El BCE advierte a los bancos sobre ciberamenazas impulsadas por IA
El Banco Central Europeo ha emitido una advertencia oficial a todos los bancos de la eurozona, instándolos a reforzar sus defensas contra ciberataques generados por modelos avanzados de inteligencia artificial.
El mito de 'Mythos': cómo la falta de acceso a la IA se convirtió en el principal riesgo sistémico para el sector bancario europeo
Frank Elderson, vicepresidente del Consejo de Supervisión del Banco Central Europeo, emitió el 13 de mayo de 2026 una advertencia que habría sido titular en cualquier otro contexto noticioso: los bancos europeos deben prepararse de inmediato, "ahora mismo", para ciberataques que utilicen el modelo de IA Mythos de Anthropic, a pesar de que no tienen ni tendrán acceso a este modelo. La declaración se produjo en una entrevista para el boletín interno de supervisión del BCE, y es precisamente este formato casi invisible lo que revela la verdadera naturaleza de lo que está sucediendo. El regulador no está tanto informando al mercado como documentando su posición para futuros procedimientos.
La esencia: qué está sucediendo realmente
Formalmente, el BCE está advirtiendo a los bancos sobre una nueva clase de amenazas cibernéticas. El miembro del Comité Ejecutivo, Frank Elderson, declaró literalmente: "La falta de acceso [a Mythos] no justifica la inacción. Al contrario, hace que sea críticamente importante que los bancos actúen y tomen medidas ahora mismo". El regulador señala que los grandes bancos estadounidenses que recibieron acceso temprano a Mythos ya están corrigiendo vulnerabilidades en sus centros de datos identificadas por el modelo de IA. Se espera que Japón obtenga acceso para sus tres bancos más grandes en dos semanas. Europa queda fuera.
Pero la verdadera esencia de la declaración de Elderson no es la ciberseguridad en sí misma. Es un acto de externalización regulatoria de la responsabilidad. El BCE no puede proteger a los bancos europeos de una amenaza que ni siquiera puede evaluar. Así que traslada la carga a los propios bancos: prepárense para lo que no pueden ver, y si algo sucede, les advertimos.
Este patrón es familiar para cualquiera que haya seguido la supervisión bancaria europea en momentos de crisis. Cuando el regulador carece de herramientas directas, crea un rastro documental. Mayo de 2026 es ese momento: Mythos puede identificar y explotar vulnerabilidades de forma autónoma a una velocidad inalcanzable por las herramientas existentes, y realizar ingeniería inversa de parches de software para convertirlos en exploits mucho más rápido que antes. Los bancos europeos, sin acceso a esta herramienta, observan cómo los competidores estadounidenses corrigen agujeros y solo pueden adivinar cuán vulnerables son ellos mismos.
Cronología y contexto
La cadena de eventos que llevó a la declaración de Elderson se desarrolló rápidamente. En abril de 2026, Reuters informó que la autoridad supervisora del BCE tenía la intención de pedir a los bancos información sobre su preparación para una nueva fuente de riesgo: los ciberataques mejorados con IA. Ese mismo mes, surgieron datos de que los grandes bancos estadounidenses con acceso temprano a Mythos estaban corrigiendo urgentemente docenas de vulnerabilidades en sus sistemas de datos. Anthropic proporcionó acceso solo a unas pocas organizaciones estadounidenses: Amazon Web Services, Microsoft, Nvidia, Linux Foundation y JP Morgan, como parte de la iniciativa Project Glasswing.
A principios de mayo, la situación se intensificó. La presidenta del BCE, Christine Lagarde, declaró que el banco central estaba estudiando mecanismos de defensa contra ataques impulsados por Mythos, pero estaba en desventaja debido a la falta de acceso al modelo. El 12 de mayo, surgió información de que los tres bancos más grandes de Japón probablemente obtendrían acceso a Mythos en dos semanas. Europa sigue siendo el único bloque financiero importante excluido de la herramienta.
Luego, el 13 de mayo, se publicó la entrevista de Elderson. Describe Mythos como un "punto de inflexión en la ciberseguridad", una herramienta capaz de combinar vulnerabilidades aparentemente menores en vectores de ataque graves. Y al mismo tiempo, reconoce que los bancos europeos no solo no pueden usar Mythos para la defensa, sino que ni siquiera pueden evaluar la magnitud de su propia vulnerabilidad frente a él.
Quién gana y quién pierde
Los bancos estadounidenses ganan, pero no como parece a primera vista. JP Morgan y otros participantes de Project Glasswing obtienen no solo una herramienta de defensa, sino una ventaja de información asimétrica. Conocen sus vulnerabilidades, saben cómo Mythos las encuentra y pueden modelar vectores de ataque. Los bancos europeos carecen de esta información, lo que los hace más vulnerables a ataques de adversarios que —permítanme enfatizar— pueden usar Mythos o modelos similares independientemente de si los bancos tienen acceso a ellos.
Los bancos europeos pierden, estructuralmente y quizás de forma irreversible. No se trata solo de la falta de acceso a un modelo específico. Los datos de Binance Research muestran que los ataques mejorados con IA generan 4,5 veces más fondos por ataque y 9 veces más actividad transaccional que los métodos tradicionales. En 2025, el número de casos de suplantación de identidad aumentó un 1400% interanual, y el 88% de todos los casos de fraude con deepfake estaban vinculados a criptoactivos. Aunque son datos de la industria cripto, la metodología de ataque es universal, y los bancos europeos siguen sin una herramienta que pueda detectarlos.
