Los riesgos cibernéticos del comercio electrónico y cómo prevenirlos

Los principales riesgos cibernéticos del comercio electrónico son el ransomware que paraliza la tienda, el robo de datos de clientes y de pago, la suplantación de identidad y el acceso indebido a las cuentas de administración. Se previenen con una estrategia de seguridad definida, plataformas actualizadas, cifrado HTTPS, respaldos probados y doble factor de autenticación.

Imagine que son las seis y cuarenta de la mañana de un martes y el director de operaciones de una cadena de tiendas recibe una llamada del responsable de tecnología. La tienda en línea, que el día anterior facturó con normalidad, ya no muestra productos. En su lugar aparece un mensaje de los atacantes que anuncia que el sitio ha sido secuestrado y que los datos serán devueltos a cambio de un pago. Los pedidos se detienen, el centro de llamadas se llena de clientes que preguntan por sus compras y el director financiero se hace la pregunta que ningún plan de contingencia respondió con claridad: cuánto cuesta cada hora de silencio.

La escena es hipotética, pero cualquier ejecutivo de una empresa con presencia de venta en línea la reconoce como posible. A los riesgos operativos de siempre se suma hoy el riesgo de continuidad del negocio por un ciberataque, y la tienda digital se ha vuelto uno de los activos más expuestos porque concentra transacciones financieras, datos personales y la reputación de la marca en un solo lugar. Según las cifras que circulaban cuando este tema empezó a ocupar las agendas de dirección, el comercio electrónico mundial habría generado ingresos cercanos a 431 mil millones de dólares en 2021, con una proyección de 563 mil millones para 2025. Ese crecimiento ha venido acompañado, como era previsible, de un aumento en la cantidad y en el tipo de ataques a los que está expuesta una plataforma de comercio electrónico, con consecuencias muy serias para las compañías que dependen de ella.

Este artículo analiza los riesgos más relevantes, estima su costo con fuentes verificables y propone una estructura de defensa en capas pensada para quienes toman decisiones, no solo para quienes administran servidores. Aunque los ejemplos se apoyan en Magento, hoy Adobe Commerce, los principios son válidos para cualquier plataforma.

¿Cuáles son los principales riesgos cibernéticos del comercio electrónico?

Tener éxito en el comercio electrónico no depende únicamente de ofrecer buenos productos y una experiencia fluida. También depende de una estrategia sólida de ciberseguridad. Plataformas como Magento entregan herramientas para construir tiendas escalables y personalizadas, y ofrecen una base segura con funciones como la autenticación de dos factores, los controles de acceso por roles y los parches de seguridad frecuentes. Pero la configuración por defecto no basta. Proteger una tienda exige monitoreo constante, actualizaciones periódicas y buenas prácticas tanto en el código como en la infraestructura.

Ransomware, la amenaza que detiene la facturación

El ransomware es un tipo de software malicioso que cifra los datos de la plataforma de comercio electrónico, restringe el acceso al sistema de comercio y condiciona la operación al pago de un rescate. De acuerdo con Hi-Tech Crime Trends, entre 2020 y 2021 los ataques de ransomware aumentaron un 931%, una cifra que ilustra la dimensión del fenómeno. Un hecho sí verificable es la reacción de las autoridades. En junio de 2021, a raíz del ataque al oleoducto Colonial Pipeline, el Departamento de Justicia de Estados Unidos anunció que las investigaciones de ransomware recibirían una prioridad similar a la de las investigaciones de terrorismo, según informó Reuters y reprodujo CNBC. El mensaje para los directorios es claro, ya que un delito que antes se trataba como un problema informático pasó a tratarse como una amenaza de seguridad.

Para una tienda en línea el impacto es particularmente grave porque la ventana de pérdida es inmediata. Mientras el sitio esté fuera de línea no hay ventas, y los clientes que llegan desde campañas pagadas encuentran una página bloqueada. Un distribuidor mayorista que atiende pedidos recurrentes por portal puede ver cómo sus clientes pasan a comprar a la competencia durante una semana crítica, y algunos no vuelven.

