Según un informe publicado por Webscale, en 2020 el comercio electrónico sufrió un aumento significativo de los incidentes cibernéticos.

Alrededor del 70 % de los participantes en la encuesta (empresas con presencia en línea) revelaron que la frecuencia de los ciberataques aumentó en un 20 %.

La reciente pandemia fue uno de los motivos que provocaron ese aumento. A medida que más personas empezaron a comprar por Internet, se fomentó la aparición de nuevas empresas. El cambio en el panorama digital también sirvió de señal de alarma para los piratas informáticos.

Han pasado ya un par de años desde 2020, pero las amenazas a la seguridad siguen siendo un gran problema para los comerciantes en línea.

Los ciberdelincuentes disponen de una gran variedad de técnicas maliciosas, dirigidas no solo a los administradores de los sitios web y a los empleados, sino también a los consumidores.

Concienciar sobre las principales amenazas a la ciberseguridad es el primer paso para lograr combatirlas. A partir de ahí, son los comerciantes quienes deben decidir qué medidas de protección van a implementar en sus tiendas.

El objetivo de este artículo es dar a conocer las amenazas de ciberseguridad más comunes a las que se enfrentan las empresas y cómo evitarlas.

N.º 1: El spam

Empecemos por el spam. Es uno de los intentos de causar daño más fáciles de detectar. Algunos hackers intentan aprovecharse de las redes sociales y las bandejas de entrada de correo electrónico enviando mensajes con enlaces infectados.

También puede funcionar dejar enlaces maliciosos en las entradas de un blog a través de un comentario o camuflar el enlace e incluirlo en la sección de reseñas de un producto.

Al hacer clic en esos enlaces, se te redirige a sitios web sospechosos, lo que podría convertirte en víctima de un ataque. Además, los enlaces que parecen spam y que aparecen en un sitio web causan una mala impresión entre los visitantes. Por no hablar de que también pueden afectar a la velocidad del sitio web.

N.º 2: Ataques DDoS

Los ataques DDoS saturan un sitio web con un volumen ingente de tráfico procedente de diferentes fuentes.

Los sitios web se caen porque no pueden gestionar las solicitudes, y volver a ponerlos en funcionamiento supone un gran reto si el sitio carece de las medidas de seguridad necesarias.

En algunos casos, los ataques DDoS pueden utilizarse como medida de distracción. El objetivo es distraer al personal, más que dejar fuera de servicio el sitio web. En 2021 se produjo un aumento significativo en la frecuencia y la magnitud de estos ciberataques, que alcanzaron su máximo histórico. En noviembre de 2021, Microsoft contrarrestó un ataque DDoS dirigido a un cliente de Azure. Los atacantes desplegaron un caudal de 3,45 Tbps y una tasa de paquetes de 340 millones de PPS. Se cree que fue el ataque DDoS más importante jamás registrado.

N.º 3: Malware

El spyware, los virus, los troyanos y el ransomware son los tipos de malware más comunes.

Siempre que un dispositivo se ve afectado por malware, existe el riesgo de que quien lo utilice para conectarse a un sitio web pueda, de forma indirecta, sustraer datos confidenciales o infectar el propio sitio web. Esto es especialmente cierto en el caso de quienes tienen acceso a las bases de datos del backend.

Los hackers corrompen los datos con un código y recopilan la información que necesitan. Además, pueden borrar sus huellas para dificultar su rastreo.

N.º 4: Bots

Los bots son aplicaciones de software o scripts que realizan tareas específicas. En el ámbito del comercio electrónico, los bots suelen tener como objetivo extraer información valiosa de los sitios web.

Posteriormente, otra parte utiliza esa información para obtener ventaja sobre la competencia. Es una artimaña sucia, pero se recurre a ella de todos modos.

Un ejemplo de ello lo ofrece Data Dome, que informó de un ataque de bots a gran escala que utilizó BaaS (bots como servicio) y duró unas 19 horas, con unos 15,5 millones de solicitudes enviadas desde más de 500 000 proxies residenciales. De media, este ataque de scraping a gran escala generó unas 150 000 solicitudes cada 10 minutos en los servidores de sus clientes.

