Los bancos están enfrentando un riesgo digital más preocupante que los ciberataques

Es innegable que los ataques cibernéticos están más que nunca al acecho en el ecosistema digital. Páginas web, aplicaciones y correos electrónicos de cualquier negocio están expuestos a esta amenaza. Sin embargo, existe un riesgo más frecuente y silencioso para las entidades financieras como bancos y billeteras digitales.

Según Atentus, una empresa dedicada al monitoreo y gestión de la experiencia digital, las entidades financieras pierden más tiempo de operación por fallas internas de sus propias plataformas que por ciberataques.

Jessica Gutiérrez, Country Manager de la compañía en México, dijo a Infobae que los cortes de servicio durante actualizaciones o mantenimientos ocurren con una frecuencia muy superior a la de los incidentes de seguridad y que su impacto acumulado en el negocio termina siendo mayor.

“Si hablamos a nivel negocio, te aseguro que la suma (de pérdidas) a nivel operativo es mayor que con un ciberataque en la historia de las entidades financieras”, afirmó Gutiérrez.

Los mantenimientos programados rara vez cumplen el horario prometido

Buena parte de los problemas de intermitencia en bancos y aplicaciones financieras se concentra en las ventanas de mantenimiento y actualizaciones de sistemas. Las áreas de tecnología suelen anunciar estas intervenciones en horarios de baja actividad, entre la medianoche y las cinco de la mañana, bajo el supuesto de que el impacto sobre los usuarios será mínimo.

Sin embargo, de acuerdo con la experiencia de monitoreo de Atentus, el patrón es distinto. “Pocas entidades llegan a cumplir con eso. Siempre, por dar un ejemplo, te dicen ‘va a ser de medianoche a cinco de la mañana’ y la mayoría llegan a tardarse mucho más”, explicó Gutiérrez.

La ejecutiva señaló que estas demoras se explican, en parte, porque las pruebas de calidad previas se realizan en ambientes controlados que no replican las condiciones reales de uso.

Ese desfase entre el entorno de prueba y el entorno productivo es la causa principal de que actualizaciones catalogadas como “sin impacto para el usuario” terminen por afectar funciones básicas. Entre ellas, Gutierrez identifica tres flujos críticos: el inicio de sesión o login, las transferencias dentro del mismo banco y las transferencias a terceros.

Las pruebas internas no reproducen el volumen real de usuarios

Gutiérrez explicó que muchas entidades cuentan con áreas de control de calidad (QA) que verifican los cambios antes de liberarlos, pero lo hacen con un número reducido de cuentas de prueba y en condiciones que no representan el tráfico real de la plataforma. Cuando la actualización pasa al ambiente productivo, el volumen de usuarios conectados simultáneamente supera lo que esas pruebas lograron simular.

Lo que propone su compañía es un servicio de monitoreo continuo, disponible las veinticuatro horas, que se basa en la simulación de usuarios sin llegar a replicar el volumen total de tráfico de una plataforma.

Según Gutiérrez, ese esquema permite identificar tendencias de degradación en el servicio antes de que se conviertan en una caída generalizada. La compañía diferencia sus mediciones por sistema operativo, tipo de conectividad y proveedor de red, lo que le permite construir lo que Gutiérrez describe como un “mini universo” de condiciones de uso reales.

La ejecutiva definió este enfoque como proactivo, no predictivo: “Empezamos a ver una tendencia y sobre esa accionamos. No esperamos a que haya una caída para actuar”.

La pérdida de confianza por fallas operativas no tiene retorno

Para Gutiérrez, la comparación entre ciberataques y fallas operativas responde a la frecuencia con la que ocurre cada tipo de incidente. Mientras algunos bancos no han sufrido nunca un ataque informático y otros lo han vivido de forma ocasional, los problemas de intermitencia pueden presentarse con una periodicidad mucho mayor, vinculada a los ciclos de actualización y momentos de alta demanda como el pago de salarios en las quincenas.

En cuanto al costo económico, recuperarse de un ciberataque demanda contratación de un servicio externo, lo que significa un pago único. En contraste, los problemas de intermitencia generan pérdida de usuarios y, por lo tanto, una reducción de ingresos constante a largo plazo.

Según su lectura, un incidente de seguridad genera un daño reputacional puntual frente a organismos reguladores o el mercado, pero una mala experiencia de uso sostenida en el tiempo erosiona la relación directa con el cliente.

La ejecutiva citó una proporción habitual en la industria de experiencia de usuario: por cada persona que presenta una queja formal por un problema en una aplicación, otras ocho optan por no reportarlo y simplemente reducen su interacción con el servicio. “Posiblemente se van a ir con alguno más (otra entidad financiera)”, advirtió Gutiérrez.