Los sistemas de punto de venta (TPV) son un objetivo frecuente para los ladrones de datos. La complejidad de los sistemas de pago dificulta bloquear todas las amenazas. Al igual que en el juego de golpear al topo, cuando se corrige una vulnerabilidad, los hackers ya están buscando la siguiente.
Como proveedor de servicios de pago, necesita una solución de seguridad que lo proteja a usted y a sus comerciantes. Con atención a las tendencias de fraude y una planificación inteligente, es un objetivo que puede lograr. Tres de las principales causas de las filtraciones de datos en los puntos de venta son el robo de credenciales, el acceso remoto inseguro y la negligencia de los comerciantes. Siga leyendo para descubrir cómo puede proteger a sus comerciantes.
1. Credenciales robadas: tenga cuidado donde hace clic
En 2017, el 65% de las filtraciones de datos en comercios minoristas se relacionaron con el robo de credenciales. Mantener las credenciales de inicio de sesión seguras es fundamental, pero sigue siendo un punto débil. A pesar de la publicidad y las iniciativas educativas, las personas siguen siendo víctimas de correos electrónicos de phishing. El año pasado, el 7% de los destinatarios de correos electrónicos de phishing abrieron un archivo adjunto fraudulento. Si bien no todos estos incidentes resultaron en filtraciones, esto demuestra una falta de concienciación sobre los riesgos. Los departamentos de RR. HH. y contabilidad son objetivos específicos de los correos electrónicos de phishing, ya que estos empleados están acostumbrados a abrir archivos adjuntos en su trabajo habitual. Haga todo lo posible para concienciar a sus comerciantes sobre los riesgos del phishing.
2. Acceso remoto: Bloquee la puerta trasera
Si bien la gestión remota de productos es una herramienta excelente para todo tipo de proveedores, puede ser peligrosa en manos equivocadas. He aquí una estadística alarmante: en el 95 % de las filtraciones de datos que involucran credenciales robadas, los hackers obtuvieron dichas credenciales y utilizaron el software de acceso remoto del proveedor para acceder a los sistemas de punto de venta de los clientes. De hecho, la filtración de datos de Target en 2013, que afectó a 40 millones de cuentas, fue causada precisamente por esta situación. Los hackers se infiltraron a través del inicio de sesión de una empresa de climatización y se encontraron con una gran cantidad de información confidencial, ya que la red de Target no estaba configurada con la segmentación adecuada para mantener separados los datos de pago.
Reflexionemos un momento sobre esto. Básicamente, si los estafadores logran descifrar una contraseña para acceder al sistema de un proveedor, y este utiliza software de acceso remoto para conectarse con un cliente, existe el riesgo de que puedan infiltrarse en la red del cliente, pero solo si se dan las condiciones adecuadas (o, en este caso, si las condiciones son muy desfavorables). Una seguridad de red deficiente, la falta de contraseñas seguras, la ausencia de cortafuegos o de un control de acceso adecuado pueden tener consecuencias devastadoras.
Ser víctima de ataques de acceso remoto es totalmente prevenible. Los estándares PCI se desarrollaron por una razón, y su cumplimiento total protegerá a sus comerciantes de la amenaza real de las brechas de seguridad de acceso remoto. Como proveedor de servicios de pago (PSP), si utiliza herramientas de acceso remoto para gestionar su base de comerciantes, es fundamental asegurarse de que su propia infraestructura esté en orden. Siga al pie de la letra todas las regulaciones PCI. Nunca escatime en seguridad de red. Y asegúrese de que sus comerciantes sepan que deben establecer las mismas expectativas para todos sus proveedores.
Como medida de seguridad adicional, recomiende a sus comerciantes que limiten el acceso de los proveedores según sea necesario. En el sector de pagos, estos controles pueden integrarse, ya que el software de acceso remoto para TPV puede estar totalmente integrado o semiintegrado. En CDE Solutions, utilizamos una plataforma semiintegrada. Con la semiintegración, podemos solucionar problemas, enviar archivos y administrar la tableta del comerciante, pero no tenemos acceso a los datos de pago en su terminal. Esta separación de funciones, junto con el cumplimiento de todos los estándares de datos PCI, mantiene la seguridad de los datos de pago.
Si ofrece soluciones totalmente integradas, la situación puede ser un poco más compleja. En este caso, la solución es el estricto cumplimiento de las normativas PA-DSS, junto con un equipo de TI dinámico para instalar, supervisar y controlar las interacciones de la red.
3. Descuido del comerciante: Preste atención a los detalles
La negligencia es otra causa evitable de filtraciones de datos. Aunque proporcione a sus comerciantes las herramientas de procesamiento más sofisticadas, si no utilizan la tecnología, los terminales serán prácticamente inútiles. La cadena de ropa Forever 21 acaba de sufrir una importante filtración . Los hackers se infiltraron a través del acceso a la red y lograron robar datos de tarjetas de crédito de los clientes porque, sorprendentemente, muchas tiendas no activaron el cifrado en sus terminales de punto de venta. Si bien Forever 21 se muestra hermética sobre la magnitud de la filtración, su duración de siete meses deja claro que miles de cuentas de consumidores se vieron comprometidas.
Con una formación adecuada en la tienda y una ligera supervisión de TI, las brechas de seguridad causadas por descuidos suelen prevenirse. Las medidas básicas de seguridad son de sentido común para quienes trabajamos en pagos, pero quizá no lo sean para sus comerciantes. No dé por sentado que los comerciantes conocen los estándares que deben mantener. Como proveedor de servicios de pago, considere parte de su deber brindar formación continua y acceso a recursos del sector para ayudar a sus comerciantes a mantener operaciones comerciales seguras.
Planifique lo mejor, prepárese para lo peor
Así como es importante contar con un plan de respuesta ante desastres para incidentes como inundaciones e incendios, los comerciantes también deben preparar un plan de respuesta ante brechas de seguridad. Cuando ocurre una brecha de seguridad, el pánico suele ser la respuesta natural, pero no la más efectiva. Al planificar con antelación, los comerciantes pueden minimizar el impacto y los daños de una brecha de seguridad.
Dependiendo del alcance del negocio de un comerciante, los planes de respuesta ante incidentes de seguridad pueden ser bastante complejos y requerir la contratación de un proveedor especializado para cubrir todas las contingencias. Si esto está fuera del alcance de sus comerciantes, un plan sencillo que puedan elaborar ellos mismos es mucho mejor que nada. Una búsqueda en Google les mostrará a sus comerciantes varios recursos y plantillas en línea para planes de respuesta ante incidentes de seguridad. Esta guía de Experian podría serles útil como punto de partida.
Con esto concluimos nuestro resumen general de las infracciones a gran escala. El próximo mes, abordaremos algunas nuevas tácticas de fraude individuales a las que podrían enfrentarse sus comerciantes. Para minimizar las pérdidas por fraude, sus comerciantes necesitan un conocimiento completo de los riesgos de ambos escenarios.