60 red seguridad tercer trimestre 2026 IA monográfico que han evaluado su exposición a las amenazas relacionadas con la IA y que tienen medidas de mitigación concretas en marcha. En la práctica, esto significa abordar la gestión de vulnerabilidades y la detección automatizada de amenazas, así como los controles de identidad y acceso con la misma urgencia con la que operan ahora los atacantes. La identidad está en el centro de este plan por una razón sencilla: protege el acceso a sistemas que podrían presentar una vulnerabilidad explotable. Además, es la capa de control que los bancos pueden reforzar más rápidamente y es aquella para la que la IA está más directamente diseñada para atacar. Dos áreas tienen el mayor impacto inmediato y a largo plazo, y requieren un esfuerzo mínimo: 1. Autenticación resistente al phishing para usuarios privilegiados. Los códigos, enlaces y aprobaciones push dependen de la capacidad de un humano para detectar un fraude. La autenticación basada en hardware FIDO2/ WebAuthn elimina esta dependencia: no hay código que pescar ni secreto compartido que la IA pueda extraer, porque la credencial está vinculada a un dispositivo físico en lugar de a algo que una persona podría revelar si es engañada. Una empresa no puede detenerse en los usuarios privilegiados. Primero, la definición de usuario privilegiado puede ser difícil, ya que muchos usuarios tienen acceso a datos y sistemas sensibles. Segundo, los ataques suelen seguir un patrón que consiste en obtener un primer acceso con una cuenta de privilegios reducidos y luego encontrar fallos para acceder a una cuenta con mayores privilegios. Para estar totalmente protegido, todos los usuarios deben utilizar soluciones de autenticación resistentes al phishing. 2. Identificar y proteger los puntos de acceso públicos y el servicio de asistencia (help desk). Los atacantes se centrarán en los vectores a los que tienen acceso, y eso comienza con los accesos desde Internet. Asegúrese de que todos los puntos finales son conocidos y requieren mecanismos de autenticación resistentes al phishing. Otro vector fácilmente accesible es el servicio de asistencia, donde se pueden utilizar herramientas de IA para convencer a un agente de que transfiera el acceso. Si la recuperación de una cuenta puede ser aprobada por una voz al teléfono, puede serlo por una voz clonada. La verificación de usuarios por parte del servicio de asistencia debe incluir un paso que una voz o un mensaje generado por IA no pueda superar por sí solo. Los datos confirman la urgencia: la investigación de ciberinteligencia de IBM indica un aumento del 44 por ciento interanual en la explotación de aplicaciones públicas, en gran parte mediante la recolección de credenciales asistida por IA. Mientras tanto, las organizaciones que sustituyen la autenticación multifactor (MFA) tradicional por autenticación FIDO2/WebAuthn, como las llaves de seguridad físicas, han visto caer las tomas de control de cuentas hasta en un 99,9 por ciento; en gran parte porque no queda ningún secreto susceptible de phishing que robar en el flujo. Una vigilancia continua, una segmentación de accesos justo a tiempo y planes de respuesta ante incidentes ensayados frente a cronogramas acelerados por IA completan un plan integral. La relación con DORA Los bancos que ya están trabajando en la gestión de riesgos de TIC y los requisitos de autenticación fuerte del Reglamento DORA reconocerán muchas coincidencias aquí. El mandado del BCE no es lo mismo que DORA, pero se solapan significativamente. DORA rige la gestión global de riesgos de TIC y la resiliencia; este mandato requiere específicamente un plan para las ciberamenazas relacionadas con la IA. La autenticación resistente al phishing cumple con los requisitos de ambas directrices. Desplegar una MFA resistente al phishing para cumplir con el mandato sobre IA del BCE satisface simultáneamente las disposiciones de autenticación de DORA. Una inversión en identidad cumple dos obligaciones reglamentarias.
RkJQdWJsaXNoZXIy MTI4MzQz