Reporte temático CBEST 2025: Lo que revelan los datos sobre la ciberfragilidad en los servicios financieros

La semana pasada, el Banco de Inglaterra entregó reportes sobre ciberseguridad a bancos y organizaciones de infraestructura del mercado financiero (FMI).  

Este reporte, el Reporte Temático CBEST, tenía la inconfundible energía de la Profesora McGonagall tomando a Harry Potter aparte para recordarle —con firmeza pero con justicia— que sus ambiciones mágicas requieren un estándar mucho más alto.

Al igual que la profesora McGonagall, los reguladores están haciendo su parte para garantizar que las altas aspiraciones exijan altos estándares.

Las compañías y las infraestructuras del mercado financiero pasaron años creando bibliotecas de control, mapeando reglas y alinear con las mejores prácticas. Sin embargo, el CBEST muestra una brecha clara. Los controles que parecen fuertes en el papel a menudo fallan bajo la presión de un ataque real.

Ése es el listón más alto que los reguladores pretenden establecer.  

CBEST 2025: una imagen de vulnerabilidad silenciosa

El reporte temático CBEST es un marco de pruebas basado en amenazas que simula ataques del mundo real. Ayuda a los bancos y a las IMF a encontrar, comprender y corregir las debilidades en su resiliencia cibernética.

El reporte de este año identificó debilidades en la resiliencia cibernética en las principales instituciones financieras del Reino Unido. Estos problemas aparecieron en cinco áreas conectadas:

• Infraestructura y seguridad de datos
• Control de identidad y acceso
• seguridad de red
• Detección y respuesta
• Cultura y concienciación del personal

Estas brechas salieron a la luz a través de pruebas basadas en amenazas de CBEST realizadas en entornos corporativos en tiempo real, a cargo de proveedores acreditados bajo supervisión regulatoria.

Infraestructura y seguridad de datos

Los resultados muestran que muchas instituciones tienen dificultades para convertir sus planes de seguridad en un rendimiento consistente en condiciones reales de ataque.

Desde el punto de vista de la infraestructura y la seguridad de los datos, CBEST encontró brechas en los controles básicos. Estos incluían una gestión de configuración inconsistente, un fortalecimiento y una aplicación de parches deficientes del sistema y una protección deficiente de los datos almacenados en los sistemas.

Las simulaciones de ataques mostraron que los puntos finales sin parches actuales o configuración adecuada eran fáciles de explotar. El cifrado débil también expuso datos confidenciales y credenciales privilegiadas.

En conjunto, estos hallazgos sugieren que los procesos de gestión de activos y configuración no reducen consistentemente el riesgo en todos los sistemas que respaldan servicios comerciales críticos.

Control de identidad y acceso

Los controles de identidad y acceso débiles redujeron aún más la resiliencia.

Las pruebas de CBEST descubrieron que algunas compañías no aplicaban prácticas estables de gestión de identidad. Los problemas comunes incluyeron:

• Contraseñas débiles o aplicación deficiente de los estándares de contraseñas
• Almacenamiento de contraseñas inseguro, incluidos archivos de texto sin formato
• Modelos de acceso que otorgaron más licencias de los necesarios

Los controles deficientes sobre las cuentas de administrador y de servicio facilitaron que los atacantes escalaran privilegios y se movieran lateralmente una vez dentro del entorno.

Estos resultados muestran que los controles de identidad pueden existir en el papel, pero no se aplican con suficiente disciplina en la práctica. Una aplicación más estricta ayudaría a limitar hasta dónde pueden llegar los atacantes luego de un compromiso inicial.

seguridad de red

La seguridad y la arquitectura de la red surgieron como un claro punto de debilidad.

CBEST descubrió que algunas compañías carecían de una segmentación efectiva entre sistemas críticos. En varios casos, los entornos de desarrollo y producción no estaban separados adecuadamente. Esto aumentó el impacto potencial de una violación en las operaciones comerciales.

Detección y respuesta

CBEST también identificó un patrón preocupante para las organizaciones que dependen de herramientas de detección y respuesta de puntos finales (EDR) . CBEST encontró brechas en la detección, incluidas debilidades en la detección de ataques a través de EDR ajustado adecuadamente y en la detección de exfiltración de datos. La supervisión ineficaz de la red y la inspección limitada del tráfico permitieron que la actividad se mezclara con el tráfico legítimo y habilitaron la conectividad saliente desde dispositivos no monitorear.

Los atacantes evitaron ser detectados haciendo un mal uso de las credenciales, confiando en herramientas integradas del sistema y mover lateralmente a través de la red sin activar alertas. Esto fue posible porque los diseños de red permitían demasiada confianza implícita.

El uso limitado de controles de mínimo privilegio a nivel de red y servicio aumentó la cantidad de sistemas a los que podían acceder los atacantes. La deficiente monitorización de la red y la limitada inspección del tráfico empeoraron el problema.  

En las simulaciones, los atacantes ocultaron la actividad dentro del tráfico de apariencia normal y establecieron conexiones salientes desde sistemas que no estaban monitoreados de cerca.

Estos hallazgos indican una brecha entre cómo se entienden la segmentación y el mínimo privilegio en teoría y cómo se aplican en las redes de producción reales.

Las capacidades de detección y respuesta tampoco estuvieron a la altura de los modelos de amenaza empleados en los ejercicios CBEST. Las compañías con alertas mal ajustadas tuvieron dificultades para detectar ataques de forma temprana. Las configuraciones de EDR débiles redujeron la visibilidad del comportamiento malicioso y la exfiltración de datos. La deficiente supervisión de la red permitió a los atacantes mezclar con la actividad legítima.

