Cómo clasificar alertas de seguridad y frenar el smishing contra sus clientes con agentes de IA

El equipo de seguridad de una fintech colombiana suele ser pequeño y la superficie no para de crecer. El SIEM genera más alertas de las que alguien alcanza a mirar, los clientes reciben mensajes de texto que suplantan a la marca con enlaces falsos, las revisiones de accesos se hacen a última hora y la lista de vulnerabilidades crece más rápido de lo que se cierra. La investigación detrás de cada caso, reunir logs, cruzar fuentes y escribir el resumen, la puede hacer hoy un agente de IA. Las decisiones de contención siguen siendo de su equipo.

Esta es una guía práctica para CISO y líderes de seguridad en fintech colombianas: qué trabajo entregarle primero a un agente, cómo hacerlo sin abrir un riesgo nuevo y cómo medir si le está sirviendo.

Qué hace. El agente investiga cada alerta o caso, reúne la evidencia de sus herramientas y le deja a su equipo un resumen con la severidad y lo que recomienda hacer.

Qué no es. Un reemplazo de su SIEM, su EDR o su equipo, ni un sistema que bloquea por su cuenta. Las mejoras que importan van a salir de su equipo, cuando alguien pregunte por qué una regla genera tanto ruido. Deje espacio para eso.

Dónde se va el tiempo de su equipo

Arranque con el triage de alertas. Es el trabajo de más volumen y el agente puede empezar en modo lectura.

Cómo trabaja un agente de seguridad

1. Recibe el caso. Una alerta del SIEM, un reporte de un cliente o un hallazgo del escáner.
2. Investiga. Revisa logs, el contexto del usuario o del activo, la inteligencia de amenazas y casos parecidos.
3. Clasifica. Propone severidad y si es un falso positivo, con la evidencia.
4. Recomienda. Qué hacer y quién debería hacerlo.
5. Espera la decisión. Su equipo aprueba en Slack o en el dashboard. Cada corrección se vuelve una instrucción.

Las herramientas

Con agentes de código como Claude Code, conectar una fuente nueva es cuestión de pedirlo: el agente escribe la integración, la prueba y la guarda.

Runtime es el sistema operativo para agentes de IA. Cada agente corre en su propio computador aislado, que se borra al terminar la sesión, con sus propias credenciales, y espera aprobación antes de cualquier acción sensible. Su equipo pide el trabajo en español; Runtime se encarga de los controles.

Paso 1: documente cómo investiga su mejor analista

Escoja un tipo de alerta y escriba qué revisa su mejor analista, en qué orden y qué lo lleva a escalar o cerrar. Incluya los falsos positivos más comunes y por qué lo son.

• Explíquele el porqué. "Revise si el inicio de sesión viene de una VPN corporativa porque el equipo comercial viaja mucho" le quita ruido a las alertas de ubicación.
• Dígale qué error no puede cometer. "Nunca cierre como falso positivo una alerta en una cuenta con acceso a producción sin confirmarlo con el dueño" evita el error más caro.

Paso 2: conecte sus herramientas en modo lectura

El agente necesita leer alertas y logs, no cambiar configuraciones. Las credenciales se cargan desde el dashboard de Runtime, nunca se pegan en un chat.

Revise las alertas de inicio de sesión sospechoso de las últimas 24 horas. Para cada una, dígame desde dónde y con qué dispositivo entró el usuario, si es un patrón normal para él y si hubo actividad inusual después. Propóngame una severidad y déjeme en Slack las que debería revisar una persona hoy.

Paso 3: trabaje una semana en paralelo

El agente investiga las mismas alertas que su equipo, sin tocar nada. Al final compare: dónde coincidieron, qué falsos positivos detectó bien y qué casos reales se le habrían pasado.

Paso 4: entréguele el triage con aprobaciones

El agente investiga cada alerta nueva y su equipo pasa a decidir. Prográmelo para que corra de forma continua en las alertas críticas y le avise en Slack solo cuando necesite una persona.

Paso 5: sume smishing y revisión de accesos

El smishing que suplanta a su marca afecta a sus clientes y termina en tickets de soporte y en casos de fraude. El agente agrupa los reportes por campaña, identifica los dominios y números usados y prepara las solicitudes de baja y el aviso para clientes. La revisión de accesos puede correr cada trimestre: el agente cruza los usuarios de cada sistema con la nómina y le deja la lista de accesos por retirar. Para más ideas, vea la guía de agentes de ciberseguridad.

