Cabe preguntarse por qué las empresas son tan vulnerables al fraude en línea. La respuesta es doble. Muchos comerciantes no aseguran el procesamiento de pagos en línea como es debido, pero los defraudadores también merecen cierto crédito, ya que sus estratagemas son cada vez más difíciles de combatir. En este artículo, revelaremos once mejores prácticas sobre cómo asegurar los pagos en línea y proteger los datos confidenciales de los clientes.
El fraude en el comercio electrónico abarca desde la clásica apropiación de cuentas, pasando por el robo de tarjetas de crédito, hasta los más sofisticados esquemas de triangulación, en los que los estafadores actúan como intermediarios secretos en las compras en línea. Un enfoque holístico de la detección y prevención del fraude mantiene su tienda en línea alejada de los tejemanejes de los piratas informáticos. Siga nuestras prácticas para la mejor protección de pagos en comercio electrónico.
¿Cómo asegurar el procesamiento de pagos en línea?
Lo que distingue a un vendedor o servicio en línea fiable de uno cuestionable son las transacciones y pagos en línea seguros. Las ideas y estrategias que se exponen a continuación le ayudarán a implantar medidas de seguridad sólidas.
1. Cifrar los datos de pago del cliente
La seguridad de su sitio web comienza con un certificado SSL (Secure Sockets Layer). Este pequeño archivo digital utiliza el protocolo TLS (Transport Layer Security) para cifrar los datos en tránsito entre los navegadores de los usuarios y los servidores web. El cifrado SSL/TLS ha sido la espina dorsal del desarrollo del comercio electrónico desde los primeros días de Internet, y ahora es obligatorio para todos los sitios web.
Para las plataformas de comercio electrónico, el cifrado SSL forma parte del cumplimiento de la norma PCI DDS (Payment Card Industry Data Security Standard), una norma de seguridad universal para las organizaciones que manejan datos de titulares de tarjetas.
Con tantos tipos de certificados SSL disponibles, la mejor opción para la mayoría de los sitios de comercio electrónico es un certificado SSL con Business Validation (BV). BV SSL es un certificado de alta garantía que valida una empresa oficial. El proceso de verificación requiere papeleo por su parte, pero puede acelerar el proceso obteniendo un código LEI para su organización.
2. Recopilar y almacenar la menor cantidad de datos posible
Cuantos más datos recopile de sus clientes, mayores serán los riesgos en caso de infracción. La legislación reciente, incluido el Reglamento General de Protección de Datos (RGPD), impone requisitos estrictos sobre cómo se recopilan, almacenan y acceden a los datos.
No recopile ni almacene datos sólo porque puede, sobre todo cuando se trata de datos personales. Recopile la información básica, como el nombre y apellidos del cliente, su dirección o los datos de pago con tarjeta de crédito, y almacénela en sistemas en la nube seguros y cifrados.
3. Cumplir la normativa PCI
El cumplimiento de la normativa PCI se basa en tres aspectos fundamentales: la protección de los datos de las tarjetas de crédito, la seguridad de los datos almacenados y la validación anual. Si utiliza un procesador de pagos externo, buena parte de la gestión del cumplimiento de la normativa PCI pasa a ser responsabilidad de éste. No obstante, es esencial que conozca y comprenda sus obligaciones.
A continuación se resumen los 12 requisitos de cumplimiento de la PCI:
- Mantener un cortafuegos para proteger los datos de los titulares de tarjetas dentro de la red corporativa.
- Proteger los datos almacenados en sistemas físicos y virtuales
- No utilice contraseñas predeterminadas. Cámbielos periódicamente.
- Utilice un certificado SSL para cifrar los datos de los titulares de tarjetas en tránsito por redes públicas
- Restringir el acceso a los datos de los titulares de tarjetas
- Restringir el acceso a los componentes del sistema
- Restringir el acceso físico a los datos de los titulares de tarjetas
- Seguimiento y control del acceso a los recursos de la red y a los datos de los titulares de tarjetas
- Desarrollar y mantener sistemas y aplicaciones seguros
- Escanear todos los sistemas que almacenan datos sensibles en busca de posibles vulnerabilidades.
