¿Qué revela la filtración de 700Credit sobre los riesgos para el sistema de datos financieros y la cadena de suministro, y qué lecciones se pueden extraer?

Por Kate O'Flaherty

En diciembre, el proveedor de servicios de informes crediticios y verificación de identidad 700Credit aceptado Había sufrido una violación de datos que afectó a 5.8 millones de clientes.

El elemento incidente El problema se debía a una API de terceros comprometida, vinculada a la aplicación web 700Credit. La brecha se descubrió en octubre de 2025, pero los atacantes accedieron a la API en julio, lo que les permitió robar datos confidenciales, como nombres, fechas de nacimiento y números de la seguridad social, sin ser detectados.

Fue un fallo de visibilidad y gobernanza de la cadena de suministro Que todas las empresas deberían tener en cuenta. ¿Qué revela la filtración de datos de 700Credit sobre los riesgos del sistema de datos financieros y la cadena de suministro, y qué lecciones se pueden extraer?

Centrado en la aplicación

Las fintechs, los prestamistas, los distribuidores y las agencias de crédito dependen de enormes redes de integración, a menudo con API que ofrecen acceso directo a datos confidenciales. Cuando un nodo de la red falla, todos los demás sufren las consecuencias.

La filtración de 700Credit es un excelente ejemplo de esta vulnerabilidad en acción. Con las API que permiten a los atacantes acceder a los datos de los clientes, el incidente de 700Credit demuestra «cuán interconectado se ha vuelto el ecosistema financiero», afirma Dan Kitchen, director ejecutivo de Razorblue.

Aunque la red interna de la empresa no se vio comprometida, los atacantes pudieron acceder y exfiltrar grandes volúmenes de datos de identidad de grado financiero mediante una integración confiable en la capa de aplicación. «Esto demuestra que, en los ecosistemas financieros actuales, las API y las aplicaciones web son, en esencia, el sistema, y ​​una vulneración en esta capa puede ser tan perjudicial como una intrusión en la red central», afirma Mark Johnson, director de seguridad de preventa de ANS.

Las grandes redes de integración concentran el riesgo al crear rutas de acceso a datos de alto valor que eluden los controles tradicionales, afirma Johnson. «Las API diseñadas para la eficiencia y la escalabilidad pueden convertirse en canales directos hacia información personal confidencial si se les asignan privilegios excesivos, se supervisan de forma insuficiente o se segmentan de forma inadecuada».

En el caso de 700Credit, las estructuras de gobernanza no se mantuvieron al ritmo de la complejidad del ecosistema. El prolongado tiempo de permanencia de los atacantes en 700Credit sugiere que los mecanismos de gobernanza "no han evolucionado para adaptarse a la complejidad operativa de los ecosistemas basados ​​en API", observa Johnson.

La filtración de 700Credit pone de relieve un punto crucial: 96% de los ataques API provienen de fuentes autenticadas, lo que significa que los atacantes no están irrumpiendo. En su lugar, utilizan "credenciales legítimas y confiables", agrega Eric Schwake, director de estrategia de ciberseguridad en Salt Security.

Dado que la mayoría de las organizaciones subestiman su inventario de API en un 90%, estas vulnerabilidades de la cadena de suministro pueden resultar en una cantidad de datos filtrados hasta 10 veces mayor que la que se observa en las infracciones tradicionales, advierte.

Cadenas de suministro financieras opacas

El incidente de 700Credit es solo un ejemplo de cómo el sistema de datos financieros se ha vuelto demasiado complejo, interconectado y opaco para el nivel de gobernanza que se le aplica. La mayoría de las organizaciones carecen de un mapa claro de dónde fluyen sus datos, cómo se accede a ellos, qué socios pueden consultarlos, cómo los protegen y con qué rapidez divulgan los incidentes.

Las empresas “raramente tienen visibilidad más allá de sus proveedores inmediatos, y mucho menos de los proveedores que utilizan sus proveedores”, afirma Razorblue's Kitchen.

La complejidad de estas cadenas ahora ha superado las estructuras de gobernanza tradicionales, dejando a las organizaciones expuestas a fallas de terceros e incluso de cuartas partes, como una agencia de crédito que utiliza una API que depende de un proveedor de nube o un servicio de enriquecimiento de datos con sus propias vulnerabilidades, afirma.

Una de las principales debilidades en la gestión de la cadena de suministro de terceros es la falta de visibilidad y control integrales sobre las medidas de seguridad de los proveedores, coincide Tracey Hannan-Jones, directora de consultoría de seguridad de la información de UBDS Digital. «Muchas organizaciones dependen de proveedores externos para servicios esenciales, pero a menudo no realizan evaluaciones de riesgos rigurosas y continuas ni aplican controles de seguridad estandarizados en toda la cadena de suministro. Esto crea puntos ciegos donde las vulnerabilidades pueden introducirse y explotarse con demasiada facilidad».

Otra debilidad importante es la ausencia de requisitos contractuales y técnicos sólidos para los proveedores externos, afirma Hannan-Jones. «Las organizaciones suelen carecer de acuerdos claros y vinculantes que obliguen a cumplir con los estándares de seguridad, los protocolos de respuesta a incidentes y las auditorías periódicas. Incluso cuando existen dichos requisitos, su aplicación y supervisión pueden ser inconsistentes, especialmente a medida que aumenta el número de proveedores».

