Los ‘hackers’ amenazan el parqué

Por si no fueran pocos los fuegos aún por extinguir en los mercados financieros, ahora surge un nuevo foco de incertidumbre: los ciberataques. El que ha dado la voz la alarma sobre esta amenaza es nada menos que la organización internacional que cobija a los principales supervisores bursátiles (IOSCO, por sus siglas en inglés). Este organismo, en colaboración con la Federación Mundial de Bolsas (WFE), ha publicado recientemente un estudio titulado Cibercrimen, mercados de valores y riesgo sistémico.

El trabajo analiza las maniobras de los piratas informáticos en las Bolsas y la amenaza que estos suponen para el funcionamiento eficiente de los mercados. La principal conclusión es que este tipo de ataques no debe infravalorarse, ya que puede suponer en el futuro un potencial riesgo sistémico. IOSCO subraya que ciertos tipos de cibercrímenes constituyen “más que un simple problema tecnológico”. “Mientras que este tipo de actividades delictivas todavía no ha tenido un impacto sistémico, muestran un rápido grado de desarrollo desde el punto de vista del número de actores, motivos, complejidad y frecuencia”, señalan. La advertencia no se queda ahí, ya que el coordinador de los supervisores añade que tomarse a la ligera esta situación podría dejar la puerta abierta a un “cisne negro” en los mercados en referencia a la teoría de Nassim Taleb según la cual de vez en cuando surge un acontecimiento altamente improbable, pero que causa un gran impacto.

El informe de IOSCO incluye una encuesta entre las Bolsas mundiales sobre su experiencia con los ciberataques y la percepción que tienen sobre el riesgo que estos suponen. Un alto número de Bolsas, en concreto un 53%, reconocen haber sido objeto de algún ataque por parte de hackers en 2012. Todos los mercados valoran los daños producidos en menos de un millón de dólares. Mientras en el sector financiero las maniobras de los piratas informáticos tienen como meta el fraude o el robo, en el caso de los ataques a las Bolsas la gran mayoría de actuaciones no tiene por objetivo fines económicos, y son más bien del tipo de traspaso de virus o causar daños a los servidores de datos. Hasta ahora, los ciberataques se han centrado en servidores online o en páginas webs de las Bolsas y no han llegado a aproximarse a sistemas críticos para el funcionamiento del mercado como las plataformas de negociación.

El 53% de las Bolsas mundiales sufrió algún ataque el pasado año

El 93% de las Bolsas encuestadas asegura que dispone de protocolos de actuación en caso de un ciberataque y todas dicen ser capaces de identificar una acometida de este tipo en menos de 48 horas. Además, esta amenaza ha sido discutida por los gestores de las compañías gestoras de los mercados de valores. Sin embargo, muchas de las Bolsas reconocen que es imposible contar con una protección al 100% segura contra este tipo de crímenes si se producen a gran escala y de forma coordinada. Por eso piden que se reconozcan como un potencial riesgo sistémico.

“El impacto potencial de un fallo en los sistemas de defensa contra la actuación de un hacker podría afectar a la reputación, la confianza y la integridad de los mercados y a la estabilidad financiera”, concluye IOSCO. La encuesta realizada por WFT señala que solo un 22% de las Bolsas tiene contratado un seguro para protegerse del cibercrimen. Este bajo nivel de protección se debe, según el estudio, a la escasez de pólizas en el mercado para proteger este tipo de riesgos.

Pero ¿de qué riesgos estamos hablando si no se ponen medidas para combatir el apetito destructivo de los hackers? IOSCO enumera varios posibles escenarios de un ataque informático masivo. Uno de los riesgos sistémicos sería la suspensión de la negociación bursátil, lo que provocaría un caos financiero de primera magnitud. Otra de las amenazas sería un ataque a las redes de telecomunicaciones para dificultar el acceso de los inversores a los mercados. También se contempla la posibilidad de la manipulación de datos que sirven de referencia a los mercados, la publicación de información confidencial, un hipotético bloqueo de la actividad de las entidades que ejerce la compensación y liquidación de las operaciones (en ese caso no se podría demostrar quiénes han vendido ni quiénes han comprado, a qué precio o por qué volumen de títulos)...

Para limitar los daños potenciales de cualquiera de estos ataques, IOSCO demanda protocolos de actuación, sistemas de intercambio de información entre mercados y una regulación transnacional más efectiva contra los ciberataques.