La transformación digital del sistema financiero europeo ha hecho que los teléfonos móviles se conviertan en una de las principales puertas de acceso a los servicios bancarios. Transferencias, pagos instantáneos, consultas de saldo, autenticación de clientes y operaciones financieras que antes requerían acudir a una oficina pueden realizarse actualmente desde una aplicación.
Esta evolución también ha ampliado la superficie de ataque para los ciberdelincuentes. Un fallo en una aplicación bancaria, una vulnerabilidad en un proveedor tecnológico, un ataque de denegación de servicio o una campaña de suplantación de identidad pueden afectar no solamente a un usuario, sino potencialmente a miles o millones de clientes.
En este contexto, la Unión Europea ha elevado progresivamente las exigencias de seguridad y resiliencia para las entidades financieras. Uno de los principales instrumentos es el Reglamento de Resiliencia Operativa Digital (DORA), aplicable desde enero de 2025, que establece un marco común para gestionar los riesgos relacionados con las tecnologías de la información y las comunicaciones en el sector financiero.
Aunque esto no equivale a una obligación específica de realizar “pruebas de estrés en tiempo real” sobre cada aplicación móvil bancaria, sí supone un cambio importante: las entidades deben demostrar que cuentan con sistemas capaces de resistir, responder y recuperarse ante interrupciones y ataques tecnológicos.
La banca digital se enfrenta a un escenario de amenazas cada vez más complejo
El crecimiento de los pagos digitales ha modificado la manera en que los delincuentes intentan atacar a las instituciones financieras.
Ya no se trata únicamente de intentar vulnerar directamente los servidores de un banco. Los ataques también pueden dirigirse contra los clientes mediante técnicas de ingeniería social, phishing, smishing, malware, robo de credenciales o suplantación de entidades legítimas.
La propia EBA ha advertido sobre el crecimiento del fraude conocido como APP fraud (Authorised Push Payment fraud). En este tipo de estafa, la víctima es manipulada para autorizar voluntariamente una transferencia hacia la cuenta controlada por el delincuente. Según el informe de tendencias de consumo de la EBA, los criminales pueden aprovechar el sentido de urgencia y el miedo para convencer a las personas de ejecutar pagos en tiempo real, incluso mediante soluciones de pago móvil.
Por ejemplo, un atacante podría hacerse pasar por un banco mediante un mensaje de texto y afirmar que existe un supuesto problema con la cuenta. El usuario podría ser dirigido a una página falsa o convencido de realizar una transferencia para “proteger” su dinero.
En realidad, el dinero terminaría en manos del estafador.
Esto demuestra por qué la seguridad de los pagos móviles no depende exclusivamente de que una aplicación tenga una contraseña o autenticación biométrica. También requiere mecanismos capaces de identificar comportamientos sospechosos y responder rápidamente ante incidentes.
DORA cambia el enfoque sobre la seguridad tecnológica
Una de las piezas centrales de esta transformación es DORA, la normativa europea diseñada para aumentar la resiliencia operativa digital del sector financiero.
El reglamento establece un marco común para diferentes tipos de entidades financieras y aborda aspectos como la gestión de riesgos tecnológicos, la gestión y notificación de incidentes, las pruebas de resiliencia digital y los riesgos derivados de proveedores tecnológicos externos.
Esto es especialmente importante porque los bancos modernos dependen de una gran cantidad de sistemas externos.
Una aplicación bancaria puede estar conectada con servicios de computación en la nube, proveedores de autenticación, plataformas de análisis, sistemas de prevención del fraude, redes de pago y otras infraestructuras tecnológicas.
Por ello, un problema en un tercero también puede convertirse en un problema para la entidad financiera.
DORA busca precisamente reducir este tipo de riesgos y establecer una mayor capacidad de supervisión sobre los proveedores tecnológicos que desempeñan funciones críticas para el sistema financiero.
Las pruebas de resiliencia son una parte fundamental
Uno de los elementos que puede generar confusión alrededor de esta noticia es el concepto de “pruebas de estrés”.
