En apenas unos años, la banca abierta —el uso de API abiertas para permitir que terceros desarrollen productos y servicios a partir de la oferta de bancos, compañías de seguros y otras instituciones financieras— ha transformado el panorama de los servicios financieros.
La posibilidad de aprovechar los productos de servicios financieros existentes para crear nuevas ofertas en ámbitos como los préstamos, los pagos y los seguros ha facilitado enormemente a los consumidores realizar transacciones, gestionar sus finanzas y controlar sus datos personales. Al mismo tiempo, los protocolos de API abiertas están impulsando la innovación en todo el sector de los servicios financieros y generando importantes fuentes de ingresos para las entidades financieras. Además, con el reciente lanzamiento de FDX API 5.0, que establece estándares de seguridad, interoperabilidad y rendimiento de las API, así como con la próxima fecha límite de la PSD2 para la autenticación reforzada de clientes (SCA) en la Unión Europea, sin duda surgirán más innovaciones y nuevas oportunidades de ingresos.
Pero donde hay beneficios, inevitablemente también hay riesgos. Por su propia naturaleza, las API abiertas exponen los datos internos y de los clientes a terceros, lo que aumenta su vulnerabilidad ante el acceso de agentes maliciosos. Esto resulta especialmente preocupante en el caso de los agregadores de cuentas, que, como Mint y Plaid, permiten ofrecer servicios financieros modernos a los consumidores. Siga leyendo para descubrir cómo los agentes maliciosos utilizan los agregadores para atacar y defraudar a bancos, aseguradoras y otras instituciones financieras.
Riesgo creciente: cómo los agregadores y los proveedores de pagos externos facilitan el relleno de credenciales y la apropiación de cuentas
Los agregadores de cuentas financieras pueden aportar un valor real a los consumidores al ofrecerles una visión unificada de su vida financiera en una sola pantalla. También benefician a las entidades financieras al reducir las fricciones en las transacciones y generar nuevas fuentes de ingresos. Por eso, muchas entidades financieras flexibilizan sus procedimientos de seguridad al conectarse con agregadores. Sin embargo, dado que pueden almacenar datos de cientos de millones de cuentas, los agregadores son objetivos atractivos para los ciberdelincuentes, especialmente los de menor tamaño, que pueden carecer de la financiación y la sofisticación en materia de seguridad de otros competidores más consolidados.
El aumento de los datos de cuentas robados a disposición de los ciberdelincuentes, por su parte, está impulsando los ataques automatizados de relleno de credenciales, en los que los ciberdelincuentes intentan acceder a cuentas mediante redes de bots y credenciales robadas. Estos ataques se han convertido en un problema considerable para las entidades financieras, ya que provocan importantes filtraciones de datos y cuantiosas pérdidas económicas, hasta el punto de que el FBI emitió recientemente una advertencia formal al sector financiero estadounidense sobre la amenaza que supone el relleno de credenciales.
La consecuencia más alarmante del auge del relleno de credenciales es el aumento de las apropiaciones de cuentas (ATO), mediante las cuales los atacantes toman el control de las cuentas a las que han conseguido acceder para retirar fraudulentamente sus fondos. Según Javelin Strategy and Research, en su Estudio sobre fraude de identidad de 2021, el fraude mediante ATO provocó pérdidas totales superiores a 6.000 millones de dólares en 2020.
La encuesta también calculó el coste medio de los ataques de relleno de credenciales y descubrió, sorprendentemente, que puede ascender a más de seis veces los ingresos generados por los usuarios activos mensuales.
Los riesgos no acaban ahí y, por desgracia, son más graves de lo que algunos podrían pensar. Los ciberdelincuentes saben que es menos probable que se bloquee el tráfico de los agregadores, por lo que suelen utilizarlos como puertas traseras para acceder a las entidades financieras. En 2019, por ejemplo, el gigante de los servicios financieros NCR Corp. consideró necesario impedir temporalmente que determinados agregadores accedieran a su plataforma de banca digital cuando detectó una oleada de apropiaciones automatizadas de cuentas procedentes de ellos.
Al abrir sus API a los agregadores, las entidades financieras también aumentan el riesgo para el rendimiento de los sistemas, ya que provocan o contribuyen a generar picos de tráfico. Esto se debe, en parte, a que los agregadores se encuentran entre los principales usuarios de las API de banca abierta y generan el 20 % del tráfico de un banco típico. Otro factor, según el FBI, es que los ataques de relleno de credenciales pueden someter los sistemas de autenticación de las entidades financieras a tal presión que estas llegan a creer que están sufriendo un ataque de denegación de servicio.
