El estado de la ciberseguridad en el comercio minorista: la mejor manera de defenderse

Septiembre 2022

El sector del comercio minorista sufre ciberataques constantes y, a raíz de la pandemia del COVID-19 que incitó a que más gente comprara en línea, el comercio electrónico se ha convertido en el principal objetivo de los ciberdelincuentes. Ante esta situación, es una prioridad que los minoristas mejoren sus defensas de seguridad y para ello Rashid Ali, Director de Soluciones Empresariales de WALLIX, analiza cómo protegerse de manera correcta para garantizar un cambio positivo en el espacio minorista.

Ya sea un gigante de la venta al por menor o una pequeña tienda regional, las posibilidades de sufrir un ciberataque son igual de elevadas. Los minoristas poseen una gran cantidad de datos sensibles sobre sus clientes, desde nombres y direcciones hasta hábitos de consumo, tarjetas bancarias y otro tipo de información personal identificable, es decir, una mina de oro para los ciberdelincuentes. Por ello, no es de extrañar que los ataques vayan en aumento. La buena noticia es que sí que existen medidas que los minoristas pueden tomar para reforzar sus defensas de seguridad.

Incorporar la tecnología

Una de las principales razones por las que el sector minorista se considera un objetivo principal es porque su infraestructura puede ser, o bien vulnerable, o bien fácil de vulnerar. Los sistemas de venta al por menor se crean a menudo utilizando una combinación de diferentes tecnologías que están disponibles durante un largo período de tiempo. Por lo general, esto significa que existe tanto una infraestructura heredada como nuevas innovaciones digitales o basadas en la nube. Por ejemplo, pensemos en los antiguos sistemas de punto de venta y cajas registradoras en el frontend, que son esenciales para dar soporte a los clientes in situ, pero que también suelen combinarse con algún tipo de sistema en la nube que impulsa la parte de comercio electrónico del negocio.

La condición tecnológica mixta del comercio minorista está impulsada en gran medida por el deseo y la necesidad del sector de ofrecer puntos de contacto omnicanal a los consumidores. Para seguir siendo competitivos, los minoristas tienen que ofrecer comodidad a sus clientes y esto significa ofrecer diferentes formas de pago fáciles y familiares. Como resultado, a menudo existe una reticencia a actualizar los sistemas e implementar nuevas y mejoradas cajas registradoras o sistemas POD. Al fin y al cabo, ahora más que nunca cada transacción cuenta y los minoristas no quieren enfrentarse a sistemas complejos o a barreras que puedan impedir las ventas.

Sin embargo, los minoristas quieren mejorar su oferta digital y entrar en el espacio del comercio electrónico, tendencia que la pandemia impulsó considerablemente. Esto fue debido a que muchos minoristas vieron que la única forma de mantener las ventas era a partir de la adopción de métodos digitales que les ayudaran a llevar a cabo sus negocios. No obstante, si bien estos sistemas antiguos y nuevos combinados cumplen los objetivos de eficiencia y escalabilidad de los minoristas, también presentan múltiples vectores de ataque para los ciberdelincuentes, riesgos mayores que muchos minoristas a menudo ni contemplan.

Un negocio arriesgado en el comercio minorista

Entonces, ¿con qué frecuencia afectan realmente los ciberataques al sector minorista? Estudios recientes apuntan a un aumento de la ciberdelincuencia, especialmente cuando muchos minoristas se apresuran a llevar a cabo su transformación digital. De hecho, existen datos sobre el mercado del Reino Unido que muestran que somos particularmente vulnerables a los ataques de ransomware, los cuales representan uno de cada cinco ataques dirigidos a un negocio minorista en línea (21%). Estos ataques son costosos para los minoristas, ya que causan un amplio tiempo de inactividad del sistema, así como daños a la reputación del negocio.

También hay otras razones por las que el comercio minorista está especialmente expuesto a un ataque. Los datos de los clientes suelen considerarse de gran valor debido a la posibilidad de acceder a información como los números de las tarjetas de crédito. Además, tradicionalmente existe una mayor tasa de rotación de personal en el sector minorista, lo que significa que, sin una gestión adecuada, también puede darse una alta tasa de acceso de cuentas privilegiadas a los sistemas.

El camino a seguir: simplificar y mejorar la seguridad

Todos estos riesgos de seguridad apuntan a la necesidad de contar con una sólida plataforma de gestión de accesos privilegiados. En pocas palabras, el acceso privilegiado consiste en asegurarse de que ninguna persona tenga acceso completo a todos los datos. Significa implantar niveles de permiso y asegurarse de que, aunque se conceda el permiso para que alguien acceda a datos muy sensibles, también se tengan en cuenta otras medidas además de la contraseña/credenciales necesarias, como la ubicación de la solicitud y la hora. Esto quiere decir que cualquier señal de alarma puede destacarse inmediatamente, protegiendo a la empresa en caso de que un hacker robe las credenciales.

Muchos de los riesgos de ciberseguridad inherentes al comercio minorista están relacionados con el acceso privilegiado, y contar con un sistema que lo gestione es algo que puede añadir rápida y fácilmente una capa adicional de protección, sin dejar de conceder el acceso como y cuando sea necesario. Los ataques a través de un punto de acceso público, como un inicio de sesión de comercio electrónico, se detienen antes de que puedan causar un daño sistémico o extenderse por toda la empresa, porque el sistema PAM nunca concede a esos usuarios acceso privilegiado a ninguna parte del sistema. Las cuentas de usuario obsoletas se pueden descubrir y cualquier credencial privilegiada puede ser revocada fácilmente, lo que impide que los hackers realicen ataques exitosos que aprovechen las cuentas obsoletas del personal. Esto también significa que terceras partes, como proveedores y contratistas, sólo pueden ver los sistemas que son relevantes para ellos y no pueden «rebotar» a sistemas no relacionados.

Una solución PAM robusta también protege los componentes máquina a máquina (M2M) dentro de un sistema. Así, aunque un ciberdelincuente consiga de algún modo el control de un dispositivo IoT en un almacén automatizado, por ejemplo, la solución PAM no ha concedido acceso privilegiado a ese dispositivo. Por lo tanto, el hacker no puede utilizarlo como plataforma desde la que seguir explotando. Para proteger aún más el sistema, una solución PAM completa es capaz de supervisar en tiempo real toda la actividad de las sesiones privilegiadas, terminando automáticamente las sesiones sospechosas o alertando a un administrador.

Seguir siendo conformes y seguros

Este tipo de tecnología no solo mejora significativamente la seguridad, sino que permite a la empresa seguir cumpliendo con la normativa. El sector minorista está sujeto a una gran variedad de normativas que las empresas deben cumplir, por ejemplo, PCI DSS, GDPR, NIST y SOX, por nombrar solo algunas. Además, junto con las capacidades de monitorización de sesiones, si la solución PAM también graba y hace que se pueda buscar en cada sesión, siempre hay una pista de auditoría para ayudar a cumplir con todas estas normativas. Además, las sesiones grabadas también son útiles para las revisiones de seguridad, así como para la formación de los miembros del equipo de seguridad. Se trata de un escenario en el que los minoristas salen ganando.

La ciberseguridad en el sector minorista no tiene por qué ser complicada y los minoristas tienen que lograr aunar la nueva y la vieja tecnología. Sin embargo, es esencial que empecemos a reconocer los riesgos, a implementar la tecnología PAM que puede combatirlos y a comenzar a cambiar la situación, dando a conocer lo seguro e innovador que puede ser el espacio minorista.