N.º 5: Fraude financiero

El fraude con tarjetas de crédito es uno de los ejemplos más destacados de fraude financiero. El robo de tarjetas de crédito o de datos personales para obtener una nueva tarjeta de crédito lleva años afectando al sector del comercio electrónico.

La Comisión Federal de Comercio publicó un gráfico en el que se muestra cómo el número de casos de fraude con tarjetas de crédito denunciados pasó de 45 000 en el primer trimestre de 2019 a 115 000 en el primer trimestre de 2023.

La implantación de sistemas de verificación de direcciones que detectan discrepancias entre el titular real de la tarjeta de crédito y la dirección de entrega contribuye a resolver el problema. No obstante, el problema sigue siendo importante y requiere una atención constante por parte de los comerciantes en línea.

N.º 6: Estafa de phishing

La CISA señala que 9 de cada 10 incidentes cibernéticos comienzan con un ataque de phishing. Esto tiene sentido, ya que esta técnica es un primer paso ideal para romper la línea de defensa.

El phishing comienza cuando los piratas informáticos se hacen pasar por propietarios legítimos de tiendas. Pueden enviar un correo electrónico a tu cliente solicitándole sus credenciales de inicio de sesión.

Los hackers más agresivos también intentan engañar a los empleados. Cualquier persona que trabaje en el sitio web y tenga acceso al backend es el blanco perfecto para los hackers.

La urgencia, el miedo y otras formas de manipulación son habituales en los ataques de phishing. Es más fácil engañar a un destinatario cuando se le plantea una decisión difícil, como una advertencia sobre el hecho de que su cuenta ha sido comprometida y de que debe recuperarla haciendo clic en un enlace que, en realidad, es peligroso.

N.º 7: E-skimming

El «e-skimming» aprovecha vulnerabilidades del sitio web o, en particular, de la pasarela de pago. En casos más excepcionales, los piratas informáticos logran introducir malware en código de terceros o de cuartos.

Cuando se produce un «e-skimming» en un sitio web, los piratas informáticos interceptan la información de los usuarios mientras estos introducen los datos de sus tarjetas de crédito, sus direcciones postales, sus credenciales de inicio de sesión, las respuestas a las preguntas de seguridad, etc.

Desde el punto de vista del usuario, no hay ninguna señal de que alguien esté accediendo a los datos. Solo se dan cuenta cuando ya es demasiado tarde, una vez que los piratas informáticos han utilizado la información.

¿Cómo hacer frente a estas amenazas a la ciberseguridad?

La seguridad en el comercio electrónico es compleja, sobre todo teniendo en cuenta la gran variedad de amenazas que existen. No obstante, existen medidas de seguridad probadas y contrastadas para minimizar los riesgos. A continuación se ofrecen algunas recomendaciones útiles, aunque no exhaustivas:

1. Utiliza un programa antivirus

El software antivirus debería ser obligatorio. Cualquier persona que utilice un dispositivo para trabajar en el sitio web debería proteger su equipo.

Es responsabilidad de los supervisores asegurarse de que todos y cada uno de los empleados tengan instalado un programa antivirus. Una sola persona que se resista a hacerlo podría causar un daño suficiente como para afectar a todos los implicados.

Las herramientas antivirus deberían bastar por sí solas si las dejas funcionando en segundo plano, pero aun así se recomienda realizar análisis personalizados de vez en cuando.

Si sospechas que el dispositivo puede haber sufrido alguna brecha de seguridad, utiliza un programa antivirus para comprobar qué detecta. Si el dispositivo está infectado por malware u otra amenaza, debes eliminar los datos dañados.

En ocasiones, es posible que tengas que acceder manualmente a los archivos del sistema para borrarlos tú mismo. Asegúrate de saber cómo acceder a /usr/local/bin en macOS, por ejemplo, o a System32 en MS Windows.

2. Fomentar una política de contraseñas segura

Una política de contraseñas inteligente es otro ejemplo de medida de seguridad que determina el nivel de seguridad de tu sitio web.

Muchas personas no se preocupan por crear contraseñas seguras. En su lugar, utilizan opciones obvias como «1234567» o «contraseña123», lo que facilita mucho las cosas a los piratas informáticos.

