Riesgo cibernético en los sistemas de pagos e infraestructuras de mercados financieros. Retos y aprendizajes

De qué trata

Eduardo Tejeda, del Banco de México, expuso en la III Jornada Anual de Riesgos (septiembre de 2025) los retos del riesgo cibernético en los sistemas de pagos y las infraestructuras de mercados financieros (IMF), y tres lecciones para enfrentarlo. Las opiniones son del autor y no reflejan necesariamente la postura oficial del Banco de México.

Las 20 diapositivas explican qué son las IMF y por qué a los bancos centrales les interesa su buen funcionamiento, muestran el panorama de las IMF en México, plantean la paradoja de la modernización (más velocidad e interconexión, más exposición), repasan casos como el hackeo al banco central de Bangladesh y cierran con tres lecciones: gobernanza, eslabón más débil y pruebas más allá del papel.

Objetivos

• Explicar el papel de las infraestructuras de mercados financieros y por qué son críticas.
• Mostrar cómo la modernización y la interconexión aumentan la exposición al riesgo cibernético.
• Compartir tres lecciones aprendidas para fortalecer la resiliencia cibernética.

Ideas clave

1. La mayoría de los bancos centrales tiene entre sus finalidades promover el buen funcionamiento de las IMF, porque de ellas depende la estabilidad y aceptación de la moneda y de los pagos.
2. Según una encuesta del Banco de México citada, 88 % de las instituciones financieras considera los riesgos cibernéticos y tecnológicos entre las principales fuentes de riesgo no financiero.
3. El hackeo al banco central de Bangladesh (US$ 81 millones, por ingeniería social para acceder a la red Swift) ilustra cómo un ataque puede comprometer una infraestructura.
4. Lección 1, gobernanza: involucramiento desde la alta dirección, estrategia de ciberseguridad, tres líneas de defensa y áreas de ciberseguridad independientes.
5. Lección 2: se es tan fuerte como el eslabón más débil, por lo que se establecen requisitos para proveedores. Lección 3: el papel no es suficiente; hacen falta pruebas de penetración, ejercicios de red team y operación desde un sitio alterno.