Los consumidores se preparan para inyectar en la economía digital una cifra estimada de «entre 843.000 y 859.000 millones de dólares este año, más del doble que en 2002, cuando las ventas totales de la temporada navideña alcanzaron apenas los 416.400 millones de dólares».
En última instancia, todo esto pasará por las entidades de servicios financieros. Tanto si los pagos se procesan mediante Apple Pay o Venmo, PayPal o una tarjeta de débito, siempre interviene una cuenta de una entidad de servicios financieros.
Esto, naturalmente, lleva a actores maliciosos a intentar acceder a esas cuentas, especialmente a través de empresas fintech. Ya sea mediante estafas, como las sufridas por los usuarios de Zelle o por los empleados del servicio de atención al cliente de Robinhood, o directamente mediante el relleno de credenciales o ataques de fuerza bruta, estos ataques pueden reportar grandes beneficios a quienes persisten en sus esfuerzos.
La mayoría de las brechas de seguridad exitosas de las que oímos hablar hoy en día se llevan a cabo directamente contra las interfaces de usuario de una entidad de servicios financieros: una aplicación web, un mensaje de texto o un correo electrónico. Por tanto, resulta preocupante considerar el posible impacto del crecimiento explosivo de las API que impulsa el ecosistema financiero digital, así como las implicaciones de los riesgos asociados a terceros, que las organizaciones delictivas están identificando rápidamente como un lucrativo vector de ataque.
Las API resultan cada vez más atractivas para las organizaciones delictivas
Hoy en día, los consumidores disponen de un ecosistema de pagos cada vez más diverso con el que financiar sus gastos navideños:
- Más de 2 de cada 3 compradores de la generación Z tienen previsto comprar a través de canales no tradicionales, como Instagram, WhatsApp y las retransmisiones en directo, durante estas fiestas.
- Según una encuesta de NPD de junio de 2021, más del 50 % de los consumidores afirma haber realizado compras a través de Instagram o Facebook. El 15 % de esos consumidores mencionó TikTok como una plataforma de redes sociales en la que descubren productos y obtienen información sobre ellos. (Fuente: Estadísticas y tendencias del comercio electrónico para las compras navideñas de 2021)
Un ecosistema de pagos próspero depende del uso de API para facilitar las transacciones financieras digitales. La estandarización responde a la necesidad de realizar transacciones rápidas y seguras para satisfacer la impaciencia de los consumidores y permitir que un negocio digital se adapte y crezca. Actualmente, el principal estándar es FDX (Financial Data Exchange) y, a fecha de septiembre de 2021, cuenta con 22 millones de cuentas de consumidores que utilizan la API de FDX para compartir datos de finanzas abiertas. Cabe destacar que esto ha provocado un aumento significativo del volumen de llamadas a la API, que se han disparado hasta alcanzar casi 2.000 millones al mes. (Fuente: FinExtra)
Un informe publicado recientemente por la Oficina del CTO de F5, «Proliferación continua de las API: retos y oportunidades en una economía impulsada por las API, señala la rápida proliferación de las API y los riesgos que esto plantea para la gobernanza y la seguridad.
El informe reveló que actualmente existen unos 200 millones de API, que sustentan desde los pagos digitales hasta los servicios de entretenimiento y permiten crear mercados sólidos. Para 2030, esa cifra podría alcanzar los 1.700 millones.
Junto con las conclusiones de la investigación de F5 Labs que muestran que el número de incidentes de seguridad de las API, muchos de ellos relacionados con terceros como las empresas fintech, aumenta cada año, las instituciones financieras tienen muchos más motivos de preocupación que la posibilidad de una actuación regulatoria inminente y las presiones competitivas.
Defender la economía digital
Proteger las API y proteger a los consumidores y las empresas frente al fraude es una prioridad cada vez mayor para las empresas digitales de todos los sectores, especialmente para las del sector de los servicios financieros.
