La IA està canviant el panorama de les amenaces cibernètiques per als bancs

La IA està canviant tant la ciberdefensa com la capacitat d'atac cibernètic

La intel·ligència artificial està alterant la ciberseguretat en dues direccions alhora. Els bancs poden utilitzar la IA per analitzar grans volums d'activitat de la xarxa, prioritzar les alertes i detectar patrons sospitosos més ràpidament. Els atacants poden utilitzar les mateixes capacitats per automatitzar el reconeixement, millorar l'enginyeria social i reduir l'experiència necessària per desenvolupar determinades formes d'activitat maliciosa. El resultat no és un panorama de ciberrisc completament nou, sinó una acceleració d'un concurs existent entre atacants i defensors.

Per als bancs, això importa perquè són objectius atractius i operen polígons tecnològics altament interconnectats. Les institucions financeres tenen dades valuoses, processen grans volums de pagaments i confien en combinacions complexes de sistemes heretats, plataformes en núvol i proveïdors de tercers. La IA pot ajudar els atacants a navegar per aquest entorn de manera més eficient, mentre que els defensors han de millorar la velocitat i la qualitat de la detecció i la resposta.

L'enginyeria social és cada cop més convincent

La pesca és un dels exemples més clars. La IA generativa pot produir missatges personalitzats i precisos gramaticalment en diversos idiomes i imitar el to d'un company o proveïdor. Per tant, els senyals d'advertència tradicionals, com ara la mala ortografia, són menys útils. El personal necessita hàbits de verificació més forts, especialment quan una sol·licitud implica credencials, instruccions de pagament o informació sensible.

L'àudio i el vídeo sintètics creen un risc relacionat. Un atacant pot imitar un executiu, client o proveïdor de manera prou convincent per influir en un empleat sota pressió de temps. Per tant, les instruccions d'alt valor haurien de basar-se en controls independents del canal de comunicació, com ara procediments de devolució de trucada, aprovació dual o altres verificacions autenticades.

Els cicles d'atac tècnic poden accelerar-se

La IA també pot ajudar amb la generació de codi, la investigació de vulnerabilitats i l'anàlisi de la informació pública. Això no vol dir que cada delinqüent adquireixi de sobte la capacitat d'un actor d'amenaces avançat, però pot reduir el cost i el temps necessaris per realitzar tasques que abans exigien coneixements més especialitzats. Per tant, els bancs poden enfrontar-se a un volum més gran d'atacs tècnicament competents.

Els equips defensius poden utilitzar la IA de maneres similars. Les plataformes de seguretat poden prioritzar les alertes, identificar anomalies i resumir la informació d'incidències. Això pot reduir la càrrega de treball dels analistes, però les decisions de seguretat automatitzades encara requereixen govern. Els falsos negatius poden perdre atacs genuïns, mentre que els falsos positius excessius poden aclaparar els equips i reduir l'atenció.

Els mateixos sistemes d'IA creen noves superfícies d'atac

Els sistemes generatius i agentics introdueixen riscos que les aplicacions tradicionals no presentaven de la mateixa forma. La injecció ràpida, per exemple, pot intentar manipular un sistema d'IA mitjançant instruccions malicioses incrustades en contingut extern. El risc es fa més important quan una eina d'IA té permís per accedir a bases de dades, correu electrònic o sistemes operatius.

Per tant, els permisos haurien de seguir el principi de privilegis mínims. Un assistent que només produeix text té un perfil de risc diferent d'un agent que pot enviar missatges o executar transaccions. Les accions sensibles haurien de retenir l'aprovació explícita fins que l'organització hagi demostrat que el procés i els controls són fiables.

Els proveïdors d'IA de tercers també creen risc de proveïdor. Els bancs han d'entendre on es processen les dades, com es comuniquen els incidents de seguretat i què passa si el proveïdor no està disponible o canvia materialment el servei. DORA proporciona un marc de resiliència operacional rellevant per a aquestes dependències.

