los bancos comunitarios y medianos enfrentan las mismas amenazas sofisticadas con una fracción de los recursos. Huntress democratiza la seguridad de nivel bancario al ofrecer herramientas de nivel empresarial para la protección de endpoints, identidad, empleados y sistemas, respaldadas por expertos en amenazas y un SOC disponible las 24/7. Logra visibilidad de vanguardia, defensa de identidad, protección de endpoints y capacitación de empleados. Explora la plataforma de Huntress.