Seguridad móvil en fintech brasileña

Una fintech de préstamos personales en Brasil con 900 empleados operaba con un modelo de fuerza de ventas híbrida. Cerca de 620 agentes de campo utilizaban dispositivos móviles para captar clientes, verificar identidades y procesar solicitudes de crédito en tiempo real. Una parte significativa de estos dispositivos eran propiedad del agente (modelo BYOD), mientras que otra parte era proporcionada por la empresa.

Esta flexibilidad operativa generó un punto ciego de seguridad crítico. Una auditoría interna reveló que estos 620 endpoints móviles no estaban gestionados centralizadamente. No existían políticas de seguridad aplicadas, como requisitos de complejidad de contraseñas, cifrado de dispositivo o restricciones de instalación de aplicaciones. El riesgo de que un dispositivo comprometido por malware accediera a la aplicación corporativa o exfiltrara datos de clientes era una amenaza inminente para la licencia de operación de la fintech.

El diagnóstico que hicimos con el equipo

Analizamos el flujo de autenticación de la aplicación móvil y los hábitos de uso de los agentes de campo. Identificamos dos vulnerabilidades operativas. Primero, la aplicación corporativa no verificaba el estado de seguridad del dispositivo antes de permitir el inicio de sesión, confiando únicamente en las credenciales del usuario. Segundo, no existía un mecanismo para separar los datos personales del agente de los datos corporativos en los dispositivos BYOD, lo que generaba resistencia a cualquier intento de control por parte de los empleados.

Presentamos estos hallazgos al director de operaciones y al oficial de seguridad. En My IT Channel no vendemos productos. Sugerimos las tecnologías del portafolio que mejor encajan con el contexto operativo de cada organización. El desafío era imponer controles de seguridad robustos sin destruir la experiencia del usuario ni el modelo de negocio basado en agentes independientes.

La arquitectura sugerida

La primera tecnología implementada fue SEQRITE MDM, configurado con un enfoque de contenedorización. En lugar de tomar el control total del dispositivo personal del agente, la solución creó un espacio de trabajo seguro y aislado dentro del teléfono. Las políticas de seguridad, como el requisito de PIN y el cifrado, se aplicaban exclusivamente a este contenedor, protegiendo los datos de la fintech sin invadir la privacidad del empleado.

La segunda medida fue integrar DeviceTotal para obtener visibilidad continua del estado de cada dispositivo conectado. Esta herramienta permitía evaluar en tiempo real si un dispositivo tenía el sistema operativo desactualizado, si estaba rooteado o si presentaba indicadores de compromiso, bloqueando el acceso a la aplicación corporativa hasta que se remediara la condición.

La tercera acción fue complementar la protección con VIPRE ATP en los dispositivos corporativos, asegurando que cualquier archivo descargado o enlace abierto dentro del entorno de trabajo fuera analizado en busca de amenazas avanzadas antes de su ejecución.

El resultado a los cuatro meses

El indicador de gestión pasó de 620 endpoints móviles no gestionados a 620 endpoints móviles gestionados con contenedores de seguridad y capacidad de borrado remoto. La transición se completó con una tasa de adopción del 98 por ciento por parte de los agentes de campo, gracias a que la solución respetaba la privacidad de sus datos personales.

Durante el período de evaluación, el sistema bloqueó automáticamente 28 intentos de acceso desde dispositivos que fueron detectados como rooteados o con malware activo. Además, en dos ocasiones de pérdida reportada de dispositivos corporativos, el equipo de TI ejecutó un borrado remoto selectivo del contenedor de trabajo en menos de diez minutos, garantizando que ningún dato de cliente quedara expuesto.

Lo que aprendimos y lo que no sugerimos

La lección principal fue que la seguridad móvil debe ser invisible para el usuario final o será evadida. La contenedorización fue la clave para lograr el equilibrio entre la protección de los datos de la empresa y el respeto a la privacidad del empleado en un modelo BYOD.

Respecto a las decisiones de alcance, no se sugirió prohibir el uso de dispositivos personales (BYOD). La dirección de la fintech determinó que esta prohibición reduciría drásticamente la capacidad de captación de la fuerza de ventas y aumentaría los costos de hardware. Tampoco se implementó un sistema de vigilancia continua de la ubicación GPS de los dispositivos, ya que esto violaba las normativas locales de privacidad laboral y generaría un rechazo inmediato de los sindicatos. En My IT Channel sugerimos tecnologías, pero los límites legales y operativos los define el cliente.

Cada caso es distinto. Este fue el de esta fintech en Brasil. El tuyo probablemente tenga otras variables. Si quieres conversarlo, puedes hablar con un especialista por 30 minutos sin obligación. [fluentform id="7"]