La seguridad de los pagos en línea se basa en la confianza. Sin confianza, nadie utilizaría el ecosistema financiero. Imagina a un cliente que solo sufre fraudes constantes cada vez que utiliza su tarjeta de crédito. Si no hay seguridad, no hay mercado.  

¿Cómo hemos logrado proteger el sector de los pagos? Pues bien, ha sido una labor incesante desde el primer día (una labor que Chargeflow se enorgullece de continuar). Cada vez que surge una nueva amenaza, los equipos de seguridad adoptan una nueva estrategia de defensa. Desde las primeras transferencias electrónicas, nos hemos enfrentado cara a cara a los estafadores y delincuentes, desarrollando nuevas medidas para proteger a nuestros usuarios.

Repasemos la historia de la seguridad en los pagos para hacernos una idea de las medidas de protección que se han adoptado en este ámbito.  

Los inicios de los pagos en línea

Los pagos en línea surgieron con la aparición del comercio electrónico. Piensa en eBay o Amazon. Estos mercados online ofrecían una nueva forma de vender productos.

Pero la venta digital también requiere métodos digitales para aceptar pagos. Esto generó una demanda de terminales de pago virtuales. Así pues, los proveedores de servicios de pago (PSP) aparecieron con soluciones digitales, siendo una de las más populares PayPal o el proceso de devolución de cargo a través de las entidades emisoras de tarjetas de crédito.

Los proveedores de pagos permitían a los usuarios vincular sus cuentas bancarias y tarjetas de crédito para realizar pagos. Por supuesto, estos servicios planteaban problemas de seguridad. ¿Cómo se podía verificar que el pago lo había iniciado el usuario correcto? ¿Qué pasaba si alguien pirateaba una cuenta o conseguía una contraseña? ¿Y cómo se podía proteger la información financiera mientras estaba en tránsito?

En respuesta a ello, la seguridad de los pagos se adaptó. Por ejemplo, la verificación por correo electrónico ayudó a confirmar la identidad del usuario. Las contraseñas seguras protegían contra los intentos de suplantación de identidad. Y, sobre todo, las empresas de seguridad recurrieron al cifrado. Desarrollado por primera vez en 1995, Netscape creó el protocolo Secure Socket Layer (SSL) para cifrar los datos en la web y autenticar a los usuarios. Este protocolo sentó las bases para el cifrado Transport Layer Security (TLS), que seguimos utilizando hoy en día.

El auge del comercio electrónico y las pasarelas de pago

El comercio electrónico siguió prosperando a finales de la década de 1990 y principios de la de 2000. Lo cual es realmente sorprendente, ya que gran parte del entusiasmo por Internet se desvaneció con el estallido de la burbuja puntocom. Cuando estalló la burbuja, muchos consideraron que el comercio electrónico estaba condenado al fracaso desde el principio.

Sin embargo, algunas plataformas sobrevivieron, esta vez con unos cambios muy necesarios. Marcas como Amazon, Shopify, Netflix y Zappos comenzaron a integrar todas las partes del mercado digital en un todo coherente. Aspectos como el inventario debían coordinarse con la gestión de pedidos, y ambos debían conectarse con los sistemas de pago internacionales. Empezamos a desarrollar la infraestructura necesaria para el comercio electrónico.  

Por supuesto, los estafadores se fijaron en estas nuevas vías de ataque digitales. Los sistemas de gestión de clientes son vulnerables a los ataques informáticos. Lo mismo ocurre con los carritos de la compra y los nuevos procesos de pago. El fraude con tarjetas de pago empezó a suponer un problema importante, junto con las estafas por Internet y el phishing. Uno de los casos más famosos fue el ataque de denegación de servicio perpetrado en febrero de 2000 contra Yahoo!, CNN.com, eBay y Amazon.

Avances en el cifrado y la autenticación

Una vez más, la seguridad de los pagos se adaptó. Necesitábamos reforzar los pagos en línea ante estas nuevas amenazas. Como resultado, el sector creó varias herramientas y técnicas, tales como:

• 3D Secure: Visa y Mastercard han implementado un protocolo de seguridad secundario conocido como 3D Secure. En determinadas situaciones de pago de riesgo, los emisores de las tarjetas pueden solicitar una segunda verificación, como una contraseña o un PIN. Se trata de un paso adicional inteligente que permite confirmar si el usuario de la tarjeta es quien dice ser.
• Tokenización: los equipos de seguridad sustituyeron los datos confidenciales por tokens aleatorios. Un conjunto de tokens codificados no tiene ningún valor para los piratas informáticos. Esto ayuda a reducir el riesgo y las consecuencias económicas de las filtraciones de datos o los ataques informáticos.
• Características de las tarjetas de pago: Las pasarelas de pago comenzaron a comparar los datos de los usuarios para verificar los pagos en línea. Utilizaban sistemas como la verificación de direcciones (AVS) y los códigos de seguridad de las tarjetas (CVV) como controles de seguridad adicionales cuando alguien utilizaba una tarjeta de crédito para realizar una compra en línea.
• Autenticación multifactorial (MFA): cuando las cuentas contenían datos financieros confidenciales, las empresas empezaron a solicitar al menos dos elementos de verificación. Cada usuario debe presentar datos de al menos dos de las tres categorías siguientes: algo que sabes, algo que tienes y algo que eres. La MFA sigue siendo hoy en día una táctica de defensa muy utilizada.  
• Biometría: Con el avance de la tecnología, los equipos de seguridad comenzaron a verificar la identidad de los usuarios mediante características físicas (dedos, rostro, etc.). Estos atributos únicos son mucho más difíciles de copiar o piratear que una contraseña.  