En el ámbito de la ciberseguridad, las pruebas de resiliencia digital buscan determinar qué ocurre cuando un sistema se enfrenta a diferentes escenarios adversos.
No necesariamente significa saturar una aplicación en tiempo real mientras los clientes están utilizando el servicio.
Puede implicar, por ejemplo, realizar pruebas controladas para determinar cómo respondería una infraestructura ante una interrupción, una vulnerabilidad, un ataque o una pérdida de disponibilidad.
DORA contempla expresamente un capítulo dedicado a las pruebas de resiliencia operativa digital, mientras que las normas técnicas desarrolladas por las autoridades europeas establecen requisitos adicionales para determinados tipos de pruebas.
El objetivo es que las entidades no se limiten a asumir que sus sistemas son seguros, sino que tengan mecanismos para comprobar de manera periódica si realmente pueden resistir determinados escenarios.
Las pruebas de penetración también ganan importancia
Otro elemento especialmente relevante son las denominadas Threat-Led Penetration Tests (TLPT) o pruebas de penetración basadas en amenazas.
La EBA, junto con las otras autoridades supervisoras europeas, desarrolló normas técnicas que especifican criterios para identificar a las entidades financieras que deben realizar este tipo de pruebas, además de establecer requisitos sobre el alcance, la metodología, los resultados y las fases de remediación.
En términos sencillos, estas pruebas buscan comprobar la seguridad de los sistemas simulando ataques controlados y realistas.
Esto permite detectar vulnerabilidades antes de que puedan ser aprovechadas por un atacante real.
En una infraestructura bancaria, una evaluación de este tipo puede involucrar diferentes componentes tecnológicos, dependiendo del alcance establecido: sistemas internos, servicios digitales, infraestructura tecnológica y otros elementos considerados relevantes para la operación.
La finalidad no es únicamente encontrar un fallo, sino comprobar también si la organización es capaz de detectar el ataque, responder correctamente y recuperar sus operaciones.
Los pagos instantáneos añaden una nueva presión sobre la seguridad
El problema adquiere todavía más importancia con la expansión de los pagos instantáneos.
El sistema europeo de transferencias instantáneas permite realizar determinadas operaciones en cuestión de segundos y funciona de manera continua, durante los siete días de la semana. El esquema SEPA Instant Credit Transfer, por ejemplo, está diseñado para realizar transferencias en menos de diez segundos.
La velocidad representa una ventaja enorme para los consumidores, pero también genera un desafío de seguridad.
En una transferencia tradicional puede existir más tiempo para detectar una operación sospechosa. En un pago instantáneo, el dinero puede cambiar de cuenta prácticamente de inmediato.
Por eso, los mecanismos de prevención del fraude tienen que actuar con mucha rapidez.
Europa introduce la verificación del beneficiario
Precisamente en este ámbito existe una medida europea que sí está directamente relacionada con la seguridad de los pagos.
El Reglamento europeo de Pagos Instantáneos establece que los proveedores de servicios de pago deben ofrecer un mecanismo de Verification of Payee (VoP) o verificación del beneficiario.
El sistema permite comprobar si el nombre del destinatario coincide con la información asociada a la cuenta antes de ejecutar una transferencia. El usuario puede recibir resultados como “coincidencia”, “coincidencia cercana” o “sin coincidencia”.
La medida busca reducir tanto los errores de los usuarios como determinados tipos de fraude.
Por ejemplo, si una persona introduce el número de cuenta de un supuesto proveedor pero el nombre asociado no coincide, el sistema puede advertirle antes de que confirme la operación.
En la zona euro, la obligación de ofrecer este servicio para transferencias en euros comenzó a aplicarse el 9 de octubre de 2025. Para los Estados miembros de la UE que no utilizan el euro, existen plazos posteriores.
La lucha contra el fraude ya no depende únicamente del usuario
Durante años, buena parte de las recomendaciones de seguridad bancaria se centraron en el comportamiento del cliente: no compartir contraseñas, evitar enlaces sospechosos y activar la autenticación multifactor.
