En la reciente FDX Global Summit Spring 2021, participé como panelista en representación de F5, junto con otros panelistas de Cequence Security y Mastercard-Nudata. Hablamos sobre la labor del grupo de trabajo de seguridad de las API de FDX, que reúne a instituciones financieras, agregadores y proveedores de seguridad para colaborar en la definición de un estándar de banca abierta y segura para el intercambio de datos.
Financial Data Exchange (FDX) es una organización sin ánimo de lucro centrada en desarrollar el estándar de API (interfaz de programación de aplicaciones) de FDX para crear un estándar de datos interoperable común. Esto permite a consumidores y empresas acceder a sus datos financieros de forma fiable y segura, y sentará las bases de referencia para la banca abierta en Estados Unidos y Canadá.
La banca abierta ofrece una oportunidad apasionante para impulsar la innovación y la colaboración en el sector de los servicios financieros, al permitir que las empresas fintech y otros terceros autorizados innoven y presten servicios de valor añadido utilizando la información financiera de los consumidores. Los estándares de banca abierta permiten a los consumidores dar su consentimiento y autorizar a terceros un acceso seguro y granular a datos financieros específicos (p. ej., saldos y transacciones) y a determinadas funciones (p. ej., pagos). Los terceros y las empresas fintech tienen ante sí interesantes posibilidades para ofrecer servicios de valor añadido, entre ellos:
- Agrupación en un único lugar de cuentas y servicios de varias entidades
- Iniciación de pagos
- Comparación de productos financieros
- Prestar servicios bancarios que la entidad aún no ofrece
- Proporcionar decisiones e información basadas en datos financieros, como la verificación de identidad, la evaluación de la capacidad de pago del crédito, etc.
F5 ha colaborado estrechamente con nuestros clientes del sector de los servicios financieros de todo el mundo en la implementación y protección de API de banca abierta. F5 y Twimbit colaboraron para publicar un estudio sobre las tendencias mundiales de la banca abierta.
Valor intrínseco de la información financiera de los consumidores
La información financiera de los consumidores es una mercancía que se comercializa en los mercados de la web oscura por entre 35 USD (en el caso de cuentas con saldos bajos que pueden utilizarse como cuentas mula para cometer otros fraudes) y 150 USD o más (en el caso de cuentas con saldos más elevados). Este valor de mercado relativamente bajo se debe a la enorme oferta de cuentas y credenciales comprometidas disponibles. Por ello, los ciberdelincuentes han recurrido a la automatización —mediante APIs— para ampliar la escala de sus operaciones, en las que se comercializan miles de cuentas robadas. En consecuencia, las APIs financieras se han convertido en una de las principales superficies de ataque que deben protegerse.
Los atacantes se centran en las API de la banca abierta
En los últimos tiempos, los ciberdelincuentes que atacan al sector de los servicios financieros están empezando a centrar cada vez más sus ataques en las interfaces de programación de aplicaciones (API). Las aplicaciones han evolucionado hacia un modelo cada vez más distribuido y descentralizado, en el que las API actúan como puntos de conexión. Las investigaciones más recientes de F5 muestran que el número de incidentes de seguridad relacionados con las API aumenta cada año y que la mayoría de los registrados durante los dos últimos años estuvieron vinculados a un bajo nivel de madurez en materia de seguridad, a menudo provocado por la proliferación de herramientas. Los distintos equipos de desarrollo que trabajan en varias aplicaciones suelen utilizar conjuntos de herramientas diferentes. Esto significa que los equipos de seguridad tradicionales pueden carecer de un punto de control centralizado desde el que aplicar las medidas de seguridad. Por ello, se necesita un conjunto estándar de herramientas que permita integrar los controles adecuados en los procesos de desarrollo y gestión de las API.
Una evolución: OFX y el screen scraping
Las API no son la única superficie de ataque que requiere atención. Tradicionalmente, los terceros y los agregadores financieros que han necesitado acceder a los datos de los consumidores han recurrido a dos mecanismos:
- OFX (Open Financial eXchange), que se creó inicialmente para conectar aplicaciones financieras de consumo (p. ej., MS Money, Intuit QuickBooks) con las entidades financieras de un usuario.
- Extracción de datos de pantalla: los consumidores facilitan sus credenciales bancarias a un tercero, que inicia sesión y extrae esa información del canal web de servicios financieros.
