Nuevo reporte de FinCEN sobre ransomware: los bancos deben contener el riesgo de materialidad

¿Hay buenas noticias sobre el ransomware? ¡Lo tomaremos!

Según un nuevo reporte de la Red de Control de Delitos Financieros del Tesoro de Estados Unidos (FinCEN), los bancos pagaron 370 millones de dólares en pagos de rescate en 2024. Se trata de una caída significativa respecto de los 1.100 millones de dólares del año anterior.  

Esta disminución refleja acciones policiales más enérgicas contra las bandas de ransomware y una creciente resiliencia en todo el sector financiero.

La noticia no tan buena: el reporte reconoce que la mayoría de los incidentes de ransomware en el sector bancario nunca se denuncian. ¿Por qué? Las leyes de divulgación de incidentes en el sector bancario se basan en la materialidad.

En esta industria, la materialidad —el impacto financiero, no la frecuencia con la que ocurren los ataques— es lo que determina si una violación debe revelar, notificar a los reguladores o explicar a la junta directiva.  

Es una métrica de riesgo y un objetivo móvil. Si bien limita lo que se informa, también significa que solo se necesita una violación para provocar una reacción pública.

Por eso, la contención de las brechas de seguridad es esencial para el sector financiero. Es la forma más confiable de garantizar que un incidente cibernético se mantenga pequeño e inmaterial antes de que se convierta en una crisis empresarial.

Esta publicación analiza las últimas tendencias de ransomware en los servicios financieros, cómo la materialidad afecta las obligaciones de presentación de reportes y por qué la contención es su mejor defensa contra el riesgo regulatorio y el daño a la reputación.

Tendencias del ransomware en los servicios financieros: hallazgos clave del último reporte

Según el último reporte de la Red de Control de Delitos Financieros (FinCEN) del Tesoro de EE. UU., Tendencias de ransomware en los datos de la Ley de Secreto Bancario entre 2022 y 2024, el sector de servicios financieros es el más afectado por el ransomware, junto con la manufactura y la atención médica.

Entre enero de 2022 y diciembre de 2024, las instituciones financieras presentaron 7.395 reportes de la Ley de Secreto Bancario (BSA) relacionados con 4.194 incidentes de ransomware. Reportaron pagos de rescate por más de 2.100 millones de dólares.  

Estos datos ponen de relieve el gran riesgo que conlleva el sector financiero. Con una alta concentración de datos confidenciales, sistemas críticos y activos valiosos, es un objetivo obvio y frecuente para los atacantes de ransomware.

Hay noticias alentadoras: los pagos de rescates están disminuyendo. El pago medio se redujo de $175,000 en 2023 a $155,257 en 2024.

Aun así, FinCEN advierte que estos números probablemente no reflejen el panorama completo. Muchos incidentes nunca llegan a los reportes oficiales, lo que significa que la escala real de la actividad del ransomware es probablemente mucho mayor.

No todas las organizaciones ventilan sus trapos sucios relacionados con el ransomware

La realidad es que muchos incidentes de seguridad nunca se denuncian, especialmente en los servicios financieros. Generalmente no es necesario denunciarlos.

El FBI estima que solo alrededor del 15% de todos los delitos cibernéticos se denuncian, incluidos los ataques de ransomware.  

Las reglas de reportes son limitadas porque muchas leyes solo se aplican cuando se exponen datos confidenciales. Además, los umbrales de materialidad suelen ser vagos, lo que deja espacio a la interpretación y permite que muchos incidentes queden fuera de la vista.

Cómo la definición de materialidad de la SEC afecta lo que se informa

Según las normas de la Comisión de Bolsa y Valores de Estados Unidos (SEC), las instituciones financieras que cotizan en bolsa deben revelar los incidentes cibernéticos “materiales” dentro de cuatro días hábiles. Material significa que el incidente podría afectar a los inversionista o a la salud financiera de la compañía.

El desafío es que la materialidad es subjetiva. Si los sistemas centrales se recuperan rápidamente o no se exponen datos financieros sensibles, muchas compañías deciden que el incidente no es material y no necesita divulgación.

La mayoría de las leyes de notificación de infracciones en el ámbito financiero se aplican únicamente cuando están involucrados datos financieros personales o de clientes.  

Si el ransomware cifra los sistemas pero no toca registros confidenciales, es posible que las reglas de reportes no se apliquen. En muchos de estos casos, el incidente no se denuncia.

