Artículo de Néstor Santolaya: La banca amenazada… también desde dentro

Durante años, al hablar de ciberseguridad en el sector financiero, hemos situado el foco casi exclusivamente en los atacantes externos: grupos criminales organizados, redes de ransomware o hacktivistas. Sin embargo, la evolución de los incidentes de seguridad en los últimos años está obligando a las entidades a mirar también hacia dentro. No porque sus empleados sean el enemigo (o no siempre), sino porque el factor humano sigue siendo, con diferencia, uno de los principales vectores de riesgo en cualquier organización.

A finales de 2025, una conocida empresa de ciberseguridad confirmó el despido de un empleado que había compartido capturas de sistemas internos con un grupo criminal. Un año antes, otro trabajador de una compañía asiática realizó varias transferencias millonarias porque uno de sus directivos se lo pidió a través de una videollamada…, solo que el directivo resultó ser un deepfake. Autorización de accesos bajo coacción o torpeza al compartir una clave o dejar una sesión abierta son solo algunos pequeños ejemplos de que las amenazas también se originan ‘dentro de casa’. Y esto es algo que sucede en cualquier tipo de empresa, pero especialmente en la banca.

Desde los primeros sistemas informáticos corporativos ha habido casos de uso indebido de privilegios, filtraciones accidentales o sabotajes internos. Lo que cambia ahora es el contexto tecnológico: la digitalización masiva, la adopción del trabajo remoto, la proliferación de herramientas en la nube… y no olvidemos la reciente expansión de la inteligencia artificial generativa. Todo ello ha ampliado enormemente la superficie de exposición y, por tanto, el riesgo. En este nuevo escenario, la seguridad ya no depende únicamente de la fortaleza de los sistemas, sino también de cómo interactúan con ellos las personas.

Un riesgo con múltiples caras

Las amenazas internas pueden adoptar formas muy diversas. Algunas son claramente maliciosas, pero muchas otras se producen sin que exista una intención deliberada de causar daño.

En el primer grupo se encuentran los casos en los que un empleado utiliza sus privilegios para beneficio propio o para colaborar con terceros. Y es que, el acceso a sistemas críticos, datos sensibles o infraestructuras de pago puede convertirse en un activo muy valioso para los delincuentes. El historial de incidentes en el sector muestra desde sabotajes motivados por conflictos laborales hasta trabajadores que aceptan incentivos económicos para facilitar accesos indebidos. También existen situaciones en las que el empleado no obtiene un beneficio directo, pero su conocimiento de los sistemas lo convierte en una pieza clave dentro de una operación criminal y es extorsionado o chantajeado.

Sin embargo, centrar el análisis únicamente en los ataques intencionados sería un error. En la práctica, muchas de las brechas de seguridad más graves tienen su origen en errores humanos aparentemente menores. Por ejemplo, que el empleado recurra a herramientas que considera más ágiles o prácticas que las aprobadas por la organización (aplicaciones de mensajería o de acceso remoto, sin ir más lejos). También una fotografía del puesto de trabajo publicada en redes sociales o un archivo subido a un foro técnico para solicitar ayuda pueden revelar datos sensibles que posteriormente sean utilizados en ataques más sofisticados.

Por último, otra categoría creciente de amenazas internas es la que tiene su origen en la manipulación externa. Es el phishing tradicional, que ha evolucionado hacia campañas cada vez más personalizadas y convincentes en que los atacantes investigan a los empleados, replican comunicaciones internas e incluso utilizan información obtenida en filtraciones previas para ganar credibilidad. Los deepfakes han avanzado tanto que hoy en día permiten suplantar a cualquiera de manera convincente, como directivos o responsables de área, de forma que el trabajador actúa convencido de estar siguiendo instrucciones legítimas.

Zero Trust: asumir que el riesgo existe

Ante este panorama, el sector financiero está evolucionando a marchas forzadas hacia modelos de seguridad más avanzados que combinan tecnología, procesos y cultura organizativa. Uno de los enfoques que más protagonismo ha ganado en los últimos años es el denominado Zero Trust.

Su premisa es sencilla pero poderosa: ningún usuario, dispositivo o sistema debe considerarse seguro por defecto, independientemente de si se encuentra dentro o fuera de la red corporativa. Cada acceso debe verificarse de forma continua y cada operación debe estar sujeta a controles adicionales. Porque la realidad es que las amenazas internas nunca podrán eliminarse por completo y que, en cualquier organización con miles de empleados, múltiples proveedores y una infraestructura tecnológica compleja siempre existirá algún grado de riesgo.

Por ello, el verdadero desafío para la banca moderna consiste en asumir esa realidad y diseñar procesos capaces de detectarlo y mitigarlo de forma temprana. La combinación de tecnología avanzada, cultura de seguridad y modelos de protección basados en la verificación continua será clave para afrontar los retos de los próximos años.

Néstor Santolaya Bea

Cybersecurity product expert de Auriga