Cobras online sin plan de ciberseguridad

Tu tienda online cobra con Webpay o Mercado Pago, tu CRM guarda el historial de cada cliente y bodega despacha según lo que entra por la integración. Todo funciona hasta el día en que alguien entra al panel de administración con una contraseña filtrada, o un plugin desactualizado deja de procesar pagos en pleno Cyber.

Cobrar online sin un plan de ciberseguridad no significa que te vayan a robar números de tarjeta: de eso se encarga normalmente la pasarela de pago. Significa que no sabes cuánto tiempo puedes seguir operando si tu tienda, tu CRM o la integración entre ambos se cae o queda comprometida, ni quién responde cuando eso pasa. Esa brecha se cierra, sobre todo, exigiéndole a tu proveedor de ecommerce o CRM accesos controlados, respaldos probados, mantención con un responsable claro y un protocolo de incidentes por escrito.

Qué significa esa brecha para la continuidad de tu operación

Cuando una pyme crece en pagos digitales, el cobro deja de ser un apéndice y se convierte en el inicio de toda la cadena: la orden pagada emite la boleta electrónica, descuenta inventario en el ERP y avisa a bodega. Si ese eslabón falla, no pierdes una venta: se detiene la facturación, el inventario queda descuadrado y atención al cliente se llena de reclamos.

Los escenarios más comunes no requieren ningún ataque sofisticado:

• Toma de cuenta: alguien accede al panel con la clave de un ex trabajador o una contraseña reutilizada, descarga la base de clientes o modifica datos de transferencia.
• Plugin o módulo vulnerable: el sitio queda infectado, el navegador lo marca como peligroso o la pasarela suspende tu comercio mientras investiga.
• Integración caída: la notificación de pago deja de llegar y terminas despachando pedidos no pagados o dejando sin despachar los que sí se pagaron.
• Fraude con medios de pago: contracargos acumulados que el adquirente te descuenta, muchas veces semanas después.

El problema de fondo es que la mayoría de estos incidentes se descubre tarde, porque nadie tiene asignada la tarea de mirar.

¿Si la pasarela procesa el pago, dónde está el riesgo?

Las pasarelas como Webpay, Mercado Pago o Flow procesan la tarjeta en su propio entorno, así que tu sitio nunca ve el número completo. Eso reduce mucho el riesgo y es razón suficiente para no almacenar datos de tarjeta jamás. Pero la pasarela protege el instante del pago, no lo que ocurre antes ni después.

Antes, tu checkout puede ser alterado para redirigir al cliente a una página falsa. Después, las llaves de conexión con la pasarela pueden estar guardadas en texto plano en el servidor, y tu CRM contiene nombres, RUT, direcciones e historial de compras: justo lo que se necesita para suplantar a tu empresa frente a tus clientes. Ahí se juega la continuidad, y la responsabilidad es compartida entre tú y quien mantiene tu ecommerce y tus integraciones.

Qué exigirle a tu proveedor de ecommerce o CRM antes de crecer

Da lo mismo si tu tienda la mantiene una agencia, un desarrollador independiente o funciona sobre una plataforma SaaS: antes de sumar un medio de pago, abrir un marketplace o conectar un nuevo canal, deberías tener estas respuestas por escrito.

• Accesos: quién tiene permisos de administrador hoy, si el doble factor es obligatorio, si las cuentas son personales y no compartidas, y cómo se dan de baja cuando alguien se va.
• Mantención: quién actualiza la plataforma, los plugins y el servidor, cada cuánto y bajo qué contrato. «Cuando se pueda» no es una respuesta.
• Respaldos: no basta con que existan. Pregunta cuándo se restauró uno de prueba por última vez y cuánto tardó.
• Credenciales de integración: las llaves de la pasarela, el ERP y el CRM deben estar fuera del código, con permisos mínimos y la posibilidad de cambiarlas sin detener el sistema.
• Monitoreo: alertas si los pagos dejan de cuadrar con las órdenes, si hay un pico de intentos fallidos o si alguien modifica el checkout.
• Protocolo de incidente: a quién llamas un sábado, en cuánto tiempo responde y quién avisa a la pasarela y a los clientes.
• Propiedad y salida: si tienes acceso a tus datos, tu código y tu dominio en caso de cambiar de proveedor.

Si tu proveedor no puede responder la mayoría, no es necesariamente mala fe: muchos contratos cubren la construcción inicial de la tienda y no su operación. Mantener un sistema vivo es un servicio distinto a construirlo, y conviene contratarlo de forma explícita como evolución continua.

¿Cuánto conviene invertir en proteger tu canal de pagos?

Lo proporcional a lo que pierdes por cada hora detenido. Calcula cuánto vendes en una hora de tu temporada alta, súmale el costo de pedidos mal despachados y las horas de tu equipo cuadrando pagos a mano. Ese número te dice cuánto vale reducir el tiempo de recuperación.

Una tienda que vende por Instagram con links de pago puede resolverlo con lo básico: doble factor, actualizaciones al día y respaldos. Una distribuidora en Santiago cuyos clientes B2B compran por la tienda y reciben factura automática necesita además monitoreo y un contrato de soporte con tiempos de respuesta comprometidos. Lo que no conviene en ningún caso es comprar herramientas de seguridad antes de ordenar quién tiene acceso a qué.

Preguntas frecuentes

¿Una pyme pequeña necesita un plan de ciberseguridad formal?

No necesita un documento extenso, pero sí respuestas claras a tres preguntas: quién tiene acceso a la tienda y al CRM, cómo se restaura el sistema si cae y a quién se llama ante un incidente. Una página bien hecha con esas respuestas ya es un plan útil.

¿Usar Webpay o Mercado Pago me libera de la responsabilidad?

Te libera de manejar datos de tarjeta, que es una parte importante del riesgo. Pero tu checkout, tus accesos, tus integraciones y los datos de clientes en tu CRM siguen siendo tu responsabilidad y la de quien mantiene tu sitio.

¿Qué hago si mi proveedor actual no ofrece mantención ni respaldos?

Pídele una propuesta formal de mantención con alcance, frecuencia y tiempos de respuesta. Si no la ofrece, asegúrate de tener acceso completo a tu código, datos y dominio, y busca a alguien que asuma la operación antes de seguir sumando canales.

¿Cada cuánto debería revisar los accesos a mi tienda y CRM?

Como mínimo cada vez que alguien entra o sale del equipo o cambias de proveedor, y una revisión general cada trimestre. Es una tarea de minutos que elimina una de las causas más comunes de incidentes.

La seguridad de tus pagos es continuidad, no burocracia

Crecer en pagos digitales sin preparación no es un problema técnico abstracto: es no saber cuánto tiempo puedes vender si algo falla. La buena noticia es que la mayor parte de la brecha se cierra con acuerdos claros con tu proveedor, no con grandes inversiones. Si quieres revisar dónde está expuesta tu tienda o tu CRM, conversemos.