Ciberseguridad en el ATM: del fraude físico a la protección de todo el ecosistema
- Opinión
La seguridad en los cajeros automáticos ha evolucionado al mismo tiempo que el desarrollo de las herramientas digitales. Durante años, proteger el entorno físico era la prioridad: evitar la manipulación del lector de tarjetas y del dispensador de efectivo o impedir el acceso no autorizado al dispositivo. Y sigue siéndolo, pero la realidad actual es que la superficie de ataque se ha ampliado tanto –incluso hasta llegar a fraudes coordinados desde ubicaciones remotas-, que obliga a ampliar radicalmente esa perspectiva y a no confiar en nada ni en nadie.
Por Néstor Santolaya Bea, CyberSecurity Product Expert de Auriga
Un cajero automático es un dispositivo crítico de la banca, uno de los principales puntos de acceso de los usuarios y, por tanto, también de los atacantes. No es un dispositivo aislado, sino que forma parte de un ecosistema conectado en el que intervienen hardware, software, comunicaciones, redes y sistemas de procesamiento. Hoy día está comprobado que cada uno de estos elementos puede convertirse en una puerta de entrada para el fraude. Por eso, la protección y la estrategia de ciberseguridad deben abarcar también a todos esos elementos.
Aunque es cierto que la mayoría de los ataques siguen estando en el plano físico, y no debemos olvidar el riesgo que suponen, aquellos en los que lo comprometido son los datos del cliente no dejan de aumentar. Durante la primera mitad de 2026, se registraron 3.500 incidentes relacionados con cajeros en Europa, prácticamente todos ellos clasificados como fraude, según datos de la Asociación del sector de ATM (ATMIA), y de ellos, el 89,5% estaban relacionados con los métodos de card trapping o de cash trapping (retener la tarjeta o el dinero de forma fraudulenta), mientras que el 10,5% restante estuvo relacionado con skimming y compromiso de datos de la tarjeta del cliente.
Dentro de esta última categoría, casi todos los ataques (96,3%), fueron realizados mediante relay attack, una modalidad de fraude en la que la comunicación entre la tarjeta y el terminal se retransmite a distancia para intentar autorizar fraudulentamente una transacción de forma sincronizada con un dispositivo remoto. Aquí, como vemos, la amenaza deja de estar localizada en el cajero y pasa a afectar también al entorno de comunicaciones. Y no nos olvidemos de la inteligencia artificial, otro actor relevante que, aunque todavía no hay datos para atribuirle ataques concretos, sí que supone un acelerador de las estrategias y de los procesos de los atacantes (sin contar su papel en la automatización de campañas de ingeniería social, la generación de mensajes más convincentes o la suplantación de identidad).
Todo esto obliga a las entidades a cambiar el paradigma. Proteger la carcasa de un cajero o detectar una manipulación física ya no es suficiente. La seguridad debe comenzar antes de que arranque el sistema operativo, desde las propias fases de diseño y antes del despliegue. En la etapa de diseño de la arquitectura y del entorno seguro del cajero, deben contemplarse la protección de los accesos y de las operaciones a nivel de firmware, el cifrado completo del disco y controles para evitar accesos o manipulaciones tanto físicas como de la BIOS. Es aplicar el principio de ‘confianza cero’ o zero trust.
Confianza cero para protección máxima
El enfoque Zero Trust y su aplicación al entorno ATM supone reducir al mínimo la confianza implícita y controlar de forma continua qué puede ejecutarse, conectarse, modificarse o comunicarse. Y todo ello debe acompañarse de monitorización remota y gestión centralizada de una red de terminales que, por definición, está distribuida. Este enfoque de seguridad debe acompañar, además, todo el ciclo de vida del cajero: desde su despliegue hasta las actualizaciones, pasando por las intervenciones de mantenimiento y la operación remota. El objetivo no es únicamente proteger el dispositivo, sino securizar los procesos operativos críticos que permiten mantenerlo funcionando.
La conclusión es clara: el reto ya no consiste simplemente en proteger un cajero automático. Consiste en proteger el ecosistema que hace posible su funcionamiento.
Todo esto sucede, además, en un contexto regulatorio europeo que concede cada vez más importancia a la seguridad y la resiliencia digital. DORA refuerza la gestión del riesgo TIC, la continuidad operativa y la capacidad de prevención, respuesta y recuperación de las entidades financieras. El Cyber Resilience Act incorpora requisitos de ciberseguridad y gestión de vulnerabilidades para productos con elementos digitales, mientras que el AI Act establece obligaciones específicas para determinados sistemas de inteligencia artificial.
Está claro que la ciberseguridad bancaria debe evolucionar desde la detección de amenazas hacia el control integral de las operaciones. Porque cuanto más conectado está un cajero –y hoy esa conexión es clave- mayor es la superficie que debe protegerse.