Robo de datos de pago y de clientes

Los ataques que más preocupan a los equipos de riesgo son los que operan en silencio. Los códigos maliciosos insertados en las páginas de pago capturan los datos de las tarjetas mientras el cliente compra, sin que la tienda se detenga y sin que nadie lo note durante semanas. Esta amenaza, conocida como e-skimming, es la razón por la que el estándar de seguridad de datos de la industria de tarjetas de pago, PCI DSS, incorporó en su versión 4.0 requisitos específicos sobre los scripts de las páginas de pago, como se explica en la guía comentada por usd AG. Las empresas que procesan pagos deben llevar un inventario de cada script, justificar por qué está allí y vigilar cualquier modificación.

Suplantación de identidad y acceso indebido a la administración

El tercer frente es humano. Un correo que imita al proveedor de la plataforma, una contraseña reutilizada o una cuenta de administración sin segundo factor bastan para que un atacante entre por la puerta principal. Por eso la mayoría de las recomendaciones de los fabricantes empiezan por proteger las cuentas con privilegios.

>> ¿Cómo ejecutar acciones de forma masiva? <<

Todo este conjunto de amenazas deja a los ejecutivos con tres preguntas que se repiten en cada comité. La primera es cuándo ocurrirá el ataque, la segunda qué tipo de ataque cabe esperar, y la tercera si la empresa está lista. Roy Miller decía que «existen dos tipos de empresas, las que han sido atacadas y las que serán atacadas». A la primera pregunta no hay respuesta precisa, porque no está bajo nuestro control. Pero si se parte del hecho de que el ataque es inminente, la única postura razonable es actuar de inmediato para estar preparados cuando ocurra. Las otras dos son el contenido del resto de este artículo.

¿Cuánto cuesta un incidente de seguridad en una tienda en línea?

Cuando una situación como la del inicio se vive de verdad, algunos impactos saltan a la vista, como las ventas que se pierden por el tiempo que la página está fuera de línea. Otros permanecen ocultos y son difíciles de dimensionar, como la pérdida de reputación y de confianza de los clientes. Después de todo, ¿quién querría transaccionar en una empresa que tiene su seguridad comprometida? Esa pregunta, más que cualquier cifra, es la que debe guiar la inversión en prevención.

Con todo, las cifras ayudan. El informe Cost of a Data Breach de IBM correspondiente a 2025 estima que el costo promedio global de una filtración de datos fue de 4,44 millones de dólares, un 9% menos que el año anterior, y que a las organizaciones les tomó en promedio 241 días identificar y contener una brecha, según la cobertura de CyberScoop. Dos lecciones se desprenden de estos datos. La primera es que el costo medio es suficientemente alto como para justificar presupuestos de prevención aun en empresas medianas. La segunda es que el tiempo de detección sigue siendo larguísimo, lo que significa que muchas empresas conviven con intrusos durante meses sin saberlo.

Este es un promedio global y no una proyección para una empresa concreta. El costo real de un incidente en una tienda en línea depende de su facturación diaria, de la proporción de ventas que dependen del canal digital, de las obligaciones contractuales con clientes corporativos y de las sanciones regulatorias aplicables a la protección de datos personales en cada país. Por eso conviene que el director financiero construya su propia estimación, multiplicando las horas máximas tolerables de caída por el margen que se deja de ganar cada hora, y sumando el costo de la recuperación, la comunicación a clientes y la remediación técnica.

>> Ciberseguridad en la industria financiera: riesgos y desafíos <<

¿Estamos listos? Seis defensas que toda tienda en línea necesita

A continuación se presentan seis elementos cruciales para proteger una plataforma de comercio electrónico. Ninguno es suficiente por sí solo. Su fuerza proviene de funcionar como capas que se refuerzan entre sí.

Una estrategia de seguridad, antes que herramientas

Lo más importante en materia de seguridad es contar con una estrategia clara, de modo que las acciones no sean elementos aislados. Cuando la organización no tiene una estrategia definida, lo que se hace son piezas sueltas de un rompecabezas que nunca termina de armarse, porque nadie definió cuál era el resultado esperado. Una estrategia responde a preguntas de negocio. Qué activos son críticos, qué nivel de interrupción es tolerable, quién decide en una crisis y cómo se comunica con clientes y autoridades. Un banco digital y una tienda de moda tendrán respuestas distintas, y ambas son legítimas siempre que estén escritas.

