Ilustración: una película de escaneo, en nubes de puntos, de los lugares de un banco, una aseguradora, un fondo o una fintech: la sede central, un puesto de operaciones donde se rellena el acceso de administración del core bancario, un CPD, una sala de mercados, una sucursal de noche, un móvil que paga en un datáfono y la marca de Cantic. Las etiquetas muestran lecturas y direcciones ficticias.
BancosFintechAseguradorasFondos
Entramos en tu banco o aseguradora antes que un delincuente.
De tu web y tu app a los sistemas centrales que hay detrás. Con Fortify, escribimos el arreglo en 24 horas.
Ataque real Santalucía, aseguradora Ver los ataques
Servicios financieros
Tus clientes entran desde cualquier sitio. Un delincuente, también.
Cada línea que llega a internet es una puerta.
Eclipse, nuestro propio modelo entrenado para atacar, sigue hasta que puede demostrar el control total.
Dicho claro: un atacante que trabaja para tu empresa.
Hasta dónde llega Eclipse
- Web
- Aplicaciones
- Correo
- Accesos
- Nube
- Servidores
- Red interna
- Máquinas
Con qué funciona tu empresa
Sabemos con qué funciona una entidad financiera. Los delincuentes, también.
Empresas externas
- Tu proveedor informático
- Proveedor del software central
- Procesadores de tarjetas y pagos
- Socios fintech
- Centro de atención externalizado
Acceso remoto
- VPN
- Escritorio remoto
- Soporte remoto
- API para terceros
- Portales de proveedores
- Consolas en la nube
-
Sucursal
- Puestos de ventanilla
- Cajeros automáticos
-
App y web
- Web
- Banca online
- App móvil
- Portales de clientes y mediadores
-
Pagos
- Procesamiento de tarjetas
- Transferencias
- API de banca abierta
-
Mercados
- Gestión de órdenes
- Datos de mercado
- Portales de brókeres
-
CPD
- Core bancario
- Gestión de pólizas
- Acceso de administración
- Copias de seguridad
-
Servicios centrales
- Correo
- Siniestros
- CRM
- Centro de atención al cliente
Ataque real
Ataques que llegaron a bancos, fintech, aseguradoras y fondos.
-
España
Santalucía, aseguradora
Se consultaron sin autorización nombres, direcciones, teléfonos y DNI de clientes, según la aseguradora.
Fuentes Escudo Digital APD
-
Estados Unidos
Aflac, aseguradora
La ingeniería social abrió paso a un intruso; los archivos posiblemente afectados pueden contener datos de salud, según la aseguradora.
Fuentes Aflac Incorporated, SEC Office of the Attorney General of Iowa (Aflac’s notice, sent by Hogan Lovells)
-
Estados Unidos
Coinbase, plataforma de criptomonedas
Un delincuente pagó a personal de soporte por datos de clientes y exigió dinero por no publicarlos.
Fuentes Coinbase Global, SEC The Register
Comparado
Esto no es un pentest anual.
| Un pentest normal | Cantic |
|---|---|
| Una vez al año | Día y noche, y con cada cambio |
| Un PDF semanas después | Pruebas en el momento, con la reproducción |
| Se queda en la web | De la web al servidor y a la máquina |
| Tú buscas el arreglo | Escribimos el arreglo en un plazo de 24 horas |
| Esperas que aguante | Volvemos a atacar para comprobar que aguanta |
Bajo tu control
Dentro de las reglas que tú firmas.
Límites claros y privacidad de los datos para entidades financieras y sus clientes.
No se ejecuta nada hasta que firmas
Una autorización y unas reglas de intervención, firmadas por quien puede autorizar la prueba.
Dentro de los límites que fijas
Tu alcance, tu horario y tus límites. Se detiene cuando puede demostrar el control.
Detén la prueba en 60 segundos
Ritmo limitado y tiempo acotado, así que tus sistemas no se ralentizan.
Cada acción, en el registro
Con hash y sello de tiempo en un registro que puedes inspeccionar, y en directo.
Una persona en cada hallazgo crítico
Un responsable asignado de nuestro equipo.
Ninguna empresa externa de IA ve tus datos
Eclipse es nuestro propio modelo, en nuestros propios servidores.
Destruidos al terminar el trabajo
Lo borramos en varios pasos en nuestros sistemas; no nos lo quedamos. Informes de la primera prueba: 14 días si no te suscribes.
El arreglo llega a tu proveedor informático
Los hallazgos y los arreglos van a tu propio equipo o a tu proveedor informático.
Normativa
Las normas que se aplican a una entidad financiera.
- DORA pide a las entidades incluidas, salvo las microempresas, probar sus sistemas esenciales al menos una vez al año (artículos 24 y 25). 1
- Las que designe su supervisor deben hacer además pruebas de penetración basadas en amenazas (TLPT) al menos cada tres años (artículo 26). 1
- La primera notificación de un incidente grave de TIC se envía en un plazo de cuatro horas desde que se clasifica como grave (artículo 19). 2
Preguntas
Lo que nos preguntan
- ¿Ayuda con DORA? ¿Sustituye a las TLPT?
- Ayuda a cumplir los requisitos de pruebas de DORA con un registro de cada paso, pero no certifica el cumplimiento ni sustituye a las TLPT.
- ¿Qué recibe quien nos audita?
- El alcance firmado, cada hallazgo con su prueba y su reproducción, el arreglo que lo cierra y la constancia de la nueva prueba.
- ¿Cómo tratáis nuestros datos? ¿Diréis alguna vez que somos clientes vuestros?
- Los hallazgos van cifrados y se tratan bajo acuerdo de confidencialidad, y nunca nombramos a ningún cliente.
Cómo empieza
Tus resultados en un día.
Tú firmas las reglas
Una autorización y unas reglas de intervención, firmadas antes de que se ejecute nada.
Eclipse prueba lo que está dentro del alcance
Desde fuera, como lo haría un atacante. No hay nada que instalar.
Ponemos los hallazgos sobre la mesa
En lenguaje claro, con lo que hay que hacer. Cada hallazgo llega con su prueba.
Fuentes
- EU Official Journal (publications.europa.eu), Regulation (EU) 2022/2554 on digital operational resilience for the financial sector, . Consultado el .
- CNMV, Preguntas frecuentes sobre el Reglamento 2022/2554 de resiliencia operativa digital (Reglamento DORA), . Consultado el .
- EU Official Journal (legislation.gov.uk), Directive (EU) 2015/2366 on payment services in the internal market, . Consultado el .