Normativa y normas de cumplimiento

Para entonces, la seguridad de los pagos empezaba a resultar difícil de gestionar. Piensa en lo complicado que es armonizar las prácticas de seguridad entre distintos países y gobiernos. O piensa en los diferentes enfoques que adoptan un banco, una marca de tarjetas o una pasarela de pago en materia de protección de datos. Es posible que algunos actores tengan estándares de seguridad más altos o más bajos que otros. Otros pueden disponer de más recursos y tener acceso a una tecnología más avanzada.

Una combinación así carece de coherencia. Y eso hace que el sector sea vulnerable. Los estafadores podrían aprovecharse de nuestra falta de comunicación. Necesitábamos estrategias unificadas (o, en términos más oficiales: interoperabilidad segura).

Esto llevó a varios gobiernos y organizaciones a promulgar normativas tales como:

• Norma de Seguridad de Datos de la Industria de Tarjetas de Pago (PCI DSS) - Normas para la gestión de datos de tarjetas
• Directiva sobre servicios de pago (PSD): Protección de los consumidores en materia de pagos electrónicos en toda la Unión Europea
• Ley de Transacciones Crediticias Justas y Precisas (FACTA): Disposiciones sobre el uso de la información financiera y medidas para combatir el fraude
• Ley de Modernización Financiera (Ley Gramm-Leach-Bliley, GLBA): Normas que garantizan la confidencialidad de los datos de los consumidores

Estas directivas siguen sirviendo de guía al sector de los pagos en la actualidad.

Buenas prácticas actuales y futuras en materia de seguridad de los pagos en línea

A pesar de la estandarización, la seguridad de los pagos en línea sigue evolucionando. Hoy en día, los estafadores son más sofisticados, pero nosotros también. El sector aprovecha varias tecnologías innovadoras que protegen a los consumidores tanto ahora como en el futuro:

• Inteligencia artificial (IA) y aprendizaje automático (ML): los sistemas cognitivos suponen una mejora fundamental en nuestras estrategias de defensa. Esto se debe a que la IA es capaz de superarse a sí misma. Los sistemas adaptativos pueden tomar reglas estáticas y desarrollar mejoras a partir de los datos introducidos. Dado que las máquinas pueden procesar volúmenes de datos a niveles muy superiores a los de los seres humanos, las herramientas de IA ofrecen un enfoque dinámico de la seguridad. Por eso Chargeflow utiliza herramientas basadas en IA, como el análisis predictivo, los modelos de riesgo personalizados y la resolución rápida de disputas.
• Blockchain y tecnología de contabilidad distribuida (DLT): La tecnología blockchain permite realizar transacciones descentralizadas e irreversibles. Además, dado que la validez viene determinada por el consenso público, limita el riesgo y la exposición de los intermediarios. Esto convierte a la blockchain en una forma sólida de seguridad (y existen muchos casos de uso posibles para esta tecnología en el sector de los pagos).
• Autenticadores FIDO2: La criptografía de clave pública (y el futuro de la criptografía cuántica) ofrece formas de autenticación sin contraseña. Se trata, una vez más, de otra mejora con respecto a la antigua seguridad de inicio de sesión.
• Biometría conductual: La biometría conductual se basa en los rasgos más distintivos de un usuario: su personalidad. Las emociones, los movimientos faciales, la velocidad de escritura y los hábitos de navegación son algunos de los parámetros que se tienen en cuenta. Estos factores permiten una verificación más precisa.  
• Soluciones dinámicas contra el fraude: más vale prevenir que curar. Por eso, las soluciones contra el fraude se centran ahora en tácticas de prevención proactivas. La supervisión en tiempo real, los controles de velocidad y la inteligencia sobre amenazas son excelentes ejemplos de ello. Dada la gran eficacia de estas herramientas, Chargeflow aprovecha la inteligencia artificial para prevenir las devoluciones y el fraude antes de que surja cualquier problema. Señalamos las actividades sospechosas mediante puntuaciones de riesgo que activan alertas de fraude. Anticiparse a las acciones de los delincuentes mejora drásticamente los resultados en materia de seguridad.  

Conclusión

La historia de la seguridad en los pagos es un claro ejemplo de la capacidad de adaptación del sector. Hemos recorrido un largo camino. Lo que en un principio surgió de las necesidades de las primeras plataformas de comercio electrónico, se ha convertido hoy en herramientas de defensa avanzadas que protegen nuestro mercado global.

No obstante, la labor de garantizar la seguridad sigue adelante. Necesitamos medidas innovadoras que estén a la altura de los ataques cada vez más sofisticados de los estafadores. Y por eso chargeflow sigue adaptándose al ritmo de los cambios. Somos conscientes de la importancia de la confianza de los clientes, por lo que utilizamos las herramientas más eficaces (IA, aprendizaje automático, etc.) para adelantarnos a la economía del fraude.

¿Quieres saber cómo Chargeflow puede protegerte a ti y a tus clientes? Solicita una demostración hoy mismo. ‍