Informe de Servicios Financieros 2026 de Black Kite: Una creciente crisis de ciberseguridad en el sector bancario y de inversión

Un nuevo informe de Black Kite sugiere que el sector financiero está entrando en una fase más peligrosa de riesgo cibernético, en la que los tradicionales ataques de ransomware y las vulnerabilidades de terceros en expansión rápida se están convirtiendo en lo que la empresa describe como una “tormenta dual”. En su informe recién publicado 2026 Financial Services Report: La tormenta dual de ransomware y riesgo de ecosistema de proveedores, el equipo de investigación de Black Kite encontró que las instituciones financieras están enfrentando simultáneamente un resurgimiento en los ataques de ransomware directos mientras se vuelven cada vez más expuestas a través de los proveedores y prestadores de servicios que respaldan sus operaciones.

El informe se basa en inteligencia de ransomware recopilada entre enero de 2023 y el primer trimestre de 2026, junto con un análisis de más de 17.000 proveedores monitoreados por Black Kite, incluyendo 140 empresas cuyas bases de clientes están altamente concentradas en servicios financieros. Los hallazgos apuntan a un panorama de amenazas que ha evolucionado más allá de incidentes aislados y ahora representa un desafío sistémico para los bancos, las firmas de inversión, los gestores de activos y otras instituciones financieras.

El ransomware regresa después de una breve pausa

Las instituciones financieras experimentaron una disminución temporal en la actividad de ransomware durante 2024, en gran parte debido a operaciones internacionales de aplicación de la ley que se centraron en grupos de ransomware importantes como LockBit y Clop. Sin embargo, la investigación de Black Kite indica que la disminución fue de corta duración.

Los incidentes de ransomware reportados que apuntaban a organizaciones financieras aumentaron de 156 en 2024 a 202 en 2025, lo que representa un aumento del 30%. La aceleración parece estar continuando en 2026. Durante el primer trimestre solo, los investigadores documentaron 65 incidentes de ransomware, una cifra que supera el mismo período en 2025 en un 76%.

En lugar de desaparecer, los operadores de ransomware se reorganizaron. El número de grupos de amenazas distintos que apuntaban al sector financiero aumentó de 37 en 2023 a 45 en 2024 y luego aumentó nuevamente a 48 en 2025. Nuevos líderes surgieron, con Qilin, Akira y Kill Security convirtiéndose en algunos de los grupos más activos que apuntaban a instituciones financieras. Qilin solo fue responsable de 59 incidentes en el sector financiero en el último año.

Las firmas de inversión se han convertido en el objetivo principal

Uno de los cambios más notables documentados en el informe es el perfil cambiante de las víctimas de ransomware.

En 2023, los bancos fueron el subsector financiero más objetivo, con 71 incidentes reportados. Las firmas de inversión registraron 44 incidentes ese año. Para 2025, la situación se había invertido. Las firmas de inversión se convirtieron en el segmento más objetivo, con 84 incidentes, lo que representa el 41,6% de todos los incidentes de ransomware en el sector financiero. Los incidentes bancarios disminuyeron a 36.

Según el informe, un factor importante detrás de este cambio fue una campaña contra gestores de activos de Corea del Sur en septiembre de 2025. Esa campaña generó 32 revelaciones y representó más del 38% de todos los incidentes de ransomware registrados en el segmento de gestión de inversiones ese año.

La distribución geográfica de los ataques también revela cómo se pueden concentrar ciertas campañas. Si bien Estados Unidos siguió siendo el país más objetivo durante todo el período de estudio, Corea del Sur surgió como un punto caliente importante después de una gran comprometida de la cadena de suministro que afectó a decenas de organizaciones financieras.

El riesgo de proveedores está escalando más rápido que los ataques directos

Si bien los titulares de ransomware a menudo se centran en ataques contra instituciones individuales, Black Kite argumenta que los ecosistemas de proveedores ahora representan una fuente de riesgo igualmente importante.

El informe destaca un incidente de septiembre de 2025 en el que la comprometida de un solo proveedor de servicios administrados en Corea del Sur se extendió a 28 instituciones financieras y resultó en el robo de más de dos terabytes de datos. Los investigadores describen el evento como un ejemplo de cómo una sola brecha puede crear consecuencias sistémicas en todo un sector.

