El estado de la seguridad de los pagos en el comercio electrónico

26 min de lectura

Cuando llegó la pandemia, el comercio electrónico se disparó.

Con la gente encerrada y sin mucho que hacer, comprar por Internet parecía la única salida. El mercado mundial del comercio electrónico ascendió a 26,7 billones de dólares. Los hábitos de los clientes también estaban cambiando. En una encuesta, el 60% de los encuestados coincidió en que COVID-19 había cambiado su relación con la tecnología.

Pero no solo se disparaban las ventas, y no solo las empresas del sector del comercio electrónico estaban ocupadas, sino también los estafadores.

En un solo año (entre 2020 y 2021), el fraude en el comercio electrónico aumentó un 18% de 17,500 millones de dólares a 20,000 millones. Basta con echar un vistazo al floreciente mercado de la prevención del fraude en el comercio electrónico, que se espera que alcance la friolera de 70,000 millones de dólares en 2025, para darse cuenta de que esta línea de «trabajo» está ganando popularidad.

¿Cuál es la conclusión? El fraude en el comercio electrónico seguridad es algo ante lo que no puedes permitirte hacer la vista gorda. Al fin y al cabo, no es solo una amenaza para tus beneficios, sino también para la imagen de tu marca. Si los clientes no creen que pueden pagar de forma segura a través de tu sitio web, no confiarán en ti. Una vez que se pierde la confianza del consumidor, es muy difícil recuperarla.

A continuación, analizaremos el estado de la seguridad en los pagos, empezando por los tipos más comunes de fraude en el comercio electrónico. También te ofreceremos consejos prácticos para proteger a tus clientes, tu sitio web y, en última instancia, tu cuenta de resultados. Sigue leyendo.

Tipos más comunes de fraude en el comercio electrónico

A medida que el mundo del comercio electrónico se expande y evoluciona, también lo hacen sus villanos. En los últimos años, no solo ha aumentado el número de transacciones fraudulentas y el valor total de los artículos robados. También ha aumentado el tipo de fraude en el comercio electrónico.

Desde el pharming y la apropiación de cuentas hasta el fraude «amistoso» y «silencioso» (por no hablar del robo de identidad), los métodos de los estafadores son cada vez más dinámicos y diversos. Veamos algunos.

Pharming

El pharming es un tipo de fraude de comercio electrónico seguridad en el que los estafadores redirigen a los internautas (sin su conocimiento o consentimiento) a un sitio web fraudulento. Este sitio web puede parecerse al que el cliente pretendía visitar, pero con una diferencia clave: es completamente falso.

Diseñado solo para simular el sitio web original, su homólogo falso existe por una única razón: engañar al usuario para que introduzca su información personal y los datos de su tarjeta de crédito. Los estafadores pueden utilizar esta información para robar el dinero del usuario o, lo que es peor, su identidad.

Fraude de contracargo

También conocido como «fraude amistoso», el fraude de devolución de cargo es cuando un cliente intenta reclamar un reembolso de manera fraudulenta abusando del sistema de devolución de cargo.

Una devolución de cargo es un paso introducido por los bancos en los años 70 para aumentar la confianza del público en la tarjeta de crédito (que, en ese momento, era algo novedoso). Permite a los consumidores disputar un pago con tarjeta y, después de que el banco se ponga de acuerdo con su caso, reclamar un reembolso.

Supongamos que se va de vacaciones a Santorini y le roban la tarjeta en el aeropuerto. Cuando llega a Grecia, se da cuenta de que el ladrón ha realizado compras fraudulentas de $700 con su tarjeta. En esta situación, podría (con bastante legitimidad) solicitar una devolución de cargo.

¿El problema? Cuando no es legítimo. Ya sea de manera maliciosa o “inocente” (los clientes se olvidan de una transacción en su estado de cuenta o de un ciclo de facturación recurrente), los estafadores pueden aprovechar el proceso de contracargo para reclamar la devolución del dinero en compras totalmente válidas.

