En 2025, los ecosistemas interconectados de bancos, empresas fintech, proveedores de pagos y proveedores externos se han convertido en la norma del sector, transformando profundamente el panorama mundial de los servicios financieros. Impulsado por las API, por la demanda de los titulares de cuentas de experiencias financieras fluidas y personalizadas, y por la creciente adopción de casos de uso de la IA —como los relacionados con el intercambio de datos—, el movimiento de las finanzas abiertas sigue creciendo.
Por desgracia, a medida que los sistemas financieros están más interconectados, los riesgos de seguridad aumentan exponencialmente. Las mismas características que hacen atractivos los ecosistemas de finanzas abiertas —el intercambio de datos, la colaboración con terceros y una mayor accesibilidad— son también las que los hacen vulnerables.
“Las mismas características que hacen atractivos los ecosistemas de finanzas abiertas —los datos compartidos, la colaboración con terceros y una mayor accesibilidad— son también las que los hacen vulnerables.”
Para destacar en 2025, las instituciones financieras deben adoptar estrategias de seguridad proactivas y sólidas que aborden los retos específicos de las finanzas abiertas. Analicemos los principales riesgos y las medidas concretas necesarias para reforzar el futuro de los ecosistemas financieros abiertos.
Riesgos críticos de seguridad de las finanzas abiertas en 2025
A medida que maduran los ecosistemas de servicios financieros, ciertos retos de seguridad están llamados a destacar entre las posibles vulnerabilidades. Estos son tres de los riesgos más acuciantes de las finanzas abiertas que las entidades deben abordar en 2025.
1. Vulnerabilidades de las API
Las API son el eje central de las finanzas abiertas. Facilitan el intercambio de datos financieros entre bancos, empresas fintech y aplicaciones de terceros, lo que permite a los consumidores acceder fácilmente a servicios innovadores. Sin embargo, dado que actúan como la «puerta de entrada» a sistemas sensibles, las API también son objetivos prioritarios para los atacantes.
Principales amenazas:
- Las API que no estén suficientemente protegidas pueden permitir que los atacantes intercepten o roben datos confidenciales.
- Las vulnerabilidades, como los ataques de inyección, la autorización a nivel de objeto deficiente (BOLA) o una autenticación inadecuada, pueden permitir que terceros no autorizados accedan a cuentas de clientes o sistemas financieros.
2. Riesgos de terceros
En una reciente publicación del blog tecnológico del sitio web de JPMorganChase, titulada «Carta abierta a los proveedores externos», el CISO de la empresa afirmó: «Nos encontramos en una coyuntura crítica. Los proveedores deben volver a priorizar urgentemente la seguridad y situarla al mismo nivel o por encima del lanzamiento de nuevos productos». Estas redes de proveedores externos (TPP) a las que se refiere el CISO son la base de las finanzas abiertas. Aunque estas colaboraciones y alianzas entre los TPP y las entidades financieras impulsan la innovación, también crean puntos de entrada adicionales para los atacantes. Una vulnerabilidad de seguridad en el sistema de un solo socio, por pequeño que sea, podría poner en peligro todo el ecosistema.
Muchas entidades financieras incluyen ahora en sus sitios web advertencias en las que aconsejan a los consumidores actuar con cautela respecto a los proveedores externos (TPP), como los agregadores, debido a los posibles riesgos asociados. Estas advertencias recuerdan a los consumidores que compartir sus credenciales contraviene las condiciones de sus contratos y que las entidades financieras no se responsabilizarán de ningún perjuicio derivado de dicha práctica.
Principales amenazas:
- Los proveedores que no hayan sido evaluados adecuadamente o que no cumplan las normas aplicables podrían introducir vulnerabilidades que expongan a los usuarios a posibles abusos dentro del sistema.
- El acceso con permisos excesivos concedido a desarrolladores externos puede dejar expuestos datos financieros confidenciales o determinadas funcionalidades.
3. Cuestiones relacionadas con la protección de la información personal
Compartir información confidencial de los consumidores —como historiales de transacciones financieras y saldos de cuentas— entre múltiples plataformas es un requisito fundamental de las finanzas abiertas. Aunque este intercambio de datos sustenta nuevos servicios, también aumenta la exposición a amenazas como las filtraciones y el uso indebido. Además, los consumidores esperan una mayor privacidad de los datos y el cumplimiento de normativas como el Reglamento General de Protección de Datos (RGPD) de la Unión Europea, la Directiva de Servicios de Pago 2 (PSD2) y normas API sólidas relacionadas con las finanzas abiertas, como Financial Data Exchange (FDX).
Principales amenazas:
- Filtraciones de datos derivadas de un cifrado insuficiente o de prácticas inadecuadas al compartirlos.
- Daños legales y reputacionales derivados de no proteger la privacidad de los consumidores.
Directrices clave para proteger las finanzas abiertas en 2025
Las instituciones financieras deben dar prioridad a la seguridad para gestionar estos riesgos de forma eficaz y sentar unas bases sólidas para las finanzas abiertas. A continuación, se presentan dos recomendaciones esenciales que, una vez aplicadas, también ayudarán a las empresas financieras a proteger la información personal mediante un cifrado más robusto, una autenticación más estricta y un control de acceso más granular.
1. Refuerce la seguridad de las API para hacer frente a las amenazas en constante evolución
Dado que las API son fundamentales para las finanzas abiertas, protegerlas debe ser una prioridad absoluta. Garantizar la seguridad de las API preserva la integridad de las conexiones entre las entidades de servicios financieros, terceros y usuarios finales.
Entre las medidas prácticas para reforzar la seguridad de las API se incluyen:
- Políticas de autenticación estrictas: Utilice estándares del sector para la autenticación abierta, como OAuth2.0, TLS mutuo u otros protocolos robustos, a fin de autenticar a los usuarios de la API e impedir el acceso no autorizado.
