58 red seguridad tercer trimestre 2026 IA monográfico El 7 de julio de este año, el Banco Central Europeo (BCE) ordenó a los bancos de la zona euro que establecieran, antes del 31 de octubre de 2026, un plan para hacer frente a las ciberamenazas basadas en inteligencia artificial (IA) capaces de perturbar los servicios financieros. El mandato cubre a los bancos de los siguientes países europeos: Austria, Bélgica, Bulgaria, Croacia, Chipre, Estonia, Finlandia, Francia, Alemania, Grecia, Irlanda, Italia, Letonia, Lituania, Luxemburgo, Malta, Países Bajos, Portugal, Eslovaquia, Eslovenia y España. Es importante señalar que esto no es solo una directriz, sino una fecha límite para tomar medidas contra ciberamenazas cada vez más sofisticadas. La identidad es una de las pocas capas de control sobre las que un banco puede actuar directamente, sin esperar a la hoja de ruta de un proveedor o a una renovación de la infraestructura. Este nuevo mandato del BCE subraya una tendencia más amplia hacia una verificación de identidad más sólida, a medida que las organizaciones se enfrentan a ciberamenazas cada vez más sofisticadas y aceleradas por la IA. De hecho, la identidad se ha convertido en la principal superficie de ataque para los ciberdelincuentes, con el 86 por ciento de los ataques de phishing (suplantación de identidad) ahora impulsados por IA. El mandato refleja una evolución que los reguladores ya no pueden tratar como teórica: la IA ha reducido la brecha entre el momento en que se descubre una vulnerabilidad y el momento en que se explota. Los equipos de seguridad solían tener semanas para parchear una falla o detectar un inicio de sesión sospechoso. En el caso de los ataques acelerados por IA, esta ventana se mide ahora en minutos. Tres tendencias principales favorecen esta compresión: 1. Los modelos de vanguardia pueden encontrar y explotar vulnerabilidades de forma independiente. Los modelos más recientes han demostrado que pueden descubrir vulnerabilidades hasta ahora desconocidas y construir ataques sofisticados basados en sus hallazgos. Además, han demostrado su capacidad para combinar vulnerabilidades de moderadas a bajas para realizar ataques exitosos. 2. El phishing generado por IA a gran escala. Los atacantes utilizan IA generativa para producir contenidos de phishing personalizados y convincentes más rápido y en un volumen mucho mayor de lo que permitían las campañas manuales. Un agente podría utilizar credenciales robadas para acceder a sistemas con vulnerabilidades no parcheadas. 3. Del robo de credenciales a la toma de control de cuentas en minutos, no en días. La IA tiene la capacidad de construir exploits basados en vulnerabilidades de forma autónoma, lo que resulta en tiempos de respuesta muy cortos para los equipos de seguridad. Si un modelo de vanguardia encuentra una vulnerabilidad desconocida, el desafío para responder es aún mayor. Con credenciales robadas, la IA dispone ahora del acceso necesario para llevar a cabo el ataque basándose en las vulnerabilidades recién descubiertas. La gestión de accesos es un control clave para combatir la nueva realidad en la que vivimos. Como ya es el caso, los mecanismos de autenticación heredados que dependen de que una persona tome una decisión bajo presión (aprobar una notificación push, leer un código o confiar en una voz al teléfono) ya no son suficientes para proteger el acceso. Controles de identidad La directiva del BCE está orientada a los resultados y no constituye una lista de control tecnológica prescriptiva. Los bancos deben ir más allá de una simple declaración de principios y crear un plan de acción documentado que demuestre Seguridad de la identidad de los bancos y la IA Rolf Steinbruck Senior Solutions Engineer de Yubico
RkJQdWJsaXNoZXIy MTI4MzQz