Las autoridades financieras del Grupo de los Siete planean realizar simulacros coordinados de ciberataques con inteligencia artificial contra bancos e infraestructuras financieras críticas. Esta iniciativa traslada el debate político de las advertencias generales a cuestiones operativas: quién detecta un ataque, quién comparte la información, cómo las instituciones garantizan la continuidad de los pagos y cómo los gobiernos se comunican sin agravar la pérdida de confianza.
La ministra de Finanzas japonesa, Satsuki Katayama, anunció el acuerdo tras la reunión de ministros de finanzas y gobernadores de bancos centrales en Bangkok. Según Reuters , las autoridades financieras del G7 elaborarán escenarios para poner a prueba los procedimientos de respuesta existentes y revisarlos en caso de que se detecten deficiencias. Las instituciones financieras privadas podrán participar, dependiendo del diseño. Aún no se ha publicado ningún calendario ni escenario de ataque detallado.
Lo que puede probar un taladro de mesa
Un ejercicio de simulación no es un ataque real a sistemas de producción. Los participantes trabajan en un incidente simulado, toman decisiones bajo presión de tiempo e identifican deficiencias en la autoridad, las comunicaciones y la planificación de la recuperación. Un escenario útil para el G7 podría ser un ataque que comprometa un proveedor de nube compartida, corrompa las instrucciones de pago o sature a los equipos de detección de fraude con actividad generada por máquinas en varias jurisdicciones.
El nuevo plan se basa en la coordinación existente en lugar de partir de cero. En agosto, el Departamento del Tesoro de EE. UU. anunció que el Grupo de Expertos en Ciberseguridad del G7 había completado un ejercicio transfronterizo para 2026 que simulaba un ciberataque a gran escala en todas las jurisdicciones del G7. El Reino Unido publicó un resumen, indicando que el ejercicio tenía como objetivo fortalecer la coordinación entre las autoridades financieras. La propuesta más reciente es más específica: se centra en la IA como acelerador de la amenaza y evalúa si los planes de acción anteriores siguen siendo adecuados.
Esa distinción es importante. La IA no necesita inventar una nueva clase de ataque para cambiar el riesgo. Puede ayudar a los adversarios a buscar vulnerabilidades, generar mensajes convincentes, adaptar código malicioso y operar a una velocidad que reduce el tiempo disponible para la revisión humana. Al mismo tiempo, los defensores pueden usar la IA para detectar anomalías, priorizar alertas y automatizar la contención. Un análisis riguroso debe poner a prueba ambas capacidades.
Por qué las finanzas plantean un problema sistémico
El análisis técnico del Fondo Monetario Internacional identifica a los proveedores de servicios comunes y la infraestructura digital compartida como vulnerabilidades clave. Si muchas instituciones dependen de la misma plataforma en la nube, servicio de identidad, proveedor de modelos o componente de software, una sola brecha de seguridad puede extender la interrupción operativa mucho más allá del objetivo inicial. Los ataques automatizados también pueden superar los procesos de escalamiento manual.
El informe de estabilidad del FMI de octubre considera las ciberamenazas como un riesgo sistémico creciente a medida que los servicios financieros se digitalizan e interconectan. La preocupación no se limita al robo de datos. Un ataque que inhabilite una institución o un servicio de pago crítico puede interrumpir las transacciones, perjudicar la gestión de la liquidez y socavar la confianza pública, incluso si los saldos de los clientes permanecen intactos.
La coordinación transfronteriza es esencial, ya que las instituciones financieras, los proveedores de servicios en la nube y las redes de pago operan habitualmente a través de las fronteras nacionales. Una autoridad puede supervisar un banco, otra una entidad de servicios públicos y una tercera al proveedor de tecnología del que dependen ambos. Sin canales preestablecidos, los funcionarios pueden perder tiempo decidiendo qué información compartir, quién lidera la respuesta y cuándo notificar al público.
Lo que el G7 debería medir
El ejercicio solo será útil si produce resultados concretos. Las autoridades deben medir el tiempo de detección, la latencia en la toma de decisiones, la velocidad del intercambio seguro de información y la capacidad de mantener los servicios esenciales. También deben comprobar si los canales de comunicación de respaldo funcionan cuando los sistemas principales no están disponibles y si los planes de recuperación contemplan datos corruptos en lugar de simples interrupciones del servicio.
Los ejercicios también deben abordar la incertidumbre del modelo. Un equipo de respuesta podría desconocer si la actividad inusual fue generada por un agente autónomo, un delincuente que utilizó automatización convencional o un atacante tradicional que añadió una etiqueta de IA para intimidar. Los procedimientos deben basarse en el comportamiento observado y el impacto operativo, no en afirmaciones especulativas sobre la herramienta utilizada en el incidente.
La comunicación pública es otro desafío. Exagerar un evento puede acelerar el pánico; minimizarlo puede destruir la confianza cuando se conozcan los hechos. Un mensaje coordinado debe distinguir entre interrupción del servicio, exposición de datos y pérdidas financieras, a la vez que explica qué deben hacer los clientes. Los reguladores también necesitan un método para compartir indicadores clasificados o comercialmente sensibles con las instituciones que puedan actuar en consecuencia.
Del ejercicio a la resiliencia
Los simulacros de mesa no pueden sustituir los controles básicos. Las instituciones siguen necesitando una gestión de identidades sólida, redes segmentadas, copias de seguridad probadas, actualizaciones rápidas, supervisión de proveedores y personal capacitado para reconocer la ingeniería social. El esfuerzo del G7 es valioso porque se centra en el nexo entre las organizaciones: el punto en el que empresas técnicamente competentes aún pueden fallar colectivamente.
Por lo tanto, los ejercicios anunciados deben considerarse una prueba de gobernanza. Las autoridades del G7 han reconocido que la IA puede acelerar las ciberamenazas a la estabilidad financiera; ahora deben demostrar que las advertencias se traducen en manuales revisados, una coordinación más rápida e inversión en la recuperación. Publicar un resumen de las lecciones aprendidas, sin revelar detalles que puedan ser objeto de abuso, permitiría al público y a las instituciones más pequeñas evaluar si el ejercicio mejoró la preparación en lugar de simplemente reiterar la preocupación. También proporcionaría a los reguladores fuera del G7 una base práctica para adaptar simulacros similares a sus propios sistemas financieros.
