Ciberseguridad y competencia: el desafío del sistema financiero

La creciente sofisticación de los ciberataques plantea un desafío para el sistema financiero: fortalecer la seguridad de las operaciones sin imponer costos de cumplimiento que dificulten la entrada de nuevos competidores. Esta preocupación fue advertida recientemente por el presidente del Banco Central de Reserva del Perú (BCRP), Julio Velarde, quien señaló que mayores exigencias de ciberseguridad podrían convertirse en una barrera para la competencia. 

Además, ante amenazas cada vez más sofisticadas, señaló que el BCRP evalúa mayores requisitos de ciberseguridad para las entidades que quieran conectarse a los sistemas de pago. La preocupación es que estas exigencias, aunque necesarias, dificulten el ingreso de nuevos participantes. 

La discusión cobra relevancia ante la expansión de los pagos digitales. Según el BCRP, su número creció un 37.2% interanual en el primer semestre de 2026. En el mismo período, el 96.9% de las transacciones entre cuentas de un mismo banco se realizaron vía canales no presenciales. Paralelamente, la SBS considera que el Perú reúne condiciones para recibir bancos que operen completamente de manera digital. 

Más canales y nuevos modelos de negocio amplían las oportunidades de competencia, pero también obligan a proteger una infraestructura cada vez más importante para las transacciones, por lo que el riesgo en este sector no es menor. Según IBM, los ataques impulsados por inteligencia artificial aumentaron un 56% respecto de su edición anterior. Estas herramientas facilitan la suplantación de identidad, la búsqueda de vulnerabilidades y la automatización de ataques. 

El Perú tiene un antecedente cercano. En octubre de 2024, la SBS informó sobre interrupciones en los servicios de Interbank y la posible exposición de información sensible. Posteriormente, el banco sostuvo ante el Congreso que la falla operativa y el intento de extorsión relacionado con los datos fueron hechos independientes. Ambos episodios ilustraron la importancia de garantizar la continuidad de los servicios y proteger la información de los clientes. 

En Brasil, el incidente de Sinqia, proveedora tecnológica de instituciones financieras, evidenció los riesgos asociados con terceros. En agosto de 2025, su plataforma vinculada al sistema de pagos Pix^[1] procesó aproximadamente US$ 130 millones en transacciones no autorizadas que afectaron a dos entidades, y solo una parte de los fondos fue recuperada. Según su matriz, Evertec, los atacantes utilizaron credenciales legítimas de proveedores tecnológicos. 

El impacto económico va mucho más allá de una eventual pérdida de dinero. Deloitte identificó riesgos de interrupción de servicios esenciales, vulnerabilidades en proveedores y una capacidad de respuesta que puede quedar rezagada frente a la velocidad de las amenazas. Para las entidades, ello implica gastos de investigación, recuperación, medidas de protección y posibles pérdidas de confianza. 

Según IBM, el costo promedio global de una filtración de datos en el sector financiero alcanzó los US$ 6.29 millones en 2026, el segundo más elevado entre los sectores analizados. Esta cifra comprende los costos asociados con este tipo de incidentes y evidencia las consecuencias económicas que pueden enfrentar las entidades financieras ante vulneraciones de seguridad. 

El desafío también es competitivo. Implementar sistemas de respaldo, contratar especialistas y cumplir exigencias de ciberseguridad implica costos fijos que pueden representar una proporción mayor de los recursos de una fintech o una cooperativa que de los de un banco de gran escala. Si bien resulta indispensable garantizar estándares adecuados de protección, imponer requisitos uniformes sin considerar los riesgos, el tamaño y las funciones de cada entidad podría elevar las barreras de entrada y limitar la competencia. Por ello, la regulación debe ser proporcional al riesgo que representa cada participante para el sistema financiero. 

La regulación peruana también ha avanzado. En julio de 2026, la SBS aprobó nuevas disposiciones para informar a los usuarios sobre incidentes que los afecten, incluidos aquellos relacionados con la ciberseguridad. La norma, cuya entrada en vigor está prevista para 2027, establece un plazo de 24 horas para las comunicaciones por medios masivos, cuando correspondan. Asimismo, la SBS aprobó el reglamento de Banking as a Service, orientado a facilitar nuevos modelos de prestación de servicios financieros. Su entrada en vigor está prevista para el 30 de diciembre de 2026 y contempla controles de seguridad en el intercambio de información, supervisión de terceros y reporte de incidentes de seguridad a la SBS. 

El objetivo no es elegir entre protección y competencia, sino garantizar un equilibrio entre ambas. Para ello, se necesitan estándares exigentes, pero proporcionales al riesgo y la función de cada participante, que protejan a los usuarios sin imponer barreras innecesarias a la innovación, inversión y competencia del sistema financiero.

[1] Sistema de pago digital lanzado por el Banco Central de Brasil.