¿La peor parte? Que, cuando el banco confirma una reclamación de devolución de cargo, el banco luego reclama el dinero (¡junto con una tarifa adicional, por sus problemas!) De vuelta de usted. Agregue eso a las acciones que ya perdió ante el estafador, y las devoluciones de cargo ofrecen una amenaza demasiado real.

Robo de identidad

Debido a las populares películas que abordan el tema (El talentoso Sr. Ripley, ¿alguien se acuerda?), el robo de identidad es uno de los tipos de fraude en el comercio electrónico más conocidos. Pero no por ello es menos peligroso.

En este caso, un estafador asume falsamente la identidad de otra persona: utiliza su nombre, información personal y documentos para abrir tarjetas de crédito y luego asalta la calle.

Más allá del impacto en la víctima, ¿por qué es una mala noticia para tu negocio en línea? Al fin y al cabo, tú sigues vendiendo… ¿verdad?

Pues no. Piensa, por un segundo, en nuestro ejemplo de Santorini. Muy pronto, la persona cuya identidad ha sido robada se dará cuenta de la letanía de compras fraudulentas realizadas a su nombre y, ya lo ha adivinado, solicitará una devolución de cargo. Cuando el banco lo acepte, te reclamará el dinero.

El robo de identidad, representa el 71% de todos los ataques, es con diferencia el tipo más común de fraude en el comercio electrónico seguridad. Además, los estafadores son cada vez más sofisticados y ahora utilizan los dispositivos personales, las direcciones IP y las cuentas de usuario de los objetivos para asumir sus identidades, lo que los convierte en una amenaza a la que hay que estar alerta.

Adquisición de cuentas

Todos nuestros clientes lo han hecho alguna vez al comprar por Internet. Marcar esa casilla que dice «Guardar los datos de mi tarjeta de crédito». Les ahorrará un minuto la próxima vez que vuelvan a hacer una compra, así que es una obviedad, ¿no?

Sí, claro. A menos que un estafador consiga hacerse con los datos de acceso de ese cliente. Si eso ocurre, el ladrón tiene fácil acceso a sus datos de pago. Lo único que tienen que hacer es cambiar la dirección de envío y empezar a comprar.

¿Y cuando lo hagan? Espera devoluciones de cargo por parte del cliente real, dejando a tu empresa sin dinero.

Malware and Ransomware

¿Tu ordenador se bloquea constantemente? ¿Aparecen anuncios por todas partes? ¿Los enlaces te llevan a un destino equivocado, o aparecen nuevos iconos en tu escritorio y navegador?

Si es así, es posible que hayas instalado malware (mal = malo, ware = software… es un software malo) en tu dispositivo sin darte cuenta. Incluso el propio término «malware» incluye una gama de diferentes tipos de código malicioso, cada uno más nefasto que el anterior. Entre ellos se incluyen el spyware, los «caballos de Troya» y el ransomware, un código que te bloquea el sistema hasta que pagas un «rescate» al hacker para volver a entrar.

El problema para los propietarios de tiendas de comercio electrónico es que el malware, ya sea en tu sistema o en el de tus clientes o administradores, puede robar datos confidenciales. Esto incluye los nombres y direcciones de los clientes, así como su información de pago de seguro en línea. Si alguno de estos datos se ve comprometido, no solo perderás beneficios o datos, sino también tu credibilidad.

Es más, los ataques de malware allanan el camino para una forma emergente de engaño en el comercio electrónico llamada fraude «silencioso». Tras utilizar malware para acceder ilegalmente a una serie de cuentas, los estafadores, en lugar de arrebatar miles, cientos, decenas o incluso billetes de uno, solo roban unos céntimos. Realizados a gran escala y con regularidad, estos robos pueden sumar enormes cantidades de fondos sustraídos. Después de todo, ¡no es tan «silencioso»!

Formas de proteger a tus clientes

Conocer los principales tipos de fraude en el comercio electrónico seguridad es una cosa. Pero otra muy distinta es ser capaz de protegerte a ti y a tus clientes de los efectos nocivos del fraude.

A continuación, hemos reunido nuestros principales consejos para ayudarte a ti, a tu base de clientes y a tu empresa a mantenerse fuera de las codiciosas garras de los estafadores.

