Entre el procesamiento de pagos y la recopilación de información personal, los sitios de comercio electrónico, lamentablemente, son objetivos atractivos para los piratas informáticos.

Ha habido varias violaciones de datos de alto perfil en los últimos años y un informe incluso identificó que el 29% del tráfico de sitios web de comercio electrónico tenía intenciones maliciosas.

No hace falta decir que la seguridad de los sitios web de comercio electrónico es una prioridad para cualquier plataforma y negocio.

Una infracción puede dañar permanentemente la reputación de una empresa y eliminar la confianza del cliente. Los clientes esperan que la empresa asuma la carga de la seguridad. Están surgiendo nuevas amenazas a la seguridad del comercio electrónico con mayor frecuencia y los delitos cibernéticos se están volviendo comunes. 

La seguridad no es algo que sea agradable tener, es algo que hay que tener.

Por qué la seguridad del sitio web de comercio electrónico es una máxima prioridad

Los sitios de comercio electrónico reciben y almacenan una gran cantidad de transacciones en línea y datos de usuarios, datos que son de particular interés para los malos actores.

El comercio minorista fue el sector más afectado por los ciberataques, según el Informe de seguridad global de Trustwave 2020. Es una batalla que nunca termina y siempre está evolucionando a medida que se desarrollan nuevas y más sofisticadas formas de atacar.

Depende del negocio mantener el sitio (y a los clientes) seguros y protegidos. Las buenas prácticas de seguridad conducen a buenos protocolos de seguridad.

Principales amenazas a la seguridad cibernética del comercio electrónico

Aunque están apareciendo nuevos métodos con mayor regularidad, estas siguen siendo las formas más comunes en que los piratas informáticos atacan las plataformas de comercio electrónico:

Ataques de phishing.

El phishing es ingeniería social. Aquí, los atacantes obtienen información privada sobre un objetivo y la utilizan en un intento de engañar a alguien para que proporcione información importante, como información de cuentas bancarias o números de seguridad social.

Ataques de malware y ransomware.

El malware y el ransomware se remontan a la época del módem de acceso telefónico a Internet. El malware puede dañar significativamente los sistemas y el ransomware puede bloquearlo por completo a menos que pague un rescate, sin garantía de que alguna vez podrá volver a acceder.

3. Inyección SQL.

Si hay vulnerabilidades en la base de datos donde almacena información confidencial, se puede inyectar una consulta maliciosa para otorgarle al atacante derechos de visualización o incluso de edición.

4. Scripts entre sitios (XSS).

XSS inserta código malicioso en un sitio web, normalmente a través de JavaScript. Esto puede afectar o no al sitio en sí, pero podría afectar a los clientes o visitantes del sitio.

E-skimming.

En el e-skimming, los piratas informáticos roban información de pago confidencial, como números de tarjetas de crédito, de los compradores en línea. Por lo general, esto se hace inyectando código malicioso en sitios web de comercio electrónico o sistemas de puntos de venta (POS) para robar datos de tarjetas de crédito cuando los clientes realizan compras.

Ataques distribuidos de denegación de servicio (DDoS).

Una denegación de servicio distribuido (DDoS) sobrecarga un sitio web con tráfico de múltiples fuentes, lo que lo hace no disponible para los usuarios. En un ataque DDoS, se utiliza una gran cantidad de dispositivos comprometidos para inundar un sitio web con tráfico.

Tácticas de fuerza bruta.

Los piratas informáticos utilizan ataques de fuerza bruta en los que un atacante intenta adivinar la contraseña de inicio de sesión de un usuario probando sistemáticamente todas las combinaciones posibles hasta encontrar la correcta.

Este método requiere mucho tiempo y mucha potencia informática, pero puede tener éxito si la contraseña es débil o simple.

Riesgos de seguridad internos del comercio electrónico a tener en cuenta

No todas las amenazas a la seguridad provienen del exterior. Hay muchas amenazas internas (algunas de ellas totalmente involuntarias) que las empresas de comercio electrónico deben conocer.

Negligencia de los empleados.

Es lamentable, pero muchos ataques de ciberseguridad tienen éxito debido a una simple negligencia humana. Esto ocurre cuando los empleados no siguen las políticas y procedimientos de seguridad establecidos, como usar contraseñas débiles, hacer clic en enlaces o archivos adjuntos sospechosos o compartir información confidencial con partes no autorizadas.

Sabotaje de empleados.

En el otro extremo del espectro de la negligencia se encuentra el sabotaje intencional. Si bien no existe una forma segura de evitar empleados descontentos, limitar el acceso a datos confidenciales, aplicar estándares de contraseñas estrictos y realizar revisiones periódicas del acceso ayudará a mitigar el daño.

Información privilegiada de terceros.

Esto amplía el sabotaje de los empleados a otras partes que trabajan con su empresa. Los contratistas, proveedores o incluso clientes pueden quedar expuestos a atacantes, quienes luego llevan ese contagio a sus sistemas.

Ejemplos de filtraciones de datos a grandes empresas

Las filtraciones de datos no afectan sólo a las pequeñas empresas con recursos limitados. Incluso algunas de las marcas más importantes del mundo se han visto afectadas negativamente.

adidas.

La empresa mundial de calzado se ha visto muy afectada en el pasado. En 2018, el sitio web de la empresa en EE. UU. se vio afectado por la exposición de la información de contacto del cliente.

Mercari.

Mercari es una empresa japonesa de comercio electrónico que opera un mercado en línea. En 2021, la empresa reveló un importante incidente de violación de datos.

