El 12 de septiembre, un neobanco británico con más de 80 millones de clientes globales confirmó que información sensible de 680 cuentas: pasaportes, selfies de verificación, historial de transacciones, había llegado a manos de terceros no autorizados. Tres días después, el 15 de septiembre, la Superintendencia Financiera de Colombia le otorgó a esa misma entidad la licencia para operar como banco regulado en el país, la sexta jurisdicción bancaria que obtiene a nivel global.

Ese contraste, ocurrido con setenta y dos horas de diferencia, no es una anécdota incómoda para una sola compañía. Es una fotografía perfecta del escenario a evaluar por toda la banca digital que está entrando a Colombia, México, Ecuador y Panamá: ¿qué protege realmente a una institución financiera cuando su tecnología ya está a la altura de cualquier estándar internacional?

Lo que hace relevante este caso no es su magnitud, 680 cuentas es una fracción mínima de la base de clientes de cualquier banco digital grande. Es su mecanismo. No hubo intrusión informática, no se explotó ninguna vulnerabilidad de software, no se robó ninguna contraseña. Un tercero utilizó el dominio de correo electrónico legítimo de una agencia gubernamental, presuntamente comprometido en otro país, para solicitar información de clientes específicos, alegando que la necesitaba para una investigación policial en curso. La entidad financiera respondió a esa solicitud como lo haría ante cualquier requerimiento oficial legítimo, porque en la superficie, lo era.

Ese es precisamente el punto ciego que ninguna arquitectura de ciberseguridad, por robusta que sea, puede cerrar por sí sola. Un dominio de correo gubernamental genuino no dispara ninguna alerta de un firewall. No lo detecta un sistema de detección de intrusos. No lo bloquea un cifrado de extremo a extremo. La vulnerabilidad no estaba en el código. Estaba en el proceso que decide, del otro lado de la pantalla, si una solicitud que parece legítima debe tratarse como legítima sin verificación adicional.

Durante la última década, la conversación sobre seguridad en banca digital giró casi por completo alrededor de la infraestructura: cifrado, autenticación multifactor, arquitecturas de confianza cero, inversión en ciberseguridad como porcentaje del presupuesto de tecnología. Toda esa inversión es necesaria y ningún banco serio debería reducirla. Pero el caso de estos días demuestra algo que la industria tiende a subestimar: la tecnología puede ser impecable y la institución sigue siendo vulnerable si el proceso que decide a quién se le entrega información no está diseñado con el mismo rigor que el sistema que la almacena.

Esa distinción, tecnología robusta frente a proceso robusto no es un matiz académico. Es la diferencia entre construir un sistema que resiste un ataque técnico y construir una institución que resiste un ataque a su confianza. Un banco puede pasar cualquier auditoría de penetración con la calificación más alta y seguir siendo tan vulnerable como el empleado menos entrenado frente a una solicitud que se ve oficial. Las dos capas no son intercambiables, y ninguna sustituye a la otra: una organización necesita blindar su código con la misma disciplina con la que blinda la decisión humana que autoriza cada excepción.

Colombia, México, Ecuador y Panamá están viviendo, cada uno a su ritmo, la misma ola: neobancos internacionales entrando con licencias nuevas, capital fresco y stacks tecnológicos de última generación. Esa ola trae innovación real y competencia que beneficia al usuario final. También trae una responsabilidad que rara vez se discute con la misma intensidad que el lanzamiento comercial: cada institución que entra a operar bajo un régimen regulatorio nuevo necesita que sus procesos de verificación de identidad, de validación de solicitudes externas y de escalamiento ante señales ambiguas estén tan probados como su plataforma tecnológica.

Esto no es un llamado a desconfiar de la banca digital ni una advertencia dirigida a una entidad en particular. Es un recordatorio de que la superintendencia que otorga una licencia bancaria evalúa capital, gobierno corporativo y cumplimiento normativo, pero la resiliencia operativa frente a un engaño bien construido rara vez se certifica con la misma exigencia con la que se certifica un balance financiero. Esa brecha entre lo que se audita y lo que realmente pone en riesgo a una institución es, hoy, uno de los puntos ciegos más grandes de la banca digital en expansión.

En Q-Vision llevamos más de dos décadas acompañando procesos de aseguramiento de calidad, gestión de datos y modernización tecnológica en instituciones financieras de Colombia, México, Panamá y Ecuador, y el patrón detrás de este tipo de incidentes se repite con una regularidad que debería preocupar a cualquier comité de riesgos: la disciplina de pruebas se aplica casi siempre al software, y casi nunca al proceso humano que decide qué hacer cuando el software no tiene una respuesta automática.

Un proceso de verificación de identidad institucional puede y debe probarse con el mismo rigor que un módulo de código: con casos de prueba que simulen solicitudes fraudulentas bien construidas, con protocolos de verificación independiente que no dependan únicamente de que un dominio de correo se vea legítimo, y con auditorías que midan no solo si el sistema resistió un ataque técnico, sino si la organización completa con personas incluidas, resistió un engaño bien diseñado. Esa es la definición de aseguramiento de calidad que nos parece indispensable para la banca digital que está llegando a la región: una que no separa la tecnología del proceso, porque en la práctica, para quien intenta vulnerar una institución financiera, esa separación no existe.

Ninguna institución financiera va a lograr nunca una inmunidad absoluta frente a un ataque de ingeniería social bien ejecutado; ni la más grande, ni la mejor capitalizada, ni la que tiene la mejor tecnología del mundo. Eso no es un fracaso evitable, es una realidad con la que toda la industria tiene que convivir. Lo que sí es evitable es que una institución descubra, después de un incidente, que su proceso de verificación nunca había sido puesto a prueba con la misma seriedad que su infraestructura tecnológica.

La banca digital que está llegando a Colombia, México, Ecuador y Panamá tiene, en este momento, la oportunidad de hacer estas consideraciones antes de que un incidente se la haga por ellos. Más allá de evitar el titular incómodo, van a estar construyendo, desde el proceso hacia arriba, la única clase de confianza que ninguna licencia regulatoria puede otorgar por sí sola.