Riesgo, datos y automatización: así se defiende hoy sector financiero en la era de la inteligencia artificial

La ciberseguridad en el sistema financiero atraviesa una transformación acelerada. La flexibilidad regulatoria local, la irrupción de nuevas tecnologías y el avance sin precedentes del fraude digital colocaron a los bancos y empresas del sector en un escenario donde las amenazas evolucionan más rápido que la capacidad tradicional de respuesta.

Ese fue el eje del encuentro en El Cronista junto a Lumu Technologies, que reunió a CISOs y responsables de seguridad de bancos y compañías del ecosistema financiero. A lo largo de la conversación, se delinearon los puntos críticos que marcarán el trabajo de la industria en los próximos años.

Fraude digital: una amenaza que desplaza a los ataques tradicionales

Los ciberataques clásicos —como el ransomware o la denegación de servicios— siguen presentes, pero la preocupación central hoy es otra: la fuga de información y el fraude económico digital. Lejos de las estafas simples que proliferaron en pandemia, el escenario actual incluye bandas cada vez más organizadas que emplean herramientas mucho más sofisticadas.

Uno de los casos más citados fue Mecotio y Grandoreiro, tipos de malware que se instala en la computadora del usuario y permite al atacante operar como si fuera el propio cliente: utiliza sus credenciales, su dispositivo, su ubicación e incluso su multifactor sin que la persona lo note.

“Veníamos de ciberataques ya conocidos como puede ser denegación de servicios y ransomware, pero si nos tenemos que centrar el año pasado y este, lo que más nos afectó a la industria bancaria es el fraude bancario. Hubo un tipo de fraude que es a través de un malware llamado Mycotio que afectó sobre todo a Latinoamérica y dentro de Latinoamérica a Argentina sobre todo”, mencionó Pablo Paul, CISO del Banco CMF.

Con ese nivel de mimetización, detectar la intrusión se vuelve extremadamente difícil. El problema no está en la infraestructura del banco, sino en un territorio en el que la entidad tiene muy poca capacidad de control: el equipo del cliente.

“Es muy particular porque viene del lado del cliente. Es más complicado de aplicar contramedidas y detenerlo porque va a depender también de la seguridad que tenga el cliente”, Eddy Pérez, Líder de arquitectura de seguridad en Banco Hipotecario.

Esta nueva ola de fraudes redefinió la planificación estratégica de las áreas de seguridad. Según los CISOs, hoy la prioridad es anticipar comportamientos anómalos a nivel de usuarios y de red más que identificar ataques externos de alto impacto.

Ransomware y phishing: el riesgo de la reputación

El ransomware hoy enfrenta un ecosistema más preparado. Sin embargo, eso no implica menor riesgo. Los atacantes ajustaron su modelo: si ya no pueden extorsionar por la restauración de sistemas, lo hacen por la información robada. La amenaza pasó a ser la publicación de datos sensibles, algo que puede generar daños reputacionales severos y, en ciertos casos, derivar en acciones legales de clientes afectados.

Los especialistas coincidieron en que el phishing sigue siendo la puerta de entrada más frecuente. La sofisticación de las campañas, sumada a usuarios cada vez más activos en canales digitales, crea un ecosistema difícil de controlar. No obstante, en los últimos años los cibercriminales también se han enfocado en explotar los puntos ciegos de la cadena de suministro —especialmente en proveedores tecnológicos— que las organizaciones utilizan para ampliar su portafolio de soluciones digitales.

“La ciberseguridad o la protección en los canales digitales debería venir al lado de materias de las escuelas como Música o Ética; tenés que explicarlo. Las nuevas generaciones tienen que saber cómo protegerse”, Eduardo Sofía, CISO de Gire.

El problema central es estructural: la educación en ciberseguridad es prácticamente inexistente, incluso en niveles escolares. Muchos usuarios operan plataformas bancarias con total naturalidad, pero sin conocimientos mínimos de protección digital. Esta brecha habilita desde engaños simples hasta maniobras complejas de ingeniería social.

Los bancos han invertido en campañas de concientización, controles progresivos y validaciones de comportamiento, pero el consenso es claro: sin una alfabetización digital más amplia, el riesgo seguirá trasladándose hacia afuera del perímetro corporativo.

La presión del usuario: rapidez, cero fricción y máxima seguridad

El crecimiento del mobile banking modificó el vínculo entre usuarios y entidades financieras. Hoy, las expectativas combinan exigencias contradictorias como velocidad y disponibilidad permanente sin fallas, altos estándares de seguridad, incluso cuando el usuario no está dispuesto a completarlos, procesos sin fricción con mínimos pasos y validaciones invisibles.

En otras palabras, se espera que las aplicaciones sean “todo en uno”: ágiles, intuitivas y blindadas. La meta es detectar anomalías sin afectar la experiencia del usuario.

“El cliente quiere usar una plataforma que sea robusta, que esté siempre disponible, que sea segura y con dos clics y sin roce. No quiere un paso extra, que pida una foto... y quiere que sea seguro. Entonces el desafío es eso, es implementar controles que sean transparentes para el usuario”, señaló Paul.