Para agravar el problema, los equipos de ciberseguridad no suelen dedicar suficiente tiempo ni experiencia a sus riesgos de terceros. Este área suele considerarse tediosa y repetitiva, afirma Pierre Noel, CISO de campo en Expel. «Es extremadamente difícil contratar especialistas en ciberseguridad con experiencia y convencerlos de que realicen una evaluación externa cada semana, mes o año».

Las empresas a menudo no tienen en cuenta la realidad de que los riesgos de terceros evolucionan, señala Noel. «La relación que tiene con la 'empresa A' puede comenzar siendo pequeña y evolucionar significativamente uno o dos años después. A menos que su programa se adapte a esta expansión dinámica, un tercero importante y de alto riesgo podría pasar desapercibido hasta que sea demasiado tarde».

Respuesta regulatoria

El incidente de 700Credit ha tenido un impacto significativo impacto regulatorioLa firma envió notificaciones de incumplimiento a varias fiscalías estatales, incluyendo la de Maine. Presentó un informe consolidado a la Comisión Federal de Comercio (FTC) en coordinación con la Asociación Nacional de Concesionarios de Automóviles, y el incidente también se reportó al FBI.

La respuesta regulatoria requerida tras este tipo de incidente demuestra que los legisladores consideran cada vez más las fallas de terceros como un riesgo sistémico. En general, las empresas "no deberían ser demasiado optimistas sobre la reacción de los reguladores ante este tipo de problemas", afirma Noel de Expel. Generalmente, aconsejan: "Asegúrense de contar con un proceso adecuado de gestión de terceros y estén preparados para demostrarlo en cada auditoría interna o externa", añade.

Sin embargo, es poco probable que el regulador imponga un proceso que abarque a un gran número de terceros, o que vaya más allá de simplemente asegurarse de que la organización obtenga el certificado ISO o SOC 2 del contratista, afirma Noel. "Por eso, las empresas deben reconocer la discrepancia y dar el primer paso para implementar un programa de gestión de riesgos que supere estos requisitos fundamentales de cumplimiento".

El elemento Ley de Resiliencia de Operaciones Digitales (DORA), que entró en vigor en la UE, aborda directamente los riesgos de la cadena de suministro al imponer requisitos estrictos a las entidades financieras y sus socios críticos de la cadena de suministro de TI, dice Hannan-Jones de UBDS Digital. “Mandatos de DORA Que las organizaciones implementen marcos integrales de gestión de riesgos para las relaciones con terceros, incluyendo la debida diligencia, cláusulas contractuales que garanticen la seguridad de los datos, la monitorización continua y la posibilidad de rescindir contratos si los proveedores no cumplen con los estándares de resiliencia. También se requieren pruebas periódicas, informes de incidentes y una clara rendición de cuentas por las funciones externalizadas.

Estructuras de Gobernanza

Dado que los atacantes pueden acceder a los datos a través de una API, la filtración de 700Credit ha puesto de manifiesto que, en muchos casos, las estructuras de gobernanza no han seguido el ritmo de la complejidad del ecosistema. Los cuestionarios anuales a proveedores y los procesos tradicionales de diligencia debida simplemente no funcionan cuando los atacantes pueden extraer discretamente millones de registros a través de una API sin ser detectados.

Para evitar que se produzca este tipo de violación, la gobernanza debe incluir un seguimiento continuo, transparencia en la cadena de suministro, mapeo de obligaciones y una gobernanza alineada con las normas ISO, como ISO 27001, y ISO 27701,.

Pero no se trata solo de cumplir con los requisitos. Las empresas necesitan ir más allá del cumplimiento estático y adoptar una supervisión continua, afirma Razorblue's Kitchen. Esto significa supervisar el tráfico de API en tiempo real, no solo durante las auditorías anuales.

Al mismo tiempo, las empresas deberían exigir transparencia a sus proveedores, detallar sus obligaciones y comprender quién más está en la cadena, aconseja.

Diane Downie, arquitecta de software sénior en Black Duck, recomienda que las organizaciones adopten una postura de seguridad de confianza cero, especialmente en los puntos de acceso a información confidencial. «Las evaluaciones de riesgos de las arquitecturas de sistemas deben considerar la mitigación ante un sistema comprometido, incluyendo los de sus socios de confianza».

Las organizaciones financieras ya no pueden depender de relaciones de confianza con proveedores ni de procesos de divulgación lentos. Necesitan ser fundamentalmente más transparentes y adoptar un enfoque basado en estándares para la gestión de su ecosistema de datos.

Los beneficios de este enfoque son evidentes. El coste real de las infracciones va mucho más allá de las sanciones regulatorias, lo que genera un riesgo considerable de parálisis operativa y daño reputacional, afirma Kitchen. «A nivel macro, incidentes como este pueden provocar fuertes caídas en el precio de las acciones, minar la confianza de los inversores y generar nerviosismo en los mercados, especialmente en empresas que cotizan en bolsa en sectores sensibles como el financiero».