Los atacantes pueden utilizar OFX como canal para llevar a cabo ataques a gran escala de relleno de credenciales, validación y apropiación de cuentas, tanto directamente como a través de agregadores financieros:
- F5 observa habitualmente que los atacantes utilizan OFX como canal para llevar a cabo ataques a gran escala de relleno de credenciales, validación de cuentas y apropiación de cuentas, tanto directamente como a través de agregadores financieros.
- Proporcionar credenciales a terceros para el screen scraping expone dichas credenciales a las medidas de seguridad de esos terceros.
- Estos mecanismos no permiten al consumidor otorgar un consentimiento granular ni controlar con precisión a qué información puede acceder el tercero, lo que da lugar a vulneraciones de la privacidad.
OFX se ha unido a FDX y, en última instancia, ambos convergerán en un estándar unificado, lo que brinda la oportunidad de modernizar los controles de seguridad y abordar los retos de seguridad del pasado. Los enfoques basados en el screen scraping siguen suponiendo un reto para las entidades financieras.
Recomendaciones para mejorar la seguridad
FDX ha publicado recomendaciones exhaustivas sobre los controles que deben implementarse para proteger la información de las cuentas de los consumidores y la integridad del servicio frente a amenazas y riesgos. Estos controles incluyen:
- Seguridad del software: controles para las 10 principales vulnerabilidades de OWASP y otras vulnerabilidades del software, incluida la implementación de un cortafuegos de aplicaciones web (WAF)
- Seguridad de redes y sistemas
- Seguridad operativa
- Seguridad física
- Continuidad del negocio y recuperación ante desastres
- Seguridad de los proveedores
- Patrones de diseño para la autenticación/autorización, incluidos controles contra el relleno de credenciales
- Patrones para una arquitectura de gateway segura (SGA), incluidos controles de seguridad de API integrados en el gateway de API
Por último, soluciones de banca abierta de F5 ofrece un enfoque integral de las soluciones de F5 para la banca abierta.
Un agradecimiento especial a los miembros de nuestro equipo de Servicios Financieros que han contribuido a este artículo: Benn Alp, Chad Davis y Andy Franklin.
Sobre el autor
Artículos relacionados del blog
Proteger los endpoints de las API dificulta la seguridad de las API
Descubre las complejidades de la seguridad de las API, los retos a los que se enfrentan las organizaciones, la evolución de los ataques contra endpoints de API y la necesidad de políticas de seguridad adaptadas.
¿Qué es el sesgo de la IA y por qué es importante para TI?
Descubre los fundamentos del aprendizaje de la IA. Aprende cómo pueden surgir sesgos en la IA y qué riesgos plantean para las TI y la transformación digital.
Redefiniendo la ciberseguridad en el extremo de la nube distribuida con IA y telemetría en tiempo real
La transformación digital y la adopción de tecnologías en la nube están provocando cambios en las arquitecturas de las aplicaciones. Estos cambios introducen nuevas superficies de ataque, que son el objetivo de métodos de ataque avanzados, altamente organizados y con motivaciones económicas. Mediante el uso del framework Morpheus de NVIDIA, F5 está investigando técnicas para detectar estas amenazas avanzadas con telemetría en tiempo real y análisis basados en IA.
El papel de la nube en las aplicaciones nativas del edge
No debería sorprender que, al igual que la aparición de la nube dio lugar a las aplicaciones nativas de la nube, el edge esté impulsando un conjunto de aplicaciones nativas del edge. Sin embargo, estas aplicaciones no residirán únicamente en el edge. Al mismo tiempo, están surgiendo nuevos patrones arquitectónicos que aprovechan las aplicaciones alojadas en la nube y en el centro de datos.
La creciente diversidad de ubicaciones y usuarios está impulsando a las empresas hacia el edge
En el contexto del ámbito de las aplicaciones, el término «usuario» siempre se ha referido a la entidad que interactúa con una aplicación. Del mismo modo que los cambios en las arquitecturas de las aplicaciones impulsan cambios en las tecnologías que permiten ofrecerlas y protegerlas, los cambios en la definición de usuario han provocado cambios en los lugares donde se despliegan las aplicaciones.
El edge está impulsando un renacimiento de las infraestructuras
A medida que las organizaciones aumentan la generación de datos y tratan de extraer valor empresarial de ellos, sin duda recurrirán a la analítica y la automatización basadas en la IA y el aprendizaje automático. Precisamente este tipo de cargas de trabajo son las que más se beneficiarían de una infraestructura optimizada y, sin embargo, hoy en día son las que menos probabilidades tienen de poder aprovecharla.