Protege la información de tus clientes

¿La primera forma de proteger a sus clientes? Salvaguardando sus datos más importantes. He aquí cómo:

Cortafuegos

Al filtrar y supervisar el tráfico entrante (y saliente), los cortafuegos ayudan a mantener la seguridad de tu sitio web, actuando, básicamente, como un muro literal entre tu red y el bandido de “’Oeste Salvaje”’ llamado Internet.

Desde este punto de vista, los cortafuegos son vitales no solo para proteger tus sistemas de datos, sino también para cumplir la normativa PCI. PCI DSS (Payments Card Industry Data Security Standards) es un conjunto de normas que deben cumplir todas las empresas que aceptan tarjetas de crédito y débito. El cumplimiento de la normativa PCI es una especie de «sello de aprobación» que demuestra a tus clientes, a los organismos reguladores y al mercado en general que pueden confiar en ti para gestionar datos confidenciales.

Si vendes en línea con Ecwid por Lightspeed, tu tienda ya es compatible con PCI DSS. Ecwid by Lightspeed es un proveedor de servicios de nivel 1 validado por PCI DSS. Este es el más alto estándar internacional para el intercambio seguro de datos para las tiendas en línea y sistemas de pago de seguro en línea.

Activa la autenticación de dos factores (2FA)

Asegúrate de que la autenticación 2FA está implementada, de modo que cualquier persona que intente acceder a las plataformas y procesos backend de tu empresa tendrá que iniciar sesión a través de dos dispositivos. Si tú o uno de los miembros de tu equipo inicia sesión desde un ordenador de sobremesa, por ejemplo, también tendrá que confirmar el intento en otro dispositivo, como su teléfono, para poder acceder.

Otras variaciones incluyen:

Variación en dos pasos (2SV): consiste en recibir por correo electrónico, mensaje o llamada telefónica un código o contraseña de un solo uso que hay que introducir para iniciar sesión.
Autenticación multifactor: una mezcla de múltiples formas de autenticación para uno de los niveles más altos de seguridad.

Los propietarios de negocios que venden en línea con Ecwid by Lightspeed pueden utilizar sus cuentas de Google o Facebook para iniciar sesión en su tienda Ecwid. Habilitar la autenticación de dos factores para tu cuenta de Google o Facebook y así proteger tu información de inicio de sesión para Ecwid también.

Si deseas agregar otros miembros del equipo (como personal de cumplimiento o un diseñador) a tu tienda Ecwid, nunca compartas tu inicio de sesión Ecwid con ellos. En su lugar, crea cuentas de staff separadas para cada usuario en tu tienda. Las cuentas de staff tienen inicios de sesión separados y no tienen acceso a tu perfil y páginas de facturación.

Utiliza un portal de pago seguro

Si quieres ofrecer a tus clientes la máxima tranquilidad en los pagos de seguro en línea, es imprescindible contar con una plataforma de pago segura.

Una plataforma de pago en línea es la tecnología que utilizan los comerciantes para aceptar compras con tarjeta de crédito y débito, tanto en persona como en Internet. Pero no todas las plataformas de pago son iguales, sobre todo en lo que se refiere a comisiones y plazos de pago. Así que asegúrate de elegir la más adecuada para las necesidades específicas de tu negocio.

Ecwid by Lightspeed está integrado con docenas de plataformas de pago seguras. Tú puedes elegir un sistema de pago que es conveniente tanto para tu negocio y tus clientes.

Más información: Cómo elegir un sistema de pago de seguro en línea para tu tienda de comercio electrónico

SComparte consejos e información con tus clientes

¿Una de las formas más fáciles de proteger a tus clientes? Informándoles.

Ya sea a través de correos electrónicos, mensajes de texto o secciones dedicadas en tu sitio web, informa a tus clientes del fraude que existe y de cómo pueden protegerse de él. (¡Y ayudarte a ti a protegerlos de él!)