- Probar periódicamente los sistemas y procesos de seguridad
- Mantenga una política de seguridad estándar en todos sus sistemas y personal
4. Implantar 3D Secure
3D Secure son las siglas de 3 Domain Server, un protocolo de seguridad que implica a tres partes que son las figuras clave en el proceso 3D Secure:
- El comerciante que vende el artículo
- El banco de la empresa – el banco adquirente
- El emisor de la tarjeta, normalmente VISA o MasterCard.
El método de autenticación segura 3D impide el uso no autorizado de tarjetas. También protege a los comerciantes de las devoluciones de cargos en caso de transacciones fraudulentas. Con esta nueva tecnología, se reduce considerablemente el uso indebido de tarjetas y la pérdida de pagos.
5. Exija contraseñas seguras
Nunca subestimes el poder de una contraseña segura. Según Verizon, las credenciales comprometidas son la causa más común de los ciberataques, representando el 61% de las violaciones. Hay una razón por la que los sitios web no permiten a los usuarios crear contraseñas débiles: es un desastre a punto de ocurrir.
Si alarga una contraseña unos pocos caracteres, dará a los piratas informáticos un trillón de combinaciones adicionales que descifrar. He aquí cómo hacer que una contraseña sea casi indescifrable:
- En cualquier circunstancia, evite cualquier información personal
- Si la palabra se puede encontrar en un diccionario, no la utilices.
- Incluya una mezcla de caracteres especiales (números, mayúsculas, símbolos)
- Utilice generadores de contraseñas proporcionados por gestores de contraseñas de confianza como Dashline o Lastpass.
6. Utilizar una autenticación fuerte del cliente
La autenticación fuerte de clientes (SCA) añade una capa de seguridad cuando los usuarios inician sesión en su sistema. Protege contra el acceso no controlado al software y es ultraeficaz contra los ataques automatizados de bots (tasa de prevención del 99,9%, según Microsoft). SCA exige que los usuarios presenten al menos dos posibles factores de identidad de entre tres disponibles: PIN, escáner facial/huella dactilar o teléfono móvil.
Otro método eficaz para validar las transacciones en línea es el Valor de Verificación de la Tarjeta (CVV), el número de 3-4 dígitos que figura en el reverso de las tarjetas de crédito VISA, MasterCard, Discover y American Express.
El CVV protege las tarjetas de crédito contra robos, fraudes y transacciones no autorizadas. Garantiza que sólo el propietario de la tarjeta la utilice. Aunque alguien consiga el número de la tarjeta, no podrá realizar transacciones sin el CVV.
7. Utilice métodos y proveedores de pago en línea seguros
Los procesadores de pagos de terceros, como Stripe, o las plataformas de comercio electrónico “todo en uno”, como Shopify, agilizan tu negocio hasta el punto de que no tienes que preocuparte por el almacenamiento y la seguridad de los datos. Lo mejor de todo es que es inmune a la responsabilidad y los riesgos asociados al fraude en línea.
Las tiendas en línea gestionadas por plataformas de terceros fiables cumplen la normativa PCI por defecto y cuentan con una infraestructura de seguridad avanzada, lo que le proporciona la tranquilidad necesaria para centrarse en hacer crecer su negocio.
8. Utilizar el servicio de verificación de direcciones
En los pagos de comercio electrónico se utiliza un servicio de verificación de direcciones (AVS) para aumentar la seguridad y reducir el riesgo de transacciones fraudulentas. AVS verifica la dirección de facturación del titular de la tarjeta facilitada durante la transacción comparándola con la dirección registrada por el emisor de la tarjeta.
AVS ayuda a detectar actividades potencialmente fraudulentas. Si una transacción procede de un país distinto al de la dirección de facturación registrada, se activará una señal de alarma. Los comerciantes pueden configurar sus sistemas de pago para que marquen o revisen automáticamente las transacciones en función de los códigos de respuesta AVS recibidos.
Como cualquier sistema, AWS tiene sus limitaciones. Puede que no tenga en cuenta variaciones en los formatos de las direcciones o discrepancias menores, como errores ortográficos o diferencias en las abreviaturas de las calles. Además, AVS no verifica la identidad del titular de la tarjeta ni la disponibilidad de fondos en la cuenta.