La formació i la governança han d'evolucionar

Els programes de conscienciació sobre la ciberseguretat ara haurien d'incloure la pesca habilitat per IA, els mitjans sintètics i els riscos creats per les eines públiques d'IA. Els empleats haurien de saber com verificar les sol·licituds inusuals i on informar d'activitats sospitoses. Els equips financers, de tresoreria i d'atenció al client poden requerir exemples diferents perquè els mètodes d'atac rellevants per a les seves funcions són diferents.

Els desenvolupadors també necessiten orientació. Els assistents de codificació d'IA poden millorar la productivitat, però el codi generat encara requereix prova, revisió i exploració de vulnerabilitats. Un desenvolupament més ràpid no hauria de crear programari insegur més ràpidament.

Els consells i els alts directius haurien de preguntar-se si els escenaris de risc cibernètic reflecteixen aquests canvis. La pregunta clau no és si el banc ha comprat productes de seguretat d'IA, sinó si s'han actualitzat els models d'amenaces, les avaluacions de proveïdors, la formació del personal i els exercicis d'incidències per a un entorn en què tant els defensors com els atacants utilitzen sistemes cada cop més capaços.

Conclusió

La IA no substitueix els fonaments de la ciberseguretat. L'autenticació multifactorial, l'aplicació de pedaços, el control d'accés, el desenvolupament de programari segur, la supervisió, les còpies de seguretat i la resposta a incidents segueixen sent essencials. El que canvia és la velocitat i la sofisticació amb què les dues parts poden operar. Per tant, els bancs han de reforçar la integració entre la governança de la IA, el risc cibernètic i la resiliència operativa.

El Acadèmia de Banca eBSI aborda la ciberseguretat com a part de la competència bancària professional perquè els esdeveniments cibernètics afecten els clients, les operacions, la reputació i les obligacions reguladores. Les institucions més ben ubicades per gestionar les amenaces habilitades per la intel·ligència artificial seran aquelles que combinin tecnologia forta amb processos disciplinats i persones informades.

L'autenticació i el desenvolupament de programari mereixen una atenció renovada

El creixement dels mitjans sintètics debilita els procediments de seguretat que depenen de reconèixer una veu, una cara o un estil d'escriptura coneguts. Els bancs haurien de revisar si les aprovacions d'alt risc depenen massa d'aquests senyals informals. Les instruccions de pagament, els canvis de privilegis i la divulgació d'informació sensible s'han de verificar mitjançant canals autenticats que segueixin sent fiables fins i tot quan l'àudio o el vídeo es puguin imitar de manera convincent.

El desenvolupament de programari segur també s'ha d'adaptar. Els assistents de codificació d'IA poden millorar substancialment la productivitat, però el codi generat encara s'ha de revisar, provar i escanejar per detectar vulnerabilitats. El fet que el codi es produeixi més ràpidament no redueix la responsabilitat del banc per la seva seguretat. Per tant, els equips de desenvolupament haurien d'integrar l'ús de la IA als estàndards de desenvolupament segur existents en lloc de tractar el codi generat com una categoria separada.

Aquests exemples reforcen un punt més ampli: el risc cibernètic d'IA no es limita al departament de seguretat. Afecta els controls de pagament, la formació del personal, l'enginyeria de programari, la gestió de proveïdors i la supervisió de la junta. La institució necessita una resposta coordinada perquè els atacants també són cada cop més capaços de moure's a través d'aquests límits.

La resiliència continua sent l'objectiu final

Els programes de ciberseguretat haurien de suposar que alguns atacs evitaran els controls preventius. Per tant, els bancs necessiten processos de recuperació provats, còpies de seguretat segures, acords de comunicació alternatius i la capacitat de restaurar serveis crítics sense dependre de sistemes que es puguin veure compromesos. La IA no canvia aquest principi; augmenta la velocitat a la qual es pot desenvolupar un incident.

La direcció també hauria d'assegurar-se que les lliçons dels incidents relacionats amb la intel·ligència artificial s'incorporin al model de govern i a la formació del personal. Un esdeveniment d'injecció ràpida, un intent de frau d'identitat sintètica o un mal ús d'un assistent de codificació poden revelar debilitats de control que s'estenen més enllà de la ciberseguretat. La revisió multifuncional ajuda a evitar que la mateixa debilitat subjacent torni a aparèixer en altres llocs.