Asegúrate de explicarlo claramente:

Cómo recibe tu empresa a los clientes (para que puedan detectar discrepancias).
Cómo no saluda tu empresa a los clientes y qué no les pides (por ejemplo, sus datos de acceso o que hagan clic en un enlace para iniciar sesión).
Consejos claros y prácticos para que los clientes mantengan a salvo los datos de sus cuentas (si su empresa mantiene cuentas de clientes).
Cómo ponerse en contacto si algo no parece correcto o si el cliente tiene alguna pregunta.
Qué controles de seguridad estás introduciendo, si los hay.
Cómo puede el cliente actualizar sus datos de forma segura.
Qué hacer si recibe un correo electrónico fraudulento (es decir, un estafador que se hace pasar por tu empresa) y cómo denunciar la comunicación fraudulenta.

No hace falta decir que este tipo de comunicaciones son vitales. No solo inspiran confianza y ofrecen una experiencia de usuario excelente, sino que también ayudan a reducir el riesgo de que tus clientes sean víctimas de un fraude en el comercio electrónico seguridad.

Recuerda también que esta información debe ser lo más accesible posible. Es posible que tus clientes no lean sus correos electrónicos o no se informen a fondo en tu sitio web. Así que cuantos más canales utilices para dar a conocer estos consejos, mejor.

Mantén tu sitio actualizado y realiza auditorías de seguridad periódicas

Anteriormente, hemos descrito el Internet como una especie de «Oeste Salvaje»: un estado fronterizo en el que abundan los bandidos y la anarquía.

Ahora bien, aunque eso pueda ser un poco duro, hay muchas amenazas ahí fuera e innumerables métodos a través de los cuales los phishers, hackers y estafadores pueden hacer descarrilar tu negocio:

Ataques DoS (denegación de servicio): un hacker intenta impedir que los usuarios accedan a los servicios de tu sitio.
Ataques DDoS (Denegación de Servicio Distribuida): el autor no le ataca directamente, sino que utiliza tu sitio como «zombi» con el que dañar otro sitio. En un ataque DDoS, tus servidores se ven inundados por peticiones de un montón de direcciones IP imposibles de rastrear, colapsando tu sitio y deteniendo el tráfico y las ventas.
Ataques de fuerza bruta: en este caso, los hackers atacan su sitio web con miles de combinaciones de contraseñas diferentes en un intento de obtener acceso.
Ataques de intermediario (MITM): si su cliente accede a su sitio a través de una red vulnerable (por ejemplo, WiFi pública), los hackers pueden «escuchar» la transacción y utilizarla para extraer datos confidenciales.
Inyecciones SQL y cross-site scriptings: estos ataques aprovechan las vulnerabilidades de tu sitio web. En una inyección SQL, los hackers atacan tus formularios para acceder, corromper y robar información del backend de tu sitio. En el cross-site scripting, los hackers insertan fragmentos de código malicioso que roban la información de sus visitantes.

¿El hecho de que existan todos estos modos de ataque? Esa es la mala noticia. La buena noticia, sin embargo, es que estos hackers son oportunistas. Buscan vulnerabilidades en la configuración de seguridad y prevención del fraude de tu sitio web. Esto significa que, si mantienes tu sitio actualizado e identificas, comprendes y cubres tus vulnerabilidades con regularidad, podrás reducir el riesgo de que un pirata informático ataque tu sitio web y tu negocio.

Para ello, realiza auditorías de seguridad periódicas. Evalúa la infraestructura de tu sitio en busca de lagunas, explorando el backend y el código (incluidas extensiones y temas) en busca de cualquier cosa que los hackers puedan aprovechar.

Asegúrate de que:

Tus contraseñas son seguras
Tu software está actualizado
El certificado SSL (Secure Sockets Layer) de tu sitio está actualizado

Hablando de certificados SSL, si creaste tu sitio web de comercio electrónico con Ecwid by Lightspeed, ya tienes un certificado SSL por defecto.

Si añadiste tu tienda Ecwid a un sitio web existente, ya tienes el certificado SSL gratuito para tu tienda. Sin embargo, el resto del sitio web es un asunto aparte. Debes adquirir un certificado SSL para proteger la información confidencial.

