Se acerca el Black Friday, ¿está preparada tu tienda online?

Cada año, a finales de noviembre, los compradores se vuelven compulsivos por las rebajas que empiezan el Black Friday y terminan el Cyber Monday. Si tu tienda online se ha subido a esta moda, te recordamos los riesgos de seguridad y la forma de evitarlos, para que puedas aprovechar las ventajas de difusión de marca y atracción de clientes de esta locura colectiva, con seguridad.

Algunos riesgos que afectan a las tiendas online

• Compras fraudulentas con tarjetas robadas.
• Robo de clientes: Los ciberdelincuentes crean una página similar a la nuestra, usando nuestra imagen de marca y un nombre de dominio similar. Envían mensajes de phishing suplantándonos con enlaces hacia su página. De esta forma nos roban clientes y dañan nuestra reputación online.
• Acceso al panel de control de nuestra tienda online:
  • Pueden engañar, utilizando ingeniería social, a alguno de nuestros empleados y robarle las contraseñas de acceso a nuestro panel de administración de nuestro gestor de contenidos web. O bien no hemos sido cuidadosos y hay personas que tienen o mantienen permisos de administración y no deberían. En cualquier caso nuestra tienda podría resultar comprometida: robarnos datos, cambiar productos o precios, incluir malware, etc.
  • Si acceden a nuestro gestor de contenidos, porque han conseguido las credenciales o porque tiene fallos del software (vulnerabilidades), pueden cambiar completamente el aspecto de nuestra web (defacement). Así, nuestra web puede terminar suplantando a un banco o ser utilizada por un grupo yihadista. En cualquiera de estos casos, sufriremos un daño en nuestra imagen y podemos quedar incluidos en listas negras de las que es difícil de salir.
  • Si acceden a nuestro gestor de contenidos, pueden cambiar a dónde apuntan los enlaces de nuestras páginas. Así llevan a nuestros usuarios a otras páginas y perderemos visitas y clientes.
• Robo de datos de clientes:
  • Si nuestra web tiene fallos de diseño, los datos de nuestros clientes pueden ser extraídos por casi cualquiera con un poco de destreza desde la barra del navegador mediante una técnica que se llama inyección SQL. Con este robo de datos personales estaremos expuestos a ser denunciados y sancionados por la AEPD.
• Infección por malware:
  • Si tenemos desactualizado el software o si sufrimos un ataque de ingeniería social podríamos terminar infectados por un malware que cifra nuestros contenidos web (ransomware). Nos pedirán un rescate.
  • Por los mismos motivos podemos resultar infectados por malware que envíe spam o incluso formar parte de una botnet.
• Nuestra web queda fuera de servicio: esto puede suceder por diversas causas.
  • Puede ser un fallo técnico de nuestro proveedor o de nuestro servidor.
  • También puede ser un ataque contra nuestros servidores que impida a nuestros clientes alcanzar nuestra tienda (denegación de servicio).

Estos riesgos pueden darse de forma combinada. Por ejemplo si nos roban las credenciales de acceso al panel de administrador, pueden cambiar el aspecto de la web, instalar malware, borrar nuestros contenidos, robar datos de nuestros clientes, etc.

Algunos consejos para evitar estos riesgos y minimizar el daño en caso de que ocurra un incidente

Revisar con suficiente frecuencia:

• que hacemos copias de seguridad de la web y que sabemos restaurarlas;
• que todo el software está actualizado y se han instalado todos los parches de seguridad;
• que estamos suscritos a los boletines de seguridad de los fabricantes del software que utilizamos (CMS, servidor, etc.) para enterarnos de las actualizaciones;
• que nuestro certificado web está vigente y sea de confianza, así las comunicaciones irán cifradas y nuestros clientes podrán comprobar que nuestra web es auténtica;
• que se obligue a cambiar las contraseñas (a usuarios y administradores) y que se requiera que sean fuertes;
• que los administradores accedan desde entornos seguros, mediante canales cifrados y, a ser posible, con autenticación de doble factor;
• que tenemos planificadas o contratadas la realización de auditorías de seguridad periódicas de la web;

Cada día verificaremos:

• que no ha habido modificaciones no controladas de los contenidos;
• que no hay fraudes en los pagos/compras;
• quién accede al panel de administración del CMS (gestor de contenidos web) y para qué;
• que no recibimos opiniones negativas de clientes en redes sociales, lo que podría indicar que nos han suplantado o que no estamos dando mal servicio;

Y en todo momento tendremos que estar seguros de que:

• nuestros empleados conocen cómo combatir las técnicas de ingeniería social;
• cumplimos con la ley, en particular con la LOPD, la LSSI y lo relativo al uso de Cookies;
• nuestra pasarela de pago virtual, o nuestros proveedores para pagos virtuales, cumplen con la norma PCI-DSS.

Nuestra tienda online tiene que estar libre de toda sospecha para que nuestros clientes se acerquen a ella con seguridad. Estos consejos nos van a ayudar a transmitir la confianza necesaria para que nuestros clientes disfruten de este fin de semana, todos sus antojos resulten algo más baratos y sus transacciones sean seguras. ¡Feliz fin de semana de compras y de ventas!