El 29 de julio de 2026, la junta directiva del Banco Central de Costa Rica (BCCR) recibió a Carlos Mora Gómez, director interino del departamento de riesgo y cumplimiento.
En la sesión, que era de carácter extraordinario, Mora recordó que en mayo pasado se presentó un informe donde se destacaban tres tipos de riesgos actuales.
“Uno tenía que ver con un riesgo emergente, que se identificó en este semestre, y es el posible impacto y desarrollo que tiene la computación cuántica”, dijo Mora, según el acta de esa sesión. El funcionario adelantó que se presentaría un proyecto en el corto plazo.
Pero no es la única “fuente de riesgo emergente más dinámica”. “El Banco Central reconoce la problemática del fraude digital y el uso creciente de tecnologías avanzadas por parte de ciberdelincuentes”, respondió la entidad a El Financiero. “Lo que se busca es anticipar y mitigar riesgos que podrían presentarse ante avances tecnológicos”.
Las preocupaciones surgen en momentos en las que la firma OpenAI reconoció que agentes de inteligencia artificial (IA) atacaron la plataforma de Hugging Face, una nueva versión de la IA de Anthropic descubrió en forma automática debilidades en una amplia diversidad de sistemas operativos y software de uso masivo, y ambas empresas —junto con más de 100 firmas tecnológicas— advirtieron hace una semana que los ataques de IA continuarán.
A nivel global, la industria tecnológica también acelera los proyectos para disponer servicios de computación cuántica para finales de la actual década.
El lado oscuro de la digitalización
La digitalización y las redes de datos abarcan casi todas las operaciones y servicios del sistema financiero nacional. Tras más de 15 años de evolución, el proceso se aceleró durante el confinamiento por la pandemia de Covid-19. Como todo, vino con amenazas asociadas.
En la actualidad, los avances en computación cuántica —que realiza cálculos más rápidos y complejos que la informática clásica— facilitan la generación de ataques. Con esta tecnología, los ciberdelincuentes podrían resolver en menos tiempo los cálculos de los algoritmos criptográficos de los certificados y la firma digital, por ejemplo.
“La materialización de esta amenaza podría facilitar, entre otras cosas, la falsificación de identidades digitales, el acceso no autorizado a sistemas, la alteración de información y la pérdida de autenticidad de las comunicaciones electrónicas”, respondió el BCCR.
Eso pese a que el BCCR sigue las prácticas internacionales, utiliza algoritmos probados, certificados y vigentes y sigue al principal referente en la materia (el National Institute of Standards and Technology, de los EE. UU.) para la protección de los certificados digitales. El peligro también proviene de la IA.
Con estas tecnologías aumenta la capacidad de ataque para acciones de suplantación de identidad, falsificación de firmas digitales, alteración de datos o transacciones, afectación de la autenticidad de las comunicaciones electrónicas, exposición de información almacenada o transmitida, interrupción de servicios críticos, pérdida de confianza en los canales y servicios digitales y afectación de obligaciones jurídicas sustentadas en firmas y certificados digitales.
La entidad identificó un universo de 25 peligros. “Estos riesgos no corresponden exclusivamente a amenazas generadas por inteligencia artificial o computación cuántica. Algunos representan exposiciones tecnológicas generales que podrían aumentar ante el uso de herramientas avanzadas por parte de actores maliciosos”, explica el BCCR.
Por ejemplo, con la IA podría aumentar la velocidad, escala, personalización y capacidad de evasión de los ataques cibernéticos.
Entre los escenarios que requieren atención se encuentran la automatización de ataques, la elaboración de mensajes fraudulentos de alta credibilidad, la suplantación digital, el descubrimiento acelerado de vulnerabilidades, la creación y difusión de código malicioso y el uso de contenidos sintéticos para inducir errores en usuarios o procesos de autenticación.
Medidas actuales
El BCCR recalcó que analiza este tipo de amenazas “desde una perspectiva integral y no como fenómenos aislados”, tomando en cuenta usuarios, procesos, tecnología, proveedores, ciberseguridad, continuidad operativa y protección de la información.
Ya dispone de un marco de gestión basado en las normas de control interno establecido por la Contraloría General de la República, la norma ISO 31000 y otras asociadas, así como políticas de gestión de riesgos.
Este marco establece responsabilidades, criterios de valoración, límites de tolerancia, controles, indicadores y planes de mitigación.
La entidad asegura que aplica políticas de seguridad de la información y ciberseguridad, procesos de gestión de incidentes, medidas de control de accesos, esquemas de segregación de funciones, herramientas especializadas de detección y bloqueo, controles de arquitectura tecnológica y mecanismos de continuidad operativa.
No se queda ahí. La entidad impulsa un programa de modernización de la infraestructura de certificados digitales basado en principios de “criptoagilidad”, migración hacia algoritmos criptográficos resistentes a amenazas emergentes, fortalecimiento de los procesos de autenticación y adopción de estándares abiertos de identidad digital.
Las acciones se desarrollan dentro del marco de la Ley de Certificados, Firmas Digitales y Documentos Electrónicos (N.° 8454), la normativa del Ministerio de Innovación, Ciencia, Tecnología y Telecomunicaciones (Micitt) y las políticas aplicables a la llamada Jerarquía Nacional de Certificación Digital, que integrada por las entidades o autoridades certificadoras.
El BCCR también señala que está migrando de los actuales algoritmos criptográficos a unos más robustos llamados “algoritmos postcuánticos”.
En este paso sigue las recomendaciones de organismos como National Security Agency, Cybersecurity and Infrastructure Security Agency, Bank of International Settlements y National Institute of Standards of Technology, que aprueba y certifica esos algoritmos postcuánticos.
Aprobado
El BCCR gestiona las amenazas asociadas a la IA y otras tecnologías emergentes mediante los procesos “ordinarios” de ciberseguridad, las certificaciones correspondientes y las respectivas evaluaciones trimestrales.
“Esta gestión continua es la que identificó la amenaza de la computación cuántica, la cual se gestionará, como se indicó, con la ejecución del proyecto”, indicó el BCCR.
El proyecto, anunciado por Mora en julio pasado, contempla mecanismos avanzados de análisis de comportamiento, analítica de datos y aprendizaje automático para detectar patrones anómalos, dispositivos desconocidos, ubicaciones inusuales y otros indicadores de riesgo que permitan alertar oportunamente a los usuarios cuando utilizan los servicios de firma digital.
Además, busca fortalecer la infraestructura de certificados digitales mediante cuatro componentes: la modernización de la jerarquía nacional de certificados con capacidades de “criptoagilidad” y criptografía postcuántica; un motor de riesgos basado en analítica avanzada y aprendizaje automático para detección temprana de fraude y comportamientos sospechosos; la incorporación de estándares abiertos de autenticación en el servicio Gaudi de firma digital; y la modernización y simplificación de los procesos de emisión de certificados digitales.
Asimismo, se contempla capacidades de monitoreo continuo, análisis de comportamiento y generación de alertas en tiempo real para apoyar la protección de los usuarios cuando utilizan los servicios de Gaudi ante amenazas digitales cada vez más sofisticadas.
El proyecto tiene una duración estimada de 36 meses y está planteado para ejecutarse entre 2026 y 2029. “Ya fue aprobado por la junta directiva en la sesión ordinaria 6336-2026, realizada en agosto de 2026”, indicó el BCCR.