Target+

La tienda de comercio electrónico de Target se vio afectada por una de las mayores filtraciones de datos de la historia. En 2013, millones de clientes se vieron afectados por un ciberataque que aprovechó las vulnerabilidades en la pasarela de pago de la empresa, lo que permitió a los piratas informáticos robar información de las tarjetas de pago, como números de tarjetas de crédito y débito, fechas de vencimiento y códigos CVV.

Mejores prácticas de seguridad para sitios web de comercio electrónico

Las empresas online nunca quieren aparecer en los titulares por motivos de seguridad. Seguir estas mejores prácticas al menos reducirá en gran medida las posibilidades de posibles problemas de seguridad.

Cree una política de contraseñas para su empresa.

Exija contraseñas complejas que requieran al menos ocho caracteres, con una combinación de letras mayúsculas y minúsculas, números y símbolos. Esto debería ser obligatorio tanto para los empleados como para los clientes.

Limite el acceso a datos confidenciales.

Los datos confidenciales solo deben ser accesibles para los usuarios y sistemas que los necesiten absolutamente. Cuantos menos puntos de acceso, mejor.

Audite periódicamente las vulnerabilidades de seguridad y realice pruebas de penetración.

La mejor manera de defenderse de los robots y los piratas informáticos es pensar como tal. Realice simulaciones de ataques periódicas e intente violar sus propios sistemas en tiempo real. Esto identificará los puntos débiles antes de que otros se aprovechen de ellos.

Cree un plan de seguridad para agregar complementos e integraciones de terceros.

Haga un balance de los sistemas de terceros incluidos en su pila tecnológica y asegúrese de que estén completamente actualizados. Identifique la seguridad de cada uno y asegúrese de que cumplan con sus propios estándares de seguridad.

Garantizar el cumplimiento de la normativa PCI-DSS.

El Estándar de seguridad de datos de la industria de tarjetas de pago (PCI-DSS) es un conjunto de estándares de seguridad que debe seguir cualquier organización que acepte pagos con tarjeta de crédito o débito. El cumplimiento de PCI es obligatorio, por lo que debe estar actualizado sobre cualquier cambio en los estándares.

Elija una plataforma de comercio electrónico segura.

Todas las partes de su tienda deben estar preparadas para los requisitos únicos del comercio electrónico. Desde pagos hasta almacenamiento de datos y logística, toda su tecnología debe cumplir con los más altos estándares de seguridad.

Utilice un certificado SSL.

Los certificados Secure Sockets Layer (SSL) son cada vez más comunes en el comercio electrónico y establecen una conexión segura y cifrada entre un servidor web y un navegador.

El certificado SSL verifica la identidad del sitio web y la tecnología de cifrado garantiza que cualquier dato transmitido entre el servidor y el navegador permanezca privado y no pueda ser interceptado ni manipulado.

Autenticación de dos factores

A estas alturas, todos estamos familiarizados con recibir un código por mensaje de texto para iniciar sesión en un sistema. La 2FA es mucho más común ahora y sirve como una fuerte capa de defensa y proporciona un paso adicional para confirmar las identidades.

Mantenga su software actualizado.

Es probable que el software de su pila tecnológica reciba actualizaciones y parches periódicos, que incluirán seguridad adicional. Asegúrese de que todo el software esté actualizado cuando sea necesario.

Capacite a sus empleados y contratistas sobre las mejores prácticas.

La ingeniería social ocurre todo el tiempo y corresponde a la empresa capacitar e informar a su fuerza laboral sobre cómo evitar ataques. Las empresas prueban periódicamente a sus empleados con correos electrónicos falsos para ver qué tan receptivos son a los ataques de phishing.

Desarrollar un plan de respuesta a incidentes.

Aunque usted puede trabajar para evitar todos los ataques, los dueños de negocios siempre deben estar preparados para lo peor. Contar con un plan de respuesta completamente realizado en caso de una infracción, que debe incluir identificación, mitigación y comunicación.

Cumplimiento de la seguridad del sitio web de comercio electrónico

Existen estándares, tanto legales como industriales, que se espera que cumpla toda empresa de comercio electrónico. Esto no garantiza una plataforma segura, pero cumplirlas ayuda a proteger la información del cliente.

1. El estándar de seguridad de datos de la industria de tarjetas de pago (PCI-DSS).

Cualquier entidad que procese transacciones con tarjeta de crédito debe cumplir con los estándares PCI-DSS. Estas pautas protegen la información de la tarjeta de crédito, desde el almacenamiento hasta el pago.

2. Reglamento General de Protección de Datos (RGPD).

La Unión Europea promulgó GDPR para proteger la información personal de todos los ciudadanos de la UE. Esto se aplica a las empresas que existen fuera de la UE pero que también venden a europeos.

3. Ley de Privacidad del Consumidor de California (CCPA).

La CCPA es similar al RGPD, pero es específica únicamente del estado de California. Es el estándar más estricto actualmente en los Estados Unidos.

Conclusiones finales

La seguridad es vital tanto para mantener abiertas las empresas de comercio electrónico como para mantener la confianza de los clientes.

Al entregar voluntariamente información personal, confían en las empresas de comercio electrónico para gestionar y proteger los datos de los clientes.

Ya sea que se trate de un firewall de aplicaciones web (WAF), una red de entrega de contenido (CDN) o la protección de los datos de la tarjeta de crédito de un cliente, la tienda en línea debe contar con estrictas medidas de seguridad.

Preguntas frecuentes sobre la seguridad del sitio web de comercio electrónico