El perfil de vulnerabilidad de los proveedores que atienden a instituciones financieras parece estar empeorando rápidamente. Entre los 140 proveedores analizados en detalle, el número de proveedores con vulnerabilidades críticas con puntuaciones CVSS de 9 o superiores aumentó de 15 en 2024 a 73 en 2025, un aumento de 4,9 veces. Los proveedores con vulnerabilidades de gravedad alta con puntuaciones de 8 o superiores aumentaron de 31 a 87 durante el mismo período.

Los investigadores también encontraron que el 54% de los proveedores centrados en finanzas tenían al menos una vulnerabilidad incluida en el catálogo de vulnerabilidades explotadas conocidas de CISA, lo que significa que los atacantes ya están explotando activamente esas debilidades en ataques del mundo real.

Los fallos en la gestión de parches siguen siendo generalizados

Muchas de las debilidades identificadas en el informe no son vulnerabilidades de “día cero” exóticas, sino más bien problemas de seguridad de larga data que las organizaciones han luchado por abordar.

Entre los 140 proveedores examinados, 109 organizaciones, o el 78%, mostraron al menos un fallo crítico en la gestión de parches. Los sistemas de autenticación de correo electrónico mal configurados también fueron comunes, con 47 proveedores que operaban con registros DMARC mal configurados y 37 proveedores que mostraban implementaciones DKIM mal configuradas.

El informe también encontró evidencia de problemas de higiene de seguridad más amplios en los ecosistemas de proveedores. Casi el 18% de los proveedores centrados en finanzas tenían credenciales filtradas expuestas en fuentes públicas, mientras que más del 42% mostraron evidencia de credenciales que aparecían en registros de estafadores. Los investigadores también identificaron indicadores de infraestructura de phishing, comunicaciones de IP maliciosas y infecciones de botnet en porciones significativas de la población de proveedores.

La explosión de vulnerabilidades está apenas comenzando

Los hallazgos llegan en un momento en que las organizaciones enfrentan un volumen rápidamente creciente de nuevas vulnerabilidades de software descubiertas.

Según el informe, más de 48.000 vulnerabilidades comunes y exposiciones (CVE) se publicaron a nivel mundial durante 2025, un aumento del 18% con respecto al año anterior. Los investigadores de Black Kite identificaron 1.240 de esas vulnerabilidades como riesgos de alta prioridad para las cadenas de suministro de terceros, un aumento del 59% con respecto a 2024.

El informe argumenta que la inteligencia artificial probablemente acelerará esta tendencia. Las herramientas de descubrimiento de vulnerabilidades asistidas por IA están aumentando la velocidad a la que se pueden identificar las fallas de seguridad, mientras que los sistemas de IA en sí están creando nuevas superficies de ataque que las organizaciones deben proteger. Como resultado, las instituciones financieras pueden enfrentar pronto un flujo más grande y más rápido de vulnerabilidades explotables que los procesos tradicionales de gestión de riesgos no estaban diseñados para manejar.

La ciberseguridad financiera se está convirtiendo en un problema de la cadena de suministro

La conclusión central del informe de servicios financieros 2026 de Black Kite es que las instituciones financieras ya no pueden ver la ciberseguridad solo a través de la lente de sus propias defensas internas. El análisis del informe muestra que la actividad de ransomware está aumentando nuevamente al mismo tiempo que los ecosistemas de proveedores se están volviendo significativamente más vulnerables. Las vulnerabilidades críticas entre los proveedores centrados en finanzas han aumentado, los plazos de explotación continúan disminuyendo y una sola comprometida de un proveedor puede afectar ahora a decenas de instituciones simultáneamente.

Como señala el informe, la resistencia cada vez más depende de la capacidad de una organización para identificar, priorizar y responder continuamente a los riesgos en su entorno interno y su cadena de suministro extendida. Para una industria construida sobre software interconectado, proveedores de servicios y infraestructura externalizada, la gestión de riesgos de terceros ya no es solo un ejercicio de cumplimiento. Según la investigación de Black Kite, se está convirtiendo en un componente fundamental de la seguridad del sector financiero.