En it-sa, en Núremberg, el CEO de Futurae, Dr. Claudio Marforio, explica por qué las entidades financieras europeas reconsideran su dependencia de las plataformas estadounidenses y cómo las señales contextuales protegen accesos y transacciones sin cargar al cliente.
Las entidades financieras europeas están reconsiderando los cimientos de su arquitectura de seguridad, y la independencia de los proveedores no europeos se convierte en una cuestión central. En una entrevista en it-sa, en Núremberg, el Dr. Claudio Marforio, cofundador y CEO de Futurae, especialista en seguridad de identidades con sede en Zúrich, sostuvo que la soberanía digital en el sector financiero empieza por la gestión de identidades.
Un cambio de ánimo en Núremberg
Marforio percibe un cambio en la forma en que las empresas europeas, incluidas muchas del Mittelstand, ven sus dependencias tecnológicas. En seguridad informática, los mayores proveedores proceden desde hace tiempo de Estados Unidos o Israel. Sin embargo, las tensiones geopolíticas han demostrado que los socios de hoy pueden perseguir intereses distintos mañana. «Es extremadamente importante ser independiente de grandes actores que hoy podrían ser amigos y mañana no», afirmó Marforio. Las soluciones estadounidenses siguen siendo válidas, subrayó; de lo que se trata es de contar con alternativas europeas.
Para los servicios financieros prefiere «independencia» a «soberanía»: ¿cuánto de la pila de seguridad de un banco depende de plataformas cuyas condiciones pueden cambiar?
El dilema de las plataformas
Quien usa un teléfono inteligente se mueve dentro del ecosistema de Apple, Google o Microsoft, y estas empresas ofrecen una autenticación segura y fácil de usar. «No hay nada malo en ellas», dijo Marforio. El problema está en otro lado: un banco que delega por completo la verificación de sus clientes en el sistema operativo de un tercero cede también parte de su relación con ellos. «Quieres ser dueño de la relación con tus clientes», afirmó, y calificó esa externalización de arriesgada desde el punto de vista estratégico, comercial y de responsabilidad legal.
Según Marforio, Futurae se presenta como proveedor especializado en servicios financieros. Se atiene a los requisitos de la Autoridad Bancaria Europea (EBA) y al estándar EMVCo, y sigue de cerca los cambios regulatorios, como el paso de PSD2 a PSD3.
Seguridad frente a usabilidad
La seguridad y la usabilidad siempre han estado reñidas, explicó Marforio: «Los sistemas más fáciles de usar suelen no ser seguros. Los sistemas más seguros suelen no ser muy fáciles de usar». Futurae nació de la investigación en la ETH de Zúrich con el objetivo de ofrecer una seguridad sólida sin sacrificar la usabilidad.
Las passkeys basadas en FIDO2 ilustran la tensión. Impiden el phishing de forma criptográfica, pero dependen de soluciones específicas de plataforma de Apple, Google y Microsoft. Los usuarios con dispositivos antiguos deben recurrir a opciones menos seguras. En banca, las passkeys permiten autenticar un inicio de sesión, pero aún no confirmar una transacción como un pago con tarjeta o una transferencia.
Por ello, Futurae añade otros métodos, como notificaciones push, autenticación por código QR y autenticación basada en riesgo con señales contextuales, para que todos los clientes puedan acceder a su banco. Estas señales, por ejemplo el comportamiento y la ubicación habituales del usuario, elevan la seguridad sin pasos adicionales. Los usuarios, señaló Marforio, solo quieren pagar una factura, no pensar en seguridad. La empresa es miembro de la FIDO Alliance, donde afirma impulsar los requisitos del sector financiero, y ayuda a sus clientes a abandonar las contraseñas de un solo uso por SMS, que no considera seguras.
Deepfakes en el servicio de ayuda
Las voces generadas por IA se usan cada vez más contra las líneas de soporte para lograr restablecimientos de MFA. Marforio dice que ahora guarda silencio cuando llama un número desconocido, porque unos segundos de voz bastan para clonarla. Futurae no utiliza biometría propia para ello. En su lugar, transmite información contextual al banco para demostrar que, por ejemplo, la activación de un nuevo dispositivo o una llamada al servicio de ayuda se produce en un contexto conocido y seguro. Si un atacante se hace pasar por un cliente desde otro lugar y sin los patrones de interacción habituales, la anomalía queda a la vista y el banco puede bloquear la operación. Marforio indicó que el procesamiento está diseñado para proteger la privacidad.
Cumplimiento desde el diseño
Futurae ofrece un servicio exclusivamente en la nube; el despliegue on-premise no es una opción, algo que Marforio calificó de obstáculo inicial que las entidades financieras aceptan hoy con más amplitud. Citó varias medidas: los datos se procesan en tránsito y se almacenan en reposo dentro de la jurisdicción europea, la criptografía sigue estándares consolidados con preparación para amenazas poscuánticas y los clientes están separados técnicamente en entornos independientes. El acceso del personal a los datos de los clientes, incluido el del propio Marforio, requiere una aprobación interna que queda registrada y es auditable.
Por contrato, los clientes reciben un anexo DORA o un acuerdo RGPD. Futurae actúa como subencargado del tratamiento, de modo que un banco puede trasladarle reclamaciones como solicitudes de supresión o de registros de auditoría. Marforio señaló que no es abogado y que las declaraciones jurídicas serían revisadas por el departamento legal de la empresa.
Construir el banco, no la autenticación
Con las herramientas de programación con IA, algunas entidades pueden sentirse tentadas a desarrollar por sí mismas las funciones de seguridad. Marforio lo desaconseja: «Si eres un banco, concéntrate en construir el banco». La autenticación, la confirmación de transacciones y la detección del fraude son problemas difíciles, dijo, y cambian tanto con la regulación como con los atacantes.
El nuevo producto de Futurae, Trust Signals, entrega datos contextuales directamente a los clientes para que los integren en sus procesos antifraude existentes, con el objetivo de reducir el fraude y los falsos positivos. «Al final, nuestro objetivo es hacer más seguro el ecosistema europeo en línea siempre que haya una operación digital», dijo Marforio.
El Dr. Dietmar Müller es un experimentado periodista especializado en TI y redactor jefe de Beyond Buzzwords. Cuenta con décadas de experiencia en el mercado alemán e internacional de las tecnologías de la información, así como con una sólida trayectoria editorial en prestigiosas editoriales y medios de comunicación como Springer, IDG y CBS Interactive. Ya se trate de artículos especializados en distintos medios, análisis en profundidad o entrevistas bien documentadas, ya sea desde su escritorio o en contacto directo con figuras destacadas del sector: el Dr. Dietmar Müller se mueve con total soltura en el mundo de las tecnologías de la información empresariales. Sus áreas temáticas principales abarcan las arquitecturas de TI y OT empresariales, la nube, los sistemas ERP y MES, los centros de datos, la ciberseguridad y el cumplimiento normativo, la automatización industrial y la gobernanza de la IA, entre otras.