El BCE multa a Abanca con 3,15 millones por informar de un ataque cibernético fuera de plazo

A veces las formas son tan importantes como el fondo, hacemos un pan con dos tortas y el remedio es peor que la enfermedad. Dichos, expresiones y refranes diversos para introducir lo que le ha pasado a Abanca: no seguir un protocolo europeo de ciberseguridad le ha costado más de tres millones de euros en concepto de sanción.

Todo se entiende con claridad meridiana leyendo la nota de prensa del BCE (que son quienes han puesto la multa en cuestión) sobre el caso. El principio de esta historia se remonta a febrero de 2019, cuando la entidad bancaria sufrió un ciberataque consistente en la penetración de malware (software malicioso) en sus sistemas.

Y el problema no estuvo en la penetración en sí, sino en el incumplimiento de los protocolos de comunicación establecidos: los bancos tienen el deber de informar al BCE de incidentes cibernéticos dentro de las dos horas posteriores a la detección, tal y como establece el marco de notificación de incidentes cibernéticos implementado en 2017, para evitar potenciales escaladas en las amenazas.

A 65.000 € cada hora de retraso

Debe quedar claro que la sanción no tiene nada que ver con la solidez de los sistemas de seguridad informática del banco de origen gallego, sino con el incumplimiento del protocolo de comunicación; en lugar de informar antes de dos horas, Abanca informó antes de dos días, es decir, con 46 horas de retraso.

Los responsables de Abanca han explicado por activa y por pasiva que la sanción “No tiene que ver ni con la manera en que el banco gestionó el incidente, ni con sus sistemas de seguridad, ni con los efectos sobre los clientes, los cuales no sufrieron pérdidas económicas ni de información”.

No obstante, el incumplimiento ha sido calificado de grave por el BCE, no tanto por la interrupción del servicio que se produjo en los cajeros automáticos, la banca online y los pagos Swift de la entidad en 2019 como por las potenciales consecuencias que la demora en la notificación pudo haber causado en el ecosistema bancario.

Nos hemos molestado en “echar la cuenta” de la penalización para poner de relieve el coste que pueden llegar a tener por un lado las debilidades en el sistema de ciberseguridad de una empresa, por otro el incumplimiento de las normativas sobre ciberseguridad, y por último no contar con un ciberseguro especializado y con una amplia cobertura.