Otra forma de proteger tu sitio web es revisar la lista de cuentas del personal de tu tienda online y eliminar a los miembros del personal con los que ya no trabajas. De este modo, evitarás que los piratas informáticos se aprovechen de estos «canales secundarios» para acceder a tu sitio.

Momentos clave para proteger tu sitio web

Ahora que ya hemos explicado qué fraudes hay que tener en cuenta y cómo proteger tu sitio web de ellos, veamos en qué momentos clave del año son más activos los piratas informáticos.

Días festivos

«The Federal Bureau of Investigation (FBI) and the Cybersecurity and Infrastructure Security Agency (CISA) have observed an increase in highly impactful ransomware attacks occurring on holidays and weekends–when offices are normally closed–in the United States, as recently as the Fourth of July holiday in 2021.» — Ransomware Awareness for Holidays and Weekends, 2021.

Christmas, Easter, Memorial Day, Independence Day–though the rest of us are spending time with our families and unwinding, hackers are doing anything but relax.

Increased distraction on the part of the customer or end-user and less staff and resources on the business’s end means conditions are rife for hacking.

Against this backdrop, don’t let your business get caught out. Don’t wait until the next holiday to set your site’s security up for success, or find yourself scrambling to audit your site mere days before the long Mother’s Day weekend. Remember that old Chinese proverb?

The best time to plant a tree was 20 years ago. The second best time is today.

«La Oficina Federal de Investigación (FBI) y la Agencia de Ciberseguridad y Seguridad de Infraestructuras (CISA) han observado un aumento en los ataques de ransomware de gran impacto que ocurren en días festivos y fines de semana —cuando las oficinas normalmente están cerradas- en los Estados Unidos, tan recientemente como la festividad del 4 de julio en 2021.» — Sensibilización sobre el ransomware en días festivos y fines de semana, 2021.

Navidad, Semana Santa, el Día de los Veteranos, el Día de la Independencia… aunque el resto de nosotros estamos pasando tiempo con nuestras familias y relajándonos, los hackers están haciendo cualquier cosa menos relajarse.

Una mayor distracción por parte del cliente o usuario final y menos personal y recursos por parte de la empresa significa que las condiciones son propicias para la piratería informática.

En este contexto, no dejes que tu empresa se vea sorprendida. No esperes a las próximas vacaciones para mejorar la seguridad de tu sitio web, ni te veas obligado a auditarlo pocos días antes del largo fin de semana del Día de la Madre. ¿Recuerdas el viejo proverbio chino?

«El mejor momento para plantar un árbol fue hace 20 años. El segundo mejor momento es hoy.»

Fines de semana

Los piratas informáticos tienden a atacar a las empresas cuando son más vulnerables y cuando están cerradas.

Por eso los fines de semana, sobre todo los largos, en los que hay días festivos de por medio, son oportunidades propicias para los piratas informáticos. Pero eso no significa que haya que bajar la guardia durante el resto de la semana. Los piratas informáticos atacan una media de 26.000 veces al día, por lo que hay que mantenerse alerta.

Conclusión

A medida que evolucionan las oportunidades del comercio electrónico seguridad, también lo hacen sus amenazas.

Con tantas estadísticas alarmistas por ahí, puede ser fácil querer taparse los oídos, hacer la vista gorda y adoptar un enfoque de «la ignorancia es felicidad».

Pero esta mentalidad no tiene en cuenta que esas amenazas vienen acompañadas de oportunidades aún más interesantes.

Hacer que el proceso de pago sea más seguro, fácil, cómodo y coherente que nunca. Para construir tu marca, fidelizar a tus clientes y aumentar la confianza de tu público, demostrándoles que valoras su privacidad y respetas la confidencialidad de sus datos. Y, de paso, sentar las bases del éxito sólido y sostenible de tu negocio de comercio electrónico.

Ecwid protege a todos los implicados en el proceso de venta en línea, desde los comerciantes en línea hasta los consumidores.

enero 19, 2023

Sobre el autor

Rob Binns es un redactor y editor freelance residente en Melbourne (Australia). Cuando no está escribiendo contenidos sobre comercio electrónico y seguridad digital, juega (¡o ve!) al fútbol o se relaja en el sol con un libro y una cerveza fría.