Atención, minoristas en línea y proveedores de comercio electrónico: cuando se trata de proteger los datos del lado del cliente y los pagos en línea frente al skimming digital y los ataques de Magecart, hay un nuevo sheriff en la ciudad.
En marzo de 2022, el Consejo de Normas de Seguridad de la Industria de Tarjetas de Pago (PCI) publicó una versión revisada de su Estándar de Seguridad de Datos, PCI DSS v4.0, que establece los requisitos mínimos de seguridad que deben cumplir los comerciantes cuando almacenan, procesan y transmiten datos de titulares de tarjetas. Los requisitos revisados incluyen una serie de mejoras destinadas a garantizar la seguridad de las transacciones en línea y proteger a consumidores, empresas y emisores de tarjetas durante las operaciones comerciales en línea.