Lo que se queda con su equipo

Lo que hemos aprendido

• Empiece con un solo tipo de alerta. El de más ruido le muestra el valor en días.
• El agente también necesita controles. Credenciales propias, de solo lectura cuando se pueda, y un registro de todo lo que hace.
• La cronología es oro. Durante un incidente, tener la línea de tiempo armada mientras su equipo contiene le ahorra horas.
• Conecte seguridad con soporte y fraude. Una campaña de smishing aparece primero en los tickets; vea también la guía de prevención de fraude.

Lo que le va a pedir la Superfinanciera

Si su entidad es vigilada, la Circular Externa 007 de 2018 de la Superfinanciera fijó requisitos mínimos de seguridad de la información y ciberseguridad: una unidad que gestione estos riesgos, informar a los clientes sobre incidentes que afecten la confidencialidad o integridad de su información y reportar incidentes a las autoridades. La Circular Externa 033 de 2020 agregó una taxonomía única de incidentes cibernéticos y un formato de métricas. Si su fintech opera con un banco aliado, espere que el banco le traslade exigencias parecidas.

Sobre los propios agentes, le van a preguntar:

• Quién responde por cada agente. Inventario con responsable y permisos por agente.
• Qué puede tocar. Credenciales limitadas por agente, en computadores aislados que se borran al terminar.
• Que los datos están protegidos. Datos sensibles enmascarados antes de llegar al modelo, y Runtime nunca entrena con sus datos.
• Qué hizo. Un registro de cada ejecución que se puede exportar. Runtime cuenta con auditoría SOC 2.

Cómo medir resultados

Mida una semana antes de arrancar para tener con qué comparar.

Un cronograma realista

Rain, emisor de tarjetas con presencia en más de 150 países, usa Runtime para soporte técnico, monitoreo de fraude y riesgo, cumplimiento, ciberseguridad, investigaciones de ingeniería, revisión de PRs, QA y reportes, y se ha ahorrado $750k en proveedores y nómina.

En resumen

Un equipo de seguridad pequeño no tiene por qué dejar alertas sin mirar. Deje que el agente investigue, agrupe y documente, y que su equipo se quede con la contención y las decisiones. Empiece con el tipo de alerta que más ruido genera y de ahí escale.

Manos a la obra.

Preguntas frecuentes

¿Cómo se usa la IA en ciberseguridad en una fintech en Colombia?

Sobre todo para el trabajo que no alcanza a hacer un equipo pequeño: revisar cada alerta del SIEM, investigar campañas de phishing y smishing que suplantan a la marca, preparar las revisiones de accesos, priorizar vulnerabilidades y armar la línea de tiempo de un incidente. El agente investiga y propone; una persona decide.

¿Un agente de IA puede responder solo a un incidente?

No debería. El agente puede reunir la evidencia, armar la cronología y proponer acciones de contención. Las acciones que cambian accesos, bloquean sistemas o afectan clientes esperan la aprobación de una persona responsable en Slack o en el dashboard.

¿Qué pide la Superfinanciera en ciberseguridad?

La Circular Externa 007 de 2018 fijó requisitos mínimos de seguridad de la información y ciberseguridad para las entidades vigiladas, como contar con una unidad que gestione estos riesgos, informar a los clientes sobre incidentes que afecten su información y reportar incidentes a las autoridades. La Circular Externa 033 de 2020 agregó una taxonomía única de incidentes y un formato de métricas.

¿Cómo ayuda un agente contra el smishing que suplanta a mi fintech?

Revisa los reportes de clientes y de su equipo de soporte, agrupa los mensajes por campaña, identifica dominios y números usados, y prepara las solicitudes de baja y el aviso para clientes. Su equipo aprueba cada envío.

¿Es seguro darle a un agente acceso a los sistemas de seguridad?

Con los controles correctos, sí. En Runtime cada agente corre en un computador aislado que se borra al terminar, con credenciales propias y limitadas, idealmente de solo lectura, y cada ejecución queda registrada. Puede correr en su propia nube de AWS, GCP o Azure.

¿Qué es Runtime?

Runtime es el sistema operativo para agentes de IA en equipos de pagos y fintech. Cada agente corre en un computador aislado, con accesos limitados, aprobaciones antes de acciones sensibles, enmascaramiento de datos y un registro exportable de todo lo que hace. Cuenta con auditoría SOC 2.