Cultura y concienciación del personal

CBEST también destaca la cultura, la capacitación y la concientización del personal como debilidades persistentes.

El personal a menudo era vulnerable a la ingeniería social. Las credenciales con frecuencia se almacenaban en lugares no seguros, como hojas de cálculo o sistemas de archivos compartidos. Los procesos de soporte técnico con verificaciones de identidad limitadas permitieron que atacantes simulados obtuvieran o usaran indebidamente credenciales y ampliaran el acceso.

El verdadero problema: el movimiento lateral incontenible

Un tema conecta las debilidades observadas en los resultados del CBEST. No existe un método fiable para contener el movimiento lateral tras una brecha.

Los atacantes robaron credenciales y se movieron entre sistemas. Aumentaron su nivel de acceso. En muchos casos, esto sucedió antes de que las herramientas de detección detectaran alguna actividad inusual.

Cuando las redes son planas o casi planas, los atacantes enfrentan poca resistencia. Pueden mover con rapidez y silenciosamente, sin retrasos que den tiempo a los defensores para responder.

Aquí es donde el riesgo se vuelve sistémico. Si una sola cuenta de usuario o servidor puede acceder a servicios críticos, ni una aplicación de parches poderoso ni mejores alertas pueden solucionar el problema de diseño subyacente.

CBEST 2025 muestra cómo las brechas en la identidad, la infraestructura, el diseño de la red, el monitoreo y las prácticas del personal se combinan para permitir el movimiento lateral.

Una vez que los atacantes pueden mover libremente dentro de la red, las defensas perimetrales y la detección reactiva no pueden detener la propagación ni limitar el daño.

Cómo Illumio aborda la brecha de movimiento lateral de la banca

Illumio funciona en el contexto CBEST por una razón clara. Soluciona exactamente el problema que los reguladores siguen encontrando: los atacantes pueden mover libremente una vez que ingresan a la red.

CBEST muestra que las organizaciones invierten fuertemente en herramientas de identidad, seguridad de infraestructura, firewalls y monitoreo. Aún así, los atacantes todavía tienen éxito. Exploran sistemas, se mueven a través de la red y amplían el acceso luego de ingresar.

Illumio está diseñado para esta realidad. Crea límites fuertes dentro de la red, donde muchos controles son más débiles.

En lugar de depender de controles de identidad perfectos, parches perfectos o detección perfecta, Illumio limita el movimiento por diseño. CBEST deja claro que la perfección no se sostiene bajo presión real.

He aquí por qué Illumio destaca.

1. Detiene el movimiento lateral sin importar cómo obtenga acceso un atacante.

Si se roban credenciales, se omite la autenticación multifactor (MFA) o se compromete un dispositivo, Illumio evita que los atacantes vayan más allá del primer sistema.

A diferencia de los firewalls o las herramientas de identidad, Illumio no depende de una configuración perfecta en otro lugar.

2. Permite la segmentación sin rediseñar la red.

CBESTmuestra que muchas compañías tienen dificultades para implementar la segmentación porque los enfoques basados en redes son lentos y riesgosos.

Illumio separa la segmentación de la red en sí. Las organizaciones pueden implementar comunicaciones de mínimo privilegio entre cargas de trabajo sin cambiar las VLAN, las reglas de firewall o los diseños de red.

3. Hace visible el tráfico interno

Los probadores CBESTa menudo explotan los puntos ciegos en el tráfico este-oeste. Illumio proporciona vistas en tiempo real de cómo se comunican realmente los sistemas. Esto expone dependencias ocultas, caminos riesgosos y confianza innecesaria en la que confían los atacantes.

4. Complementa el EDR al contener lo que la detección no detecta.

Las herramientas de detección y respuesta de puntos finales(EDR) son eficaces para detectar actividad maliciosa en puntos finales individuales. Sin embargo, no pueden impedir que los atacantes con credenciales válidas se muevan lateralmente.

Illumio llena este vacío bloqueando los caminos que necesitan los atacantes. Incluso cuando las herramientas de punto final no detectan señales tempranas de compromiso, Illumio evita que un pequeño problema se propague por todo el entorno.

En resumen, Illumio aborda directamente las debilidades estructurales que revela CBEST. Reduce el impacto cuando otros controles fallan.

CBEST muestra cuán expuestas están hoy muchas instituciones. Illumio muestra cómo hacer que esa exposición sea soportable.

Illumio no reemplaza los controles de seguridad existentes. Compensa sus límites. Cuando los atacantes eluden o evaden otras defensas, Illumio garantiza que el entorno se mantenga. Contiene la infracción, limita el daño y apoya la recuperación.

Por qué la resiliencia demostrada depende de la contención de las brechas

La lectura del CBEST de principio a fin revela un patrón claro. Gran parte del sistema financiero no depende de una resiliencia demostrada, sino de la suposición de que los controles de seguridad funcionarán según lo previsto.

CBEST deja en claro que los reguladores esperan que la seguridad sea medible, comprobable y esté integrada en el diseño del sistema. Aunque la fragilidad no se menciona directamente, los hallazgos la señalan a lo largo del reporte.

Al final, el mensaje es simple. La contención de las brechas es la única forma práctica de abordar este riesgo.

Explora Illumio Insights gratis Hoy para exponer los tipos de problemas de seguridad que CBEST sigue encontrando.