Cómo los hackers vulneran los sistemas financieros con inteligencia artificial y cómo se defiende Uruguay

La ciberseguridad es una de las prioridades del Banco Central (BCU), en un contexto en el que aumentan los riesgos para el sistema financiero y los incidentes pueden extenderse de forma rápida. La inteligencia artificial (IA) ha acelerado tanto el desarrollo de ataques informáticos como las capacidades de defensa frente a ellos.

La prevención, el entrenamiento del personal y la capacidad de contener los incidentes antes de que se propaguen son dos de los principales desafíos, según señalaron Jorge Isi, jefe del Departamento de Seguridad de la Información en la Gerencia de Servicios Institucionales del BCU, y Nicolás Correa, gerente del Centro de Operaciones de Ciberseguridad de CERTuy, de Agesic, durante las XV Jornadas de Derecho Bancocentralista, realizadas esta semana.

Entre las principales amenazas digitales figuran el robo de credenciales de funcionarios y empleados, el phishing —mensajes fraudulentos que buscan obtener información o facilitar el acceso a sistemas—, los deepfakes —contenidos audiovisuales manipulados mediante IA—, las identidades sintéticas (perfiles falsos) y el malware, o software malicioso.

Los especialistas señalaron que estos ataques pueden comprometer datos sensibles y afectar cadenas de suministro, sistemas de pago e infraestructuras de los mercados financieros. Otra modalidad que preocupa a los especialistas es el ransomware, mediante el cual los atacantes bloquean o secuestran información y exigen un rescate bajo la amenaza de divulgarla.

El uso de credenciales de funcionarios para cometer ciberdelitos también es una amenaza recurrente. En Uruguay, los registros de este tipo de incidentes han disminuido con la obligatoriedad de activar la autenticación multifactor en sistemas y servicios expuestos a internet.

Las nuevas tecnologías permiten que actores no identificados utilicen IA para generar scripts de explotación de vulnerabilidades y presentarlos como herramientas legítimas de monitoreo. También pueden emplearla para identificar software desactualizado o credenciales débiles, con apoyo de servicios de escaneo como Censys y ZoomEye.

Foto: Archivo El País

A escala mundial, los especialistas indicaron que las vulnerabilidades registradas aumentaron 85% interanual al 1º de setiembre de 2026, respecto de la misma fecha de 2025, según el Instituto Nacional de Estándares y Tecnología de Estados Unidos (NIST, por sus siglas en inglés). Entre 2020 y 2025, el crecimiento de las presentaciones de vulnerabilidades fue de 263%, de acuerdo con cifras del mismo organismo.

Los sectores más afectados en el mundo incluyen la manufactura crítica, la energía, el agua y saneamiento, la industria química, los alimentos y la agricultura, además de las instalaciones comerciales, según los expositores.

En Uruguay, el BCU detectó 2.149 incidentes de ciberseguridad entre enero y junio de 2023. En el mismo período de 2024 fueron 5.443; en 2025, 17.014; y en 2026, 32.399.

Isi destacó que el delito se ha desplazado hacia el entorno digital, en particular hacia las criptomonedas y también advirtió que las diferencias de inversión en IA entre países aumentan el riesgo.

La tecnología, sin embargo, también fortalece la ciberdefensa. Su aplicación permite reducir tareas rutinarias, dedicar más recursos al análisis, detectar ataques y responder con mayor rapidez. Además, facilita el análisis de anomalías y correlaciones que pueden contribuir a anticipar incidentes.

De acuerdo con Isi, la ciberdefensa no depende únicamente de lo tecnológico, sino que también requiere talento, criterios sobre los datos que se incluyen en los sistemas y los que no, la supervisión humana y la gobernanza de las instituciones.

Los expositores manifestaron que las motivaciones de los atacantes son diversas. Pueden buscar beneficios económicos mediante robos o extorsiones, realizar espionaje o ejercer presiones por motivos geopolíticos, sabotear e interrumpir servicios esenciales o activismo, entre otros.

El País.

Uruguay ha desarrollado organismos y mecanismos para prevenir y responder a incidentes informáticos.

Agesic creó CERTuy en 2008 y posteriormente amplió sus competencias, especialmente en relación con los servicios críticos del país. También se actualizó la normativa, que actualmente exige a las empresas reportar los ataques que sufren.

En 2014, CERTuy se incorporó a First (Forum of Incident Response and Security Teams), una organización internacional que reúne equipos de respuesta a incidentes para promover estándares comunes y facilitar la cooperación.

En 2017 se creó el Centro de Operaciones de Seguridad (SOC), también gestionado por Agesic, para proteger los activos tecnológicos del Estado y en 2019 se formó el programa GSOC (Government Security Operations Center), con apoyo del Banco Interamericano de Desarrollo (BID).

“Este fue el primer préstamo específico para desarrollo de proyectos de ciberseguridad que recibimos”, señaló Correa.

CERTuy detectó 14.264 incidentes relacionados con amenazas o ciberataques en el país en 2024 y 42.768 en 2025, según sus registros. Entre sus tareas figuran el monitoreo activo, el uso de una red de sensores, el envío de eventos de ciberseguridad al SOC nacional, la inteligencia de amenazas y la denominada “cacería de amenazas”.

El gobierno también ha reforzado el marco regulatorio mediante la incorporación de estándares específicos, mecanismos para monitorear conductas inusuales y alertas tempranas destinadas a detectar transacciones sospechosas antes de que se consoliden, entre otras medidas.

En el ámbito financiero, el BCU trabaja en el fortalecimiento de la gobernanza de la IA, la gestión de vulnerabilidades, la estandarización de reportes, la colaboración entre instituciones y los protocolos de coordinación ante crisis de ciberseguridad.

Uruguay presenta un nivel de madurez en ciberseguridad considerado bueno en comparación con otros 30 países, según un informe del BID y la Organización de los Estados Americanos (OEA). Sin embargo, los especialistas advirtieron que la prevención y la respuesta requieren un trabajo permanente.

La exposición de los sistemas digitales a los ataques quedó ilustrada con el caso de PIX, el sistema de pagos instantáneos creado y administrado por el Banco Central de Brasil, que ha registrado varios ataques significativos en menos de un año. Los episodios afectaron a instituciones financieras y pusieron de relieve los riesgos que enfrentan los sistemas de pago, incluso cuando cuentan con mecanismos de seguridad.

Según relató Isi, el último ataque a PIX, en marzo de este año, sacudió a la opinión pública dado que, en solo un día, ejecutaron transacciones fraudulentas contra cuentas de liquidación de seis instituciones brasileñas y dispersaron US$ 48 millones robados en cuentas del exterior y criptomonedas.

Por su parte, Correa relató dos incidentes de gran magnitud ocurridos en Uruguay hace casi dos meses, que afectaron equipos de control de sistemas industriales. Según explicó, los atacantes identificaron vulnerabilidades mediante IA, escanearon las infraestructuras y generaron herramientas que aparentaban ser programas legítimos de monitoreo. Los ataques provocaron fallas en distintas partes de los sistemas.

“Eso pasó en pocas horas y veíamos todo en tiempo real; nos sorprendió la velocidad y tuvimos que responder rápido para que no se comprometieran otros servicios”, concluyó Correa.

Según el Foro Económico Mundial, además de la IA, la geopolítica, la dependencia de proveedores externos y las diferencias de inversión están redefiniendo el riesgo cibernético. Las decisiones tecnológicas pueden generar dependencias estratégicas, mientras que la concentración de servicios y proveedores puede amplificar el impacto de los incidentes. A su vez, la falta de recursos y personal especializado limita la capacidad de respuesta.