Estas medidas siguen siendo importantes, pero el escenario actual exige mucho más.
Las entidades financieras deben desarrollar sistemas capaces de identificar operaciones anómalas, proteger los datos de los usuarios, monitorizar sus infraestructuras y reaccionar ante incidentes tecnológicos.
El informe de tendencias de consumidores de la EBA señala que los delincuentes utilizan técnicas de suplantación en las que se hacen pasar por bancos, empresas de mensajería, autoridades o incluso personas conocidas para conseguir que la víctima revele información o realice una transferencia.
Esto significa que incluso una plataforma técnicamente segura puede ser utilizada como herramienta para cometer fraude si el atacante consigue manipular al usuario.
La seguridad, por tanto, debe funcionar en diferentes capas.
Los incidentes tecnológicos ya se están registrando a gran escala
La importancia de estas medidas queda reflejada en los primeros datos recopilados bajo DORA.
En junio de 2026, las autoridades supervisoras europeas publicaron su primer informe anual sobre grandes incidentes relacionados con las tecnologías de la información y las comunicaciones en el sector financiero.
La EBA, ESMA y EIOPA señalaron que, desde el inicio de los reportes relacionados con DORA en enero de 2025 y hasta marzo de 2026, se habían recibido más de 18.000 reportes. Los fallos de sistemas representaron la categoría dominante, mientras que entre los incidentes de ciberseguridad aparecieron con frecuencia ataques DDoS, robo de identidad y extracción o manipulación de datos.
Estos datos muestran que la resiliencia digital no es solamente una cuestión teórica.
Las interrupciones y los ataques tecnológicos forman parte de los riesgos operativos que las entidades financieras deben gestionar actualmente.
¿Qué ocurre si falla una aplicación bancaria?
La importancia de estas medidas puede entenderse mejor mediante un escenario hipotético.
Supongamos que una aplicación bancaria deja de funcionar durante varias horas debido a un ataque de denegación de servicio.
Los clientes podrían quedar temporalmente sin acceso a sus cuentas, no podrían consultar movimientos y podrían tener dificultades para realizar determinados pagos.
Si además el ataque afecta a sistemas internos, el problema podría extenderse a otros servicios.
Una estrategia de resiliencia debe contemplar precisamente este tipo de situaciones: identificar el incidente, activar los mecanismos de respuesta, mantener disponibles las funciones críticas cuando sea posible y recuperar la operación normal en el menor tiempo razonable.
El objetivo no es únicamente evitar que ocurra un ataque.
También es conseguir que, cuando ocurra, el impacto sea limitado y la organización pueda recuperarse.
El riesgo de los proveedores tecnológicos también preocupa a Europa
Otro aspecto fundamental es que los bancos ya no controlan absolutamente toda su infraestructura.
La utilización de proveedores tecnológicos externos puede aportar eficiencia y capacidad de innovación, pero también introduce dependencias.
Si una entidad financiera utiliza un proveedor externo para una función considerada crítica y ese proveedor experimenta una interrupción, el banco puede verse afectado aunque sus propios sistemas internos funcionen correctamente.
DORA incorpora precisamente medidas para controlar estos riesgos y establece un marco europeo de supervisión para determinados proveedores tecnológicos considerados críticos.
En noviembre de 2025, las autoridades supervisoras europeas publicaron la lista de proveedores tecnológicos externos considerados críticos bajo el marco de DORA. El proceso tuvo en cuenta factores como la importancia sistémica del proveedor, las funciones críticas que soporta y la posibilidad de sustituir sus servicios.
La inteligencia artificial abre un nuevo frente
El avance de la inteligencia artificial también está modificando el panorama de ciberseguridad.
Los atacantes pueden utilizar herramientas automatizadas para generar campañas de phishing más convincentes, analizar objetivos o buscar vulnerabilidades.
