Los ciberataques dirigidos a infraestructuras críticas representan una amenaza creciente para la seguridad nacional de Estados Unidos, según se destacó esta semana en una audiencia del Congreso sobre el Departamento de Seguridad Nacional. El evento, celebrado el miércoles 21 de enero, reveló que las amenazas cibernéticas están convergiendo con tecnologías emergentes como la inteligencia artificial y drones autónomos, creando riesgos sin precedentes para sectores vitales de la economía estadounidense. Los legisladores enfatizaron que los ciberdelincuentes solo necesitan tener éxito una vez para causar daños masivos.
Durante la audiencia titulada “Supervisión del Departamento de Seguridad Nacional: CISA, TSA, S&T”, funcionarios y legisladores abordaron cómo estos riesgos ya no son amenazas aisladas. Según el presidente del Comité de Seguridad Nacional de la Cámara de Representantes, Andrew R. Garbarino de Nueva York, los avances rápidos en tecnologías emergentes están acelerando la escala, velocidad y sofisticación de estas operaciones cibernéticas.
Convergencia de amenazas multiplica vulnerabilidades en infraestructuras críticas
El testimonio de Garbarino subrayó que las intrusiones cibernéticas, los drones autónomos y la inteligencia artificial ahora forman una realidad operacional única capaz de interrumpir redes de transporte, corredores energéticos y sistemas digitales fundamentales. Esta convergencia representa un cambio cualitativo en la naturaleza de las amenazas, no solo un aumento incremental.
Además, eventos de alto perfil programados en Estados Unidos aumentarán significativamente el volumen y la complejidad de estas amenazas. Garbarino mencionó específicamente la Copa Mundial FIFA 2026, el evento America 250 y los Juegos Olímpicos de Los Ángeles 2028 como objetivos potenciales que elevarán el nivel de riesgo.
Las amenazas modernas son más automatizadas, escalables y difíciles de atribuir que hace apenas una década, según indicó el presidente del comité. La preocupación principal no son solo las brechas aisladas, sino las fallas en cascada que pueden ocurrir a través de sistemas interconectados.
Servicios financieros enfrentan riesgos directos por ciberataques
Aunque las instituciones bancarias y procesadores de pago no fueron el tema directo de la audiencia, quedaron claramente dentro del radio de impacto discutido. Las empresas financieras operan en la intersección de identidad digital, intercambio de datos en tiempo real y dependencia de infraestructura física, según se destacó en el análisis del testimonio.
Adicionalmente, estas instituciones dependen de redes de telecomunicaciones, proveedores de servicios en la nube y redes eléctricas que frecuentemente están designadas como infraestructura crítica. Esta interdependencia las hace vulnerables a disrupciones que originalmente no las tienen como objetivo directo.
Los bancos y procesadores de pago se encuentran entre los objetivos principales para el cibercrimen habilitado por inteligencia artificial. Modelos generativos pueden producir campañas de phishing personalizadas, identidades sintéticas y audio deepfake que socavan los controles de autenticación tradicionales, según reconocieron los funcionarios del DHS durante la audiencia.
Inteligencia artificial como arma de doble filo
Un tema consecuente en la audiencia fue la naturaleza de doble uso de la inteligencia artificial. Los funcionarios del Departamento de Seguridad Nacional reconocieron que la IA es indispensable para monitorear vastas redes y detectar anomalías que analistas humanos pasarían por alto.
Sin embargo, los adversarios utilizan herramientas similares para sondear defensas, automatizar exploits y generar contenido engañoso a escala masiva. El informe “2025 State of Fraud and Financial Crime in the United States” de PYMNTS Intelligence encontró que el 70% de las instituciones reportaron uso activo de análisis de comportamiento y el 61% reportaron utilizar aprendizaje automático en sus defensas.
No obstante, casi una de cada cinco instituciones financieras, especialmente bancos más pequeños y regionales, aún operan sin estas tecnologías avanzadas. La audiencia desafió implícitamente a las empresas privadas a considerar la gobernanza de IA como un asunto de seguridad, no solo una preocupación de cumplimiento o ética.
Colaboración intersectorial se vuelve imperativa ante ciberataques
Un tema recurrente en el testimonio fue la necesidad de colaboración entre sectores públicos y privados. Agencias como la Agencia de Seguridad de Infraestructura y Ciberseguridad (CISA) han promovido durante mucho tiempo el intercambio de información y ejercicios conjuntos, pero la participación entre sectores sigue siendo desigual.
Para los ejecutivos de seguridad, esto implica un cambio cultural significativo. La seguridad ya no puede tratarse como una función interna optimizada únicamente para ventaja competitiva, según sugirió la audiencia.
Las evaluaciones de riesgos deben expandirse más allá de los escenarios cibernéticos tradicionales para incluir la convergencia físico-digital. Las prioridades de inversión también requieren recalibración, con mayor énfasis en resiliencia a través de sistemas redundantes, respaldos manuales y toma de decisiones en crisis.
Los legisladores señalaron que próximas deliberaciones sobre presupuestos y autoridades regulatorias de las agencias involucradas definirán el alcance de las medidas preventivas. Mientras tanto, la industria privada enfrenta la incertidumbre sobre qué regulaciones adicionales podrían surgir de estas discusiones y cómo afectarán los requisitos de cumplimiento en sectores críticos durante los próximos ciclos presupuestarios.