9. Control del fraude 24 horas al día, 7 días a la semana
Siempre es mejor ser proactivo que reactivo, sobre todo cuando está en juego la privacidad de los clientes. Afortunadamente, existen muchas herramientas y sistemas de gestión del fraude que pueden proteger su empresa. Y, si añade la IA a la ecuación, los piratas informáticos se verán impotentes para vulnerar su seguridad. He aquí cómo puede controlar y prevenir el fraude:
- Instale software antivirus en todos los dispositivos conectados a sus terminales de pago. Actualice periódicamente su sitio web y su software, y utilice los últimos parches de seguridad.
- Escanee su sistema en busca de vulnerabilidades para detectar posibles lagunas que los ciberdelincuentes puedan explotar, ya que su principal objetivo es infectar los servidores de los proveedores de pagos con programas maliciosos que extraen datos de pago en directo de los usuarios. El escaneado de vulnerabilidades es necesario para el cumplimiento de la normativa PCI, por lo que debe utilizar un proveedor de escaneado aprobado por la PCI, comúnmente conocido como ASV.
- Deje que la IA y el aprendizaje automático analicen las actividades sospechosas mediante el seguimiento del comportamiento de los clientes. La Inteligencia Artificial se está convirtiendo rápidamente en esencial para la ciberseguridad, y puede ahorrar a su empresa toneladas de dinero a largo plazo.
10. Formar a los empleados
La concienciación sobre ciberseguridad debería estar en la agenda de toda empresa online. Una cultura de seguridad es la mejor defensa “blanda” contra las amenazas continuas, especialmente cuando el 36% de todas las violaciones de datos proceden de agentes internos. Para evitar el sabotaje de empleados deshonestos, restrinja el acceso al sistema y compartimente las cargas de trabajo críticas para la seguridad.
El personal debe conocer sus protocolos de seguridad y saber qué hacer tras una violación de datos. Según la Asociación de Sistemas Informáticos Avanzados (USENIX), las empresas deberían impartir formación sobre ciberseguridad cada cuatro o seis meses. Su estudio sobre la concienciación del phishing reveló que los empleados tienden a olvidar lo que han aprendido, por lo que si les recuerda constantemente los peligros de la ciberdelincuencia, protegerá a su empresa y a sus clientes.
11. Actualizar y parchear periódicamente los sistemas
Mantener todo el software y los sistemas con los últimos parches de seguridad es crucial para mantener un entorno seguro de procesamiento de pagos en línea. Los ciberdelincuentes suelen aprovecharse de las vulnerabilidades del software obsoleto para obtener acceso no autorizado o lanzar ataques.
Se han producido varias brechas de seguridad de gran repercusión debido a sistemas sin parches. Por ejemplo, la brecha de Equifax en 2017, que expuso la información personal sensible de millones de personas, fue el resultado de que la empresa no parcheara una vulnerabilidad conocida. Del mismo modo, el ransomware WannaCry de 2017 se dirigió a sistemas sin parches, causando importantes trastornos y pérdidas financieras.
Los expertos en seguridad insisten constantemente en la importancia de la gestión de parches. Las mejores prácticas, como las descritas por el Centro de Seguridad de Internet (CIS), insisten en la necesidad de un enfoque proactivo de la aplicación de parches, que incluya el establecimiento de ciclos regulares de aplicación de parches, el aprovechamiento de herramientas automatizadas de gestión de parches y la realización de evaluaciones de vulnerabilidades para identificar y abordar los puntos débiles.
Reflexiones finales
El comercio electrónico se está convirtiendo en la opción de compra por defecto en nuestro mundo digital. Pero la comodidad de comprar desde casa conlleva riesgos de fraude. Es responsabilidad de todas las empresas proteger los datos confidenciales de los compradores y fomentar la concienciación sobre la ciberseguridad en el lugar de trabajo. Le hemos mostrado cómo garantizar la seguridad de los pagos en línea, ahora le toca a usted ser proactivo y proteger su negocio en línea de pérdidas financieras y de reputación.
Ahorre un 10% en certificados SSL al realizar su pedido hoy mismo.
Emisión rápida, cifrado potente, 99,99% de confianza del navegador, asistencia dedicada y garantía de devolución del dinero en 25 días. Código del cupón: SAVE10