Inversiones y talento: un ecosistema en búsqueda de equilibrio

Los últimos años mostraron un cambio cultural: la ciberseguridad ya no es un costo, sino un tema estratégico de directorio. Los incidentes globales, los ataques a empresas locales y la exposición mediática ayudaron a consolidar esa realidad.

“El dueño del producto o de una empresa, debe trabajar codo a codo con los líderes de ciberseguridad en el modelado y análisis de riesgos, amenazas y entender cuáles son las amenazas que se pueden enfrentar”, enfatizó el CISO de Gire.

Aun así, existe un problema que atraviesa a toda la industria: la falta de talento especializado e ciberseguridad. La demanda supera a la oferta, y muchas veces los equipos incorporan profesionales jóvenes con gran dominio tecnológico pero menor experiencia en seguridad, lo que requiere un esfuerzo adicional en recursos y tiempo para desarrollar las habilidades necesarias.

Los especialistas concuerdan y advierten que hoy es imposible depender de un “gurú” que monitoree manualmente todos los eventos. El volumen, la velocidad y la complejidad de los ataques obligan a automatizar procesos y a usar plataformas capaces de analizar comportamientos de forma continua y que sean fáciles de operar en el día a día. Esa combinación —personas capacitadas más tecnologías modernas apoyadas en IA, fáciles de integrar a la operación y que entreguen valor rápidamente — es el único modo de sostener una operación resiliente.

La irrupción de los agentes de IA y la urgencia regulatoria

La adopción de inteligencia artificial en áreas operativas avanzó mucho más rápido de lo previsto. Proyectos que se pensaban para 2026 ya están en marcha, impulsados por áreas de negocio que buscan optimizar tiempos y procesos.

“Tenía proyectado la implementación de seguridad en inteligencia artificial para el 2026 y ya la tengo en la negociación. Se aceleró en el último cuatrimestre del año, se disparó”, mencionó el ejecutivo de Banco Hipotecario.

Pero este crecimiento acelerado abre nuevos riesgos como agentes capaces de operar transacciones sin supervisión técnica, integraciones con sistemas sin controles previos adecuados, uso de modelos no autorizados en áreas sensibles, entre otros.

“He tenido que establecer procedimientos y normas estrictas para regular y controlar la forma en que se implementa la inteligencia artificial, garantizando su uso seguro y responsable, incluso llegando a limitar el uso de ciertas funcionalidades, modelos y agentes de IA cuando estos representan un riesgo al negocio”, aseveró Eddy Pérez.

Los expertos anticipan que la próxima gran batalla será distinguir entre agentes legítimos y agentes maliciosos que imiten el comportamiento de usuarios o empleados. Esa línea se volverá cada vez más difusa.

Frente a este nuevo escenario, algunos bancos ya comenzaron a establecer reglas internas para limitar qué modelos se pueden usar, en qué entornos y bajo qué auditorías.

Muchas compañías adoptaron estándares como PCI DSS, SOC 1, SOC 2, ISO 27001, y formalizaron políticas de cumplimiento para demostrar su madurez y reducir el riesgo asociado a la interdependencia tecnológica.

Regulaciones y gobierno de datos: el otro frente pendiente

A pesar del avance en prácticas internas, varios expertos remarcaron que la legislación argentina en materia de protección de datos está desactualizada y no acompaña la velocidad del mercado digital.

Las normas vigentes tienen más de una década y no contemplan escenarios actuales como IA, agentes autónomos, biometrías avanzadas o compromisos de cadena de suministro. Existen iniciativas que buscan modernizar la ley siguiendo estándares europeos (como el GDPR), pero todavía no fueron implementadas.

“Todos estamos de acuerdo en que la regulación habilita ciertas buenas prácticas, pero la regulación no significa seguridad. El cumplimiento te permite generar procesos de reclamaciones, pero no te protege ante el primer riesgo; no impide que te roben”, Cristian Torres, Director de marketing para Latinoamérica de Lumu Technologies.

Esta brecha impacta en la capacidad de los bancos para gestionar riesgos, definir responsabilidades y coordinar políticas que involucren a múltiples áreas, desde tecnología hasta fraude y gobierno de datos.

“Un desafío para los CISOs es estar en la entrada del desarrollo, porque muchas veces seguridad llegaba a lo último y era visto como un obstáculo. Es importante que el CISO tenga mucho más peso dentro del board y sea tomado como un par; que digan: ‘Vamos a desarrollar esto y quiero que estés desde el arranque en la seguridad de este producto’”, Pedro Pérez, Líder de ventas para el Cono Sur de Lumu Technologies.

En un entorno donde las amenazas cambian de forma constante —impulsadas por la creatividad criminal, la tecnología y la presión del mercado—, los bancos apuestan por anticipación, resiliencia y colaboración.

El futuro del sector dependerá de ese equilibrio: un modelo donde cada capa —usuarios, empresas, proveedores y Estado— adopte un rol activo para sostener la confianza digital.

“Hay una comunidad muy grande, por lo menos en Argentina, de CISOS en el cual colaboramos, interactuamos y cuando le pasa a uno se colabora mucho... La seguridad no es un producto, es un proceso y lo hacemos entre todos. Con lo cual somos responsables todos”, concluyó Sofía en conjunto con los especialistas.