Lo ideal es que las contraseñas:

• Incluye mayúsculas y minúsculas
• Incluir símbolos aleatorios
• Ser diferente para cada cuenta
• Mantente al día

Si te resulta complicado recordar tantas credenciales, utiliza un gestor de contraseñas para guardar los datos, a los que solo tú podrás acceder mediante una contraseña maestra y la autenticación de dos factores.

3. Gestionar los permisos de los usuarios

La regulación de los roles y permisos de los usuarios es una práctica habitual en las auditorías de seguridad. Cada vez que alguien abandona la empresa o cambia de función, sus credenciales de acceso originales deben modificarse en consecuencia.

Dependiendo del número de usuarios que trabajen en un sitio web, puede resultar complicado estar al tanto de todos ellos, sobre todo si el administrador del sitio ya tiene mucho trabajo.

Alguien debería encargarse de ello. Dicho esto, asegúrate de que tu equipo administrativo sea igualmente de confianza. Es fundamental elegir a personas en las que puedas confiar. Lo último que uno querría ver en su personal es que actuaran por su cuenta.

4. Configurar el certificado SSL

El cumplimiento de la norma PCI exige el uso obligatorio del protocolo SSL. Sin embargo, no todos los comerciantes en línea se molestan en configurarlo.

La ausencia del certificado es una señal de alerta importante, detectable tanto por los navegadores de Internet como por los visitantes del sitio web.

Un certificado SSL adecuado es una medida de seguridad para el sitio web y sus visitantes. Una vez instalado el certificado, la URL del sitio web pasa de HTTP a HTTPS. La «S» significa «seguro». Para garantizar una configuración correcta, utiliza una herramienta de comprobación de certificados SSL para verificar que el certificado esté correctamente configurado para el dominio.

El protocolo HTTPS cifra la información que recibe un sitio web. A los piratas informáticos les resulta mucho más difícil descifrar los datos cuando están cifrados. La mayoría de ellos se rinden y buscan nuevos objetivos.

5. Busca un proveedor de alojamiento web fiable y seguro

Dado que los proveedores de alojamiento tienen tu sitio web en sus manos, es fundamental encontrar uno que ofrezca algo más que una garantía de disponibilidad del 99,9 %.

Presta atención a las funciones de seguridad que incluye el paquete y no dudes en pagar un poco más para beneficiarte de esas medidas de seguridad.

Antes de decidirte, busca detenidamente opiniones para asegurarte de que has elegido el proveedor de alojamiento adecuado. Si es posible, pide recomendaciones personales a personas que conozcas y en las que confíes. Al fin y al cabo, las opiniones en línea de desconocidos pueden resultar a veces poco fiables.

6. Automatizar las devoluciones

Las soluciones de software suponen un salvavidas para las empresas, y el software de automatización de devoluciones de Chargeflow es un buen ejemplo de ello.

Cuando el software analiza una transacción y detecta patrones de actividad fraudulenta, avisa al comerciante, genera una respuesta a la devolución del cargo correspondiente y presenta una respuesta con pruebas en su nombre.

En lugar de esperar a que su entidad adquirente le notifique cuando los titulares de tarjetas presenten reclamaciones, lo que a menudo hace que se agote el tiempo para reunir pruebas convincentes y responder de manera eficaz, las empresas pueden presentar en todo momento respuestas oportunas y exhaustivas a las reclamaciones de devolución de cargos y resolver las disputas de forma automática. El modelo de precios basado en el éxito de Chargeflow también implica que solo pagará por los casos ganados.

Conclusión

En definitiva, los ciberdelincuentes siguen causando problemas a los comerciantes en línea. Las tiendas de comercio electrónico siguen siendo vulnerables a diversas amenazas.

Corresponde a los administradores del sitio informar sobre las amenazas que plantean problemas, para que todas las personas implicadas sepan qué hacer.

También vale la pena tomar medidas proactivas y mantenerse al día de las tendencias en materia de ciberseguridad. Cualquier cosa que te ayude a defenderse de los ciberdelincuentes te ahorrará dinero a largo plazo.