Mantener la plataforma actualizada

En términos generales, se estima que el 90% de las actualizaciones de software corresponden al cierre de agujeros de seguridad, que son precisamente el foco de los ciberdelincuentes. Sea cual sea la proporción exacta, la recomendación es consistente con la del fabricante. La guía de buenas prácticas de seguridad de Adobe afirma que mantener Commerce y sus extensiones en la última versión, con los parches de seguridad, es el «método principal de protección contra amenazas de seguridad», que Adobe suele publicar actualizaciones de seguridad de forma trimestral y que puede emitir correcciones urgentes ante amenazas mayores, según sus buenas prácticas para proteger un sitio de Adobe Commerce. Una tienda que pospone indefinidamente una actualización por temor a romper una personalización está aceptando un riesgo que conviene medir, no ignorar.

Certificado SSL y protocolo HTTPS

Un certificado digital autentica la identidad de un sitio web y permite una conexión cifrada entre el navegador y el servidor. Se conoce como SSL, por Secure Sockets Layer, aunque el protocolo vigente es TLS, y es la base del protocolo HTTPS, que protege la información que viaja entre el cliente y la tienda. Gracias al cifrado, si un atacante intercepta los datos no puede leer su contenido, lo que reduce el riesgo de ataques de intermediario (man-in-the-middle) y de espionaje del tráfico.

La adopción de HTTPS tiene además un efecto comercial. Google la reconoce como una señal de posicionamiento desde 2014, según su anuncio sobre el uso de HTTPS como señal de ranking, y los navegadores advierten al usuario cuando una página no es segura. Un cliente que ve esa advertencia en la pantalla de pago abandona la compra, de modo que el certificado protege tanto los datos como la conversión. La propia guía de Adobe recomienda utilizar HTTPS en todo el sitio.

Respaldos que se prueban

En una tienda en línea es determinante hacer respaldos recurrentes de todos los datos del sitio, utilizando herramientas específicas disponibles a través del soporte interno o de empresas especializadas. Los respaldos son la diferencia entre una interrupción de horas y una de semanas. El matiz que suelen olvidar los comités es que un respaldo que nunca se ha restaurado es una hipótesis. Programar una prueba de restauración al menos dos veces al año, y medir cuánto tarda, convierte una expectativa en un dato que se puede planificar.

Doble factor de autenticación

Una clave robusta es importante, porque las contraseñas sencillas son más fáciles de vulnerar por fuerza bruta. Pero más importante que la robustez de la clave es el doble factor de autenticación, porque agrega un paso adicional que un atacante difícilmente puede superar con una contraseña robada. En Adobe Commerce, el administrador de la tienda puede exigir uno o más métodos de autenticación en dos pasos, entre ellos Google Authenticator, Duo Security, Authy o llaves físicas U2F, tal como detalla la documentación de seguridad de Adobe. Las buenas prácticas del fabricante recomiendan activarlo tanto para el panel de administración como para las conexiones SSH.

>> Beneficios de adoptar Magento en la industria de seguros <<

Qué significa para la alta dirección

La ciberseguridad de la tienda en línea es una decisión de continuidad del negocio y no un tema técnico delegable por completo. El director financiero necesita entender cuánto cuesta una hora de interrupción para decidir cuánto vale la prevención. El director comercial debe saber qué ocurre con las campañas y los clientes corporativos si el canal se cae. El responsable de servicio al cliente necesita un guion preparado para el día en que lleguen mil consultas al mismo tiempo. Y el director general es quien aprueba el presupuesto y exige que el plan de respuesta se haya ensayado.

Desde la perspectiva de la fidelización, la confianza es un activo que se construye durante años y se pierde en un titular. Los clientes B2B, especialmente en industrias reguladas como banca, seguros o salud, preguntan cada vez con más frecuencia por las certificaciones y los controles de sus proveedores antes de firmar. Una tienda en línea con controles demostrables abre conversaciones que otra, sin ellos, ni siquiera llega a tener. En términos de eficiencia, un incidente evitado ahorra no solo el costo directo sino también las semanas de atención de los equipos directivos que consume una crisis.