Además: «Los distintos equipos de desarrollo que trabajan en varias aplicaciones suelen utilizar conjuntos de herramientas diferentes. Esto significa que los equipos de seguridad tradicionales pueden no disponer de un punto de control centralizado para aplicar las medidas de seguridad. Por ello, se necesita un conjunto estándar de herramientas que permita integrar los controles adecuados en los procesos de desarrollo y gestión de las API». (Fuente: Renuka Nadkarni, directora de tecnología de seguridad de F5, Proteja la API de FDX para defender los datos en la banca abierta)
La guía de soluciones de banca abierta de F5 ofrece un enfoque integral de las soluciones de F5 para la banca abierta. Además, Nadkarni señala que «FDX ha publicado recomendaciones exhaustivas sobre los controles que deben implementarse para proteger la información de las cuentas de los consumidores y la integridad de los servicios frente a amenazas y riesgos». Estos controles incluyen:
- Seguridad del software: control de las 10 principales vulnerabilidades de OWASP y otras vulnerabilidades del software, incluida la implementación de un firewall de aplicaciones web (WAF)
- Seguridad de redes y sistemas
- Seguridad operativa
- Seguridad física
- Continuidad del negocio y recuperación ante desastres
- Seguridad de los proveedores
- Patrones de diseño para autenticación/autorización, incluidos controles contra el relleno de credenciales
- Patrones para una arquitectura de gateway segura (SGA), incluidos controles de seguridad de API integrados en el gateway de API
Por último, es importante señalar que proteger los datos financieros, tanto en tránsito como en reposo, es cada vez más importante en una economía en la que lo digital es la opción predeterminada. Aunque el riesgo de fraude para las empresas es sin duda considerable, el riesgo para los consumidores es aún mayor.
Sobre el autor
Lori MacVittie es ingeniera distinguida y evangelista jefe en la Oficina del CTO de F5, y cuenta con una amplia experiencia en entrega de aplicaciones, estrategia de automatización e infraestructura. Es conocida por convertir la complejidad en claridad, ya sea definiendo mecanismos de protección para agentes de IA, analizando arquitecturas multinube frágiles o explorando los límites de los sistemas escalables. Aporta más de treinta años de experiencia en el sector en desarrollo de aplicaciones, arquitectura de TI y operaciones de redes y sistemas. Antes de incorporarse a F5, fue una galardonada editora de tecnología. MacVittie posee un máster en Informática y es una autora prolífica cuyas publicaciones abarcan la seguridad, la nube y la arquitectura empresarial. También es una apasionada de los juegos de mesa y los videojuegos, y expresa sin complejos sus firmes opiniones sobre el queso.
Más artículos de Lori Mac VittieArtículos relacionados del blog
Proteger los endpoints de las API dificulta la seguridad de las API
Descubre las complejidades de la seguridad de las API, los retos a los que se enfrentan las organizaciones, la evolución de los ataques contra endpoints de API y la necesidad de políticas de seguridad adaptadas.
¿Qué es el sesgo de la IA y por qué es importante para TI?
Descubre los fundamentos del aprendizaje de la IA. Aprende cómo pueden surgir sesgos en la IA y qué riesgos plantean para las TI y la transformación digital.
Redefiniendo la ciberseguridad en el extremo de la nube distribuida con IA y telemetría en tiempo real
La transformación digital y la adopción de tecnologías en la nube están provocando cambios en las arquitecturas de las aplicaciones. Estos cambios introducen nuevas superficies de ataque, que son el objetivo de métodos de ataque avanzados, altamente organizados y con motivaciones económicas. Mediante el uso del framework Morpheus de NVIDIA, F5 está investigando técnicas para detectar estas amenazas avanzadas con telemetría en tiempo real y análisis basados en IA.
El papel de la nube en las aplicaciones nativas del edge
No debería sorprender que, al igual que la aparición de la nube dio lugar a las aplicaciones nativas de la nube, el edge esté impulsando un conjunto de aplicaciones nativas del edge. Sin embargo, estas aplicaciones no residirán únicamente en el edge. Al mismo tiempo, están surgiendo nuevos patrones arquitectónicos que aprovechan las aplicaciones alojadas en la nube y en el centro de datos.
La creciente diversidad de ubicaciones y usuarios está impulsando a las empresas hacia el edge
En el contexto del ámbito de las aplicaciones, el término «usuario» siempre se ha referido a la entidad que interactúa con una aplicación. Del mismo modo que los cambios en las arquitecturas de las aplicaciones impulsan cambios en las tecnologías que permiten ofrecerlas y protegerlas, los cambios en la definición de usuario han provocado cambios en los lugares donde se despliegan las aplicaciones.
El edge está impulsando un renacimiento de las infraestructuras
A medida que las organizaciones aumentan la generación de datos y tratan de extraer valor empresarial de ellos, sin duda recurrirán a la analítica y la automatización basadas en la IA y el aprendizaje automático. Precisamente este tipo de cargas de trabajo son las que más se beneficiarían de una infraestructura optimizada y, sin embargo, hoy en día son las que menos probabilidades tienen de poder aprovecharla.