En definitiva, la banca abierta expone a las entidades financieras a riesgos significativos y generalizados. Por eso, en F5 adoptamos un enfoque estratégico para ayudar a las entidades financieras a gestionar y proteger las API de banca abierta.
Ayudamos a las entidades financieras a adoptar la banca abierta de forma segura
F5 ya es líder en la prestación de gestión de API, puertas de enlace de API de alto rendimiento y controles de seguridad avanzados mediante una solución integral que reduce la proliferación de herramientas y limita la complejidad arquitectónica.
F5 supervisa en tiempo real los intentos de inicio de sesión en cuentas de entidades financieras, lo que permite a estas distinguir entre usuarios reales, bots y procesos automatizados, así como intentos de fraude manuales (realizados por personas). Nos gusta pensar que esta es una de las razones por las que los 15 principales bancos comerciales de EE. UU. utilizan las soluciones de F5. Ahora estamos innovando para ampliar nuestro conjunto de soluciones y ofrecer un soporte aún más completo para la banca abierta.
En los próximos meses, F5 presentará más novedades sobre banca abierta, centradas en temas como una mejor gestión del tráfico procedente de agregadores y la protección frente a ataques a las API.
Un ejemplo es nuestro producto Aggregator Management, que ofrece a los clientes de F5 de la comunidad de banca abierta una mayor visibilidad del tráfico de las API, detección automática del relleno de credenciales y del tráfico anómalo, así como la posibilidad de limitar los privilegios de acceso al contenido de los agregadores. Para las entidades financieras, esto se traduce en un control más granular de los agregadores, una mayor protección de las cuentas de los consumidores frente al fraude, una mayor disponibilidad de las aplicaciones y un menor riesgo.
¡Manténgase al tanto! Mientras tanto, obtenga más información sobre los riesgos de la banca abierta y cómo protegerse frente a ellos:
- Vea nuestro seminario web, «Tendencias, retos y oportunidades de la banca abierta», para obtener más información sobre la banca abierta.
- Descubre nuestra solución de gestión de agregadores.
- Descubre un plan de acción para protegerte frente a los ataques de bots en la banca abierta.
- Realice nuestra evaluación de amenazas para comprobar la eficacia de la seguridad actual de sus API.
- Descubra cómo F5 puede ayudar a las organizaciones a prevenir los ataques de apropiación de cuentas (ATO) sin añadir obstáculos para los usuarios.
- Descubra cómo la tecnología de Shape ayudó a uno de los 10 principales bancos de Norteamérica a eliminar el relleno de credenciales.
Sobre el autor
Artículos relacionados del blog
Cree servicios públicos seguros, resilientes y preparados para la IA con F5 y AWS
Descubre cómo las organizaciones del sector público pueden modernizar de forma segura sus aplicaciones y soluciones de IA, al tiempo que gestionan los sistemas heredados, el cumplimiento normativo y el riesgo operativo.
Protección de los sistemas de IA: por qué la seguridad debe avanzar al ritmo de la innovación
Desde acelerar avances revolucionarios en medicina y educación hasta transformar la vida cotidiana, la IA está cambiando nuestra forma de vivir y trabajar. Pero también ofrece grandes oportunidades a los ciberdelincuentes.
Avanzar hacia la optimización digital tras la transformación
Descubre estrategias de optimización digital para garantizar políticas de seguridad coherentes, impulsar la madurez de la transformación digital y superar los retos de la transformación.
Proyecto de código abierto destacado: mayor observabilidad con F5 Cloud Logger iApp
En el punto de mira del código abierto: cómo aumentar la observabilidad. Lee el blog de F5 para descubrir cómo exportar fácilmente la telemetría de BIG-IP a plataformas modernas de análisis en la nube.
El estado de la entrega de aplicaciones en 2018: la transformación digital impulsa la automatización y la multinube pese a las preocupaciones de seguridad
Descubre las principales conclusiones del cuarto informe anual de F5 sobre el estado de la entrega de aplicaciones.
Estado de la entrega de aplicaciones en 2017: automatización, API y DevOps
Descubre el informe sobre el estado de la entrega de aplicaciones de 2017. Lee el blog retrospectivo de F5 sobre los inicios del auge de las redes declarativas y los flujos de DevOps.