Otras consideraciones para la denuncia de infracciones bancarias

Mientras tanto, los bancos privados y las instituciones financieras no públicas a menudo no están obligados a informar sobre los ciberataques.  

A menos que se apliquen reglas específicas, pueden elegir si revelar o no un incidente. Sin presión legal, muchos ataques permanecen ocultos.

La decisión no es sólo una cuestión de reglas. Los bancos también se preocupan por el daño que puede causar una violación de seguridad pública. Se arriesgan a multas, demandas judiciales y pérdida de confianza de los clientes.

Para evitarlo, algunas compañías pagan el rescate en silencio. Otros dependen de las copias de seguridad para restaurar los sistemas rápidamente.  

Si las operaciones vuelven a la normalidad rápidamente, el incidente suele permanecer privado, especialmente en el sector bancario, donde mantener los servicios en funcionamiento es fundamental.

Por qué la materialidad es el verdadero riesgo en la banca

Para las organizaciones financieras, la materialidad es la única métrica que importa cuando hay presión.  

Ya conoces el procedimiento: cada vez que algo se rompe, los equipos de seguridad del banco preguntan:

• ¿Esto afectará la liquidez?  
• ¿Llamará la atención de los reguladores?  
• ¿Querrá la junta respuestas?

Con el ransomware, una sola brecha puede cambiar rápidamente el rumbo de un ataque. Podría llevarlo de una recuperación silenciosa a un desastre total de relaciones públicas que requiera la presentación obligatoria de reportes de infracciones.  

La contención es la mejor defensa del sector financiero

Es útil comprender la magnitud del problema del ransomware en la banca, pero eso no es lo que le importa a su junta directiva. No están rastreando los volúmenes de ataques globales ni los pagos de rescate promedio.

A ellos les preocupa una cosa: ¿este ataque se convertirá en material?

Materialidad significa impacto en el negocio. Si un ataque se vuelve material, puede interrumpir los sistemas centrales, exponer datos confidenciales, dañar la confianza y desencadenar sanciones regulatorias bajo normas como la Ley de Resiliencia y Operaciones Digitales (DORA) de la UE y el Consejo de Examen de Instituciones Financieras Federales (FFIEC).

Por eso es clave contener las brechas . Mantiene los incidentes pequeños, bloquea el movimiento lateral, reduce el radio de explosión y lo mantiene por debajo del umbral de materialidad.

La contención es la forma de evitar la divulgación pública. Así es como uno se mantiene fuera de los titulares y del periodo de reportes de cuatro días de la SEC.

Preparar para ataques de ransomware con Illumio

Su equipo de seguridad protege su red como los apoyadores protegen la zona de anotación. La contención es la mejor medida para evitar que un incidente cibernético se convierta en algo grave.

Gracias a la contención de la brecha por parte de Illumio, incluso si los atacantes logran entrar, el daño será pequeño. No pueden mover a través de su red, atacar sistemas críticos ni robar datos confidenciales.

Esto es lo que Illumio te ayuda a hacer:

• Reducir el radio de explosión. Bloquea rutas de ataque comunes como el protocolo de escritorio remoto (RDP), el bloqueo de mensajes del servidor (SMB) y PsExec en los sistemas bancarios. ‍
• Alto a la doble extorsión. Limitar el acceso a los datos financieros y registros de clientes. ‍
• Mantener en cumplimiento. Cumplir con las normas de FFIEC, DORA y SEC manteniendo las infracciones por debajo del umbral de materialidad.

No puedes controlar cuándo cambian las leyes ni qué intentan los atacantes, pero con Illumio sí puedes controlar hasta dónde llega un ataque.

Cuando hay mucho en juego, la contención no es opcional

La conclusión del último reporte sobre ransomware de FinCEN es lo que esos números no logran reflejar.

El ransomware no va a desaparecer y, en los servicios financieros, basta con una sola infracción para cruzar el umbral de materialidad y desencadenar todo lo que ello conlleva: escrutinio regulatorio, divulgación pública, daño a la reputación y pérdida financiera.

La verdad es que los líderes de seguridad en banca y seguros no se miden por la cantidad de ataques que previenen, sino por si los incidentes se convierten en eventos comerciales.  

Por eso la contención de las brechas tiene que ser la estrategia. Es la diferencia entre una amenaza contenida y una crisis que aparece en los titulares.

Intentar Illumio Insights gratis hoy para obtener observabilidad impulsada por IA y contención con un solo clic para su entorno bancario híbrido de múltiples nubes.