Conviene reconocer también las limitaciones. Ninguna combinación de controles garantiza la ausencia total de incidentes, y el exceso de restricciones puede afectar la experiencia de compra o ralentizar al equipo de mercadeo que necesita instalar herramientas nuevas. La gestión madura de riesgos busca el equilibrio entre protección y agilidad, y por eso documenta las excepciones en lugar de prohibirlas.

Cómo empezar el lunes por la mañana

Un consultor con experiencia en estos proyectos le sugeriría comenzar por una conversación y no por una compra. Reúna en una misma sala al responsable de tecnología, al director financiero y al líder comercial, y pídales que respondan tres preguntas por escrito. Cuántas horas puede estar fuera de línea la tienda antes de que el daño sea material. Quién tiene hoy acceso de administración y si todos usan doble factor. Cuándo fue la última vez que se restauró un respaldo y cuánto tardó.

Con esas respuestas, la hoja de ruta se vuelve evidente. Probablemente aparezcan cuentas con privilegios innecesarios, una versión de la plataforma sin parches recientes y un respaldo que nadie ha probado. Corregir esas tres cosas en las primeras semanas reduce una parte muy significativa del riesgo con un presupuesto modesto. Después se avanza hacia lo estructural, que incluye monitoreo continuo, revisión de los scripts de terceros en las páginas de pago, un plan de respuesta a incidentes con roles definidos y capacitación del personal para reconocer correos fraudulentos. Un plan de respuesta ensayado vale más que uno perfecto que nadie ha leído.

Cómo le ayuda ICX

ICX Consulting ayuda a las empresas a tratar la seguridad de su canal digital como parte de la estrategia de continuidad y de experiencia del cliente. Nuestros equipos revisan la gobernanza de los accesos, el diseño de los procesos de compra y las integraciones con sistemas internos, y apoyan la definición de la hoja de ruta de seguridad en CRM y plataformas digitales. Desde nuestra práctica de comercio electrónico B2C acompañamos el diseño de operaciones que escalan sin sacrificar control. Para ordenar los procesos que sostienen la respuesta ante incidentes, puede apoyarse en el Kit ICX Process Transformation Framework.

Preguntas frecuentes

¿Qué es el ransomware y por qué es tan dañino para una tienda en línea?

Es un software malicioso que cifra los datos y exige un rescate para devolver el acceso. En una tienda en línea detiene las ventas desde el primer minuto y puede exponer datos de clientes. Además, pagar no garantiza recuperar la información, por lo que la mejor defensa son los respaldos probados y la segmentación de accesos.

¿Basta con tener un certificado SSL para estar protegido?

No. El certificado cifra la conexión entre el cliente y el sitio, pero no protege contra contraseñas robadas, plataformas sin parches ni scripts maliciosos en la página de pago. Es una condición necesaria que debe combinarse con actualizaciones, doble factor, respaldos y monitoreo para formar una defensa en capas.

¿Cada cuánto debe actualizarse la plataforma de comercio electrónico?

Con la frecuencia que marque el fabricante para sus parches de seguridad. En el caso de Adobe, las actualizaciones de seguridad suelen publicarse de forma trimestral, con correcciones urgentes cuando una amenaza lo exige. Lo recomendable es mantener un entorno de pruebas para validar cada parche y aplicarlo con rapidez.

¿Quién en la empresa debe responsabilizarse de la seguridad de la tienda en línea?

La responsabilidad operativa suele recaer en tecnología, pero la decisión de cuánto riesgo se acepta pertenece a la dirección. Lo más eficaz es un comité breve con tecnología, finanzas, comercial y servicio al cliente que se reúna periódicamente y que haya ensayado el plan de respuesta antes de necesitarlo.

La seguridad dejó de ser un tema secundario para convertirse en un eje de la continuidad del negocio, y proteger la tienda en línea es proteger la marca, a los clientes y los ingresos. Si desea saber qué tan preparada está su operación digital frente a un incidente, solicite un diagnóstico con un consultor de ICX y convierta la incertidumbre en un plan de acción.