Al mismo tiempo, las entidades financieras pueden utilizar inteligencia artificial para detectar patrones anómalos, identificar transacciones sospechosas y mejorar sus sistemas de defensa.
Sin embargo, la propia tecnología también introduce nuevos riesgos.
En su evaluación de riesgos de junio de 2026, la EBA advirtió que los modelos de inteligencia artificial altamente capaces podrían aumentar significativamente la capacidad de descubrir y explotar vulnerabilidades de software, lo que representa un desafío para los ciclos tradicionales de actualización y corrección.
Esto obliga a los bancos a considerar la inteligencia artificial dentro de sus propios marcos de gestión del riesgo tecnológico.
¿Qué significa todo esto para los usuarios?
Para los clientes bancarios, el cambio regulatorio puede parecer invisible, pero sus efectos pueden llegar directamente a las aplicaciones y servicios que utilizan diariamente.
En la práctica, los usuarios pueden encontrarse con:
- Más controles antes de realizar determinadas operaciones.
- Verificaciones adicionales del destinatario de una transferencia.
- Sistemas de detección de operaciones sospechosas más avanzados.
- Mayor autenticación para determinadas operaciones.
- Interrupciones controladas cuando sea necesario realizar mantenimiento.
- Respuestas más estructuradas ante incidentes tecnológicos.
- Mayor protección frente a determinados tipos de fraude.
Aunque estos controles pueden hacer que algunas operaciones sean ligeramente menos inmediatas, la finalidad es reducir el riesgo de que una transferencia sea enviada al destinatario equivocado o termine en manos de un delincuente.
Un cambio de paradigma para la banca europea
La evolución de la regulación europea refleja un cambio importante en la manera de entender la seguridad financiera.
Anteriormente, la ciberseguridad podía verse principalmente como una cuestión técnica relacionada con antivirus, firewalls, contraseñas y protección de servidores.
Actualmente, la seguridad digital forma parte de la continuidad operativa del negocio financiero.
Un banco debe ser capaz de mantener sus servicios, gestionar incidentes, proteger información, evaluar a sus proveedores tecnológicos y demostrar que cuenta con mecanismos para recuperarse ante diferentes escenarios.
DORA representa uno de los pilares de esta transformación y, desde enero de 2025, proporciona un marco armonizado para la gestión de estos riesgos en el sector financiero europeo.
Una regulación que seguirá evolucionando
El escenario no está cerrado.
Las amenazas tecnológicas cambian constantemente y los sistemas financieros incorporan nuevas tecnologías, desde pagos instantáneos hasta inteligencia artificial, servicios en la nube y nuevas formas de autenticación.
Por ello, las entidades financieras tendrán que mantener sus mecanismos de protección en permanente evolución.
La propia EBA continúa desarrollando y aplicando diferentes elementos del marco de resiliencia digital, mientras que las autoridades europeas utilizan los incidentes reportados para comprender mejor los riesgos que afectan al sector.
En este contexto, hablar de “ciberseguridad en el sector bancario” ya no significa únicamente proteger una aplicación móvil contra un posible ataque. Significa garantizar que todo el ecosistema financiero —desde el banco y sus aplicaciones hasta los proveedores tecnológicos y las redes de pago— pueda resistir, detectar y recuperarse de las amenazas digitales.
Una precisión clave sobre las “pruebas de estrés en tiempo real”
La idea de que la Autoridad Bancaria Europea haya impuesto una obligación concreta para realizar pruebas de estrés en tiempo real sobre las plataformas de pagos móviles no debe presentarse como un hecho confirmado, porque no encontré respaldo oficial para esa formulación.
Lo que sí está documentado es que Europa está reforzando las pruebas de resiliencia digital, las pruebas de penetración basadas en amenazas, la gestión de incidentes tecnológicos y las medidas de prevención del fraude en pagos instantáneos.
Por eso, si esta nota se va a publicar en un medio, esta formulación es más rigurosa y evita atribuir a la EBA una medida que no aparece establecida en sus documentos oficiales.