El regulador europeo pierde como institución. La declaración de Elderson es una admisión de debilidad estructural. El BCE no puede obligar a Anthropic a proporcionar acceso. No puede realizar sus propias pruebas. No puede evaluar la magnitud de la amenaza. Todo lo que puede hacer es decirles a los bancos "prepárense". Esto no es regulación; es exhortación.
Lo que los medios no están diciendo
La primera y más crítica historia no contada: la advertencia del BCE llegó tres meses después de una filtración masiva de datos bancarios en Francia a través de un registro estatal: 1,2 millones de cuentas se vieron comprometidas mediante credenciales robadas de un empleado gubernamental. Esto no fue un hackeo mejorado con IA, sino un ataque clásico que utilizó ingeniería social y credenciales comprometidas. Si el sistema bancario europeo no pudo defenderse de un ataque de este nivel, ¿cómo se preparará para Mythos, que puede "identificar y explotar vulnerabilidades de forma autónoma a una velocidad y escala más allá de las herramientas existentes"?
El segundo factor oculto: el problema no es solo ni principalmente de los propios bancos, sino de sus contratistas. Elderson enfatizó específicamente que la infraestructura crítica y los proveedores de servicios externos utilizados por los bancos están en riesgo. Esto significa que el perímetro de vulnerabilidad es mucho más amplio que los balances de los propios bancos. Procesadoras de pagos, proveedores de nube, sistemas de pasarela SWIFT, centros de datos: todos podrían verse comprometidos a través de vulnerabilidades que una IA como Mythos encontrará más rápido de lo que los humanos pueden cerrarlas. Y mientras que los homólogos estadounidenses se prueban a través de Mythos, los europeos permanecen "ciegos".
El tercer aspecto poco informado: la economía de los ataques de IA hace que la defensa sea fundamentalmente más cara que el ataque. Binance Research señala que los exploits mejorados con IA cuestan actualmente alrededor de 1,22 dólares por contrato, y se espera que este costo disminuya un 22% cada dos meses. Esta es una economía radicalmente asimétrica. Con un costo de ataque de 1,22 dólares, un banco debe gastar millones en defensa. Con costos de ataque en descenso, esta brecha solo se ampliará. Y mientras que los bancos estadounidenses, al probar Mythos, al menos saben qué vulnerabilidades parchear primero, los bancos europeos se ven obligados a defenderse de todo a la vez, lo cual es imposible.
Pronóstico: próximos 30 días y 90 días
30 días (hasta mediados de junio de 2026):
El detonante será el acceso de los bancos japoneses a Mythos, esperado en las próximas dos semanas. Cuando Mitsubishi UFJ, Sumitomo Mitsui y Mizuho comiencen las pruebas, aparecerá el primer punto de referencia real: cuántas vulnerabilidades encuentra Mythos en los grandes bancos asiáticos. Esta información probablemente permanecerá confidencial, pero el mercado conocerá la magnitud a través de señales indirectas: actualizaciones urgentes del sistema, auditorías no programadas, aumento del gasto en ciberseguridad.
El BCE, según lo planeado en abril, comenzará la recopilación formal de información de los bancos supervisados sobre su preparación para ataques de IA. Espero que los resultados de la encuesta sean alarmantes y que el regulador pueda emitir directivas adicionales. También es probable que el BCE intensifique los esfuerzos diplomáticos para obtener acceso a Mythos para los bancos europeos, pero esto no sucederá rápidamente.
90 días (hasta mediados de agosto de 2026):
Para finales del verano, la desigualdad estructural que ahora solo está emergiendo se hará evidente. Los bancos con acceso a herramientas avanzadas de IA (estadounidenses y probablemente japoneses) tendrán un perfil de riesgo cibernético fundamentalmente diferente al de los europeos. Las agencias de calificación pueden comenzar a tener esto en cuenta en las calificaciones crediticias, especialmente si ocurre al menos un incidente de alto perfil que involucre un ataque mejorado con IA contra un banco europeo.
El informe de Quorum Cyber de 2026 ya señala que las demandas de rescate promedio en el sector de servicios financieros han aumentado un 179%, y el número de nuevos grupos de ransomware ha aumentado un 30%. Un actor estatal demostró la capacidad de automatizar hasta el 90% del proceso de intrusión utilizando IA. Si estas tendencias continúan, para agosto algún banco europeo se convertirá casi inevitablemente en víctima, y entonces surgirá la pregunta que el BCE ahora intenta prevenir con su advertencia: ¿por qué el banco no se preparó para una amenaza sobre la que el regulador advirtió en mayo?
Conclusión interna: la declaración de Elderson del 13 de mayo no es tanto una recomendación como la creación de una coartada regulatoria. Cuando (no si) un banco europeo sufra un ataque exitoso utilizando herramientas de IA de clase Mythos, el BCE podrá decir: les advertimos, el banco debería haberse preparado. Pero el problema subyacente sigue sin resolverse: el sistema bancario europeo ha sido excluido de una herramienta defensiva clave en un momento en que la economía de los ciberataques se ha desplazado radicalmente a favor de los atacantes. Esto no es una brecha tecnológica, es una vulnerabilidad estructural incrustada en la arquitectura de la regulación financiera global.
— Editorial Team