- Monitorización en tiempo real: Utilice soluciones para identificar actividades irregulares en las API o posibles usos indebidos antes de que se agraven. Considere soluciones que permitan detectar e inspeccionar mediante el análisis del código y del tráfico, así como evaluar la superficie de ataque externa (escaneo de dominios).
- Optimice la gobernanza: utilice soluciones que faciliten la gestión del inventario de API, por ejemplo, añadiendo fácilmente al inventario las API recién descubiertas. Asimismo, incorpore análisis del cumplimiento normativo de las API y realice un mejor seguimiento de los cambios en el estado de cumplimiento mediante alertas automáticas.
- Estándares de cifrado: Todo el tráfico de las API debe cifrarse mediante protocolos como TLS 1.3 para garantizar la seguridad de los datos en tránsito.
- Pruebas periódicas: Realice pruebas de penetración rutinarias para identificar y corregir vulnerabilidades en la arquitectura de su API. Considere soluciones que permitan probar la API antes de la ejecución.
Conclusión: Las API pueden impulsar la innovación que sustenta las finanzas abiertas, pero también representan la mayor oportunidad para los ataques. Trate las API como cualquier otro producto digital crítico: supervíselas, protéjalas y optimícelas continuamente. Considere soluciones que incorporen una protección integral en tiempo de ejecución, como WAF, reglas de protección de API, limitación de solicitudes y mecanismos de protección de datos.
2. Evalúe y supervise de forma continua las relaciones con terceros
La participación de terceros en las finanzas abiertas exige que las entidades financieras colaboren con los proveedores y desarrolladores que interactúan con sus sistemas y datos. Garantizar la seguridad de estas relaciones es fundamental para reducir el riesgo general.
Entre las medidas prácticas para proteger las relaciones con terceros se incluyen:
- Evaluación rigurosa: Lleve a cabo un proceso exhaustivo de diligencia debida antes de incorporar socios de tecnología financiera (FinTech) o proveedores externos. Evalúe sus protocolos de seguridad, su historial de cumplimiento normativo y sus certificaciones técnicas.
- Monitorización en tiempo real: Adopte herramientas que supervisen la actividad de terceros dentro de su ecosistema de API y detecten acciones no autorizadas o comportamientos inusuales.
- Controles de acceso granulares: limite el acceso de terceros a los datos y niveles de acceso «mínimos necesarios» para desempeñar su función, reduciendo así el riesgo derivado de la concesión excesiva de permisos.
- Cláusulas contractuales de seguridad: Refuerce las colaboraciones mediante acuerdos contractuales claros que exijan auditorías periódicas, la asunción de responsabilidades en caso de brechas de seguridad y el cumplimiento de sus estándares de seguridad.
Conclusión: Su ecosistema de finanzas abiertas será tan seguro como lo sea su eslabón más débil, que, en muchos casos, será un socio externo. Aplique un enfoque de «confiar, pero verificar» a todas las relaciones con proveedores.
Construir ecosistemas de finanzas abiertas resilientes a largo plazo
Dado que en 2025 las finanzas abiertas ya constituyen un pilar fundamental de los servicios financieros, invertir en soluciones de seguridad de API más robustas se ha vuelto esencial. Las instituciones financieras que prioricen hoy una protección integral de las API y una gestión rigurosa de los riesgos de terceros estarán mejor posicionadas para prosperar en un ecosistema cada vez más conectado e innovador, pero también más expuesto a riesgos. Al sentar unas bases de confianza, cumplimiento normativo y seguridad, los bancos y las empresas financieras pueden aprovechar con confianza todo el potencial de las finanzas abiertas y ofrecer a sus clientes experiencias más fluidas y seguras.
Obtenga más información sobre cómo proteger mejor su ecosistema de finanzas abiertas y descubra cómo los productos de F5 ayudan a su organización a implementar mejor una estrategia de seguridad de aplicaciones que ofrece una protección integral de 360° y va más allá de la mera detección de vulnerabilidades de software.
Sobre el autor
Artículos relacionados del blog
Cree servicios públicos seguros, resilientes y preparados para la IA con F5 y AWS
Descubre cómo las organizaciones del sector público pueden modernizar de forma segura sus aplicaciones y soluciones de IA, al tiempo que gestionan los sistemas heredados, el cumplimiento normativo y el riesgo operativo.
Protección de los sistemas de IA: por qué la seguridad debe avanzar al ritmo de la innovación
Desde acelerar avances revolucionarios en medicina y educación hasta transformar la vida cotidiana, la IA está cambiando nuestra forma de vivir y trabajar. Pero también ofrece grandes oportunidades a los ciberdelincuentes.
Avanzar hacia la optimización digital tras la transformación
Descubre estrategias de optimización digital para garantizar políticas de seguridad coherentes, impulsar la madurez de la transformación digital y superar los retos de la transformación.
Proyecto de código abierto destacado: mayor observabilidad con F5 Cloud Logger iApp
En el punto de mira del código abierto: cómo aumentar la observabilidad. Lee el blog de F5 para descubrir cómo exportar fácilmente la telemetría de BIG-IP a plataformas modernas de análisis en la nube.
El estado de la entrega de aplicaciones en 2018: la transformación digital impulsa la automatización y la multinube pese a las preocupaciones de seguridad
Descubre las principales conclusiones del cuarto informe anual de F5 sobre el estado de la entrega de aplicaciones.
Estado de la entrega de aplicaciones en 2017: automatización, API y DevOps
Descubre el informe sobre el estado de la entrega de aplicaciones de 2017. Lee el blog retrospectivo de F5 sobre los inicios del auge de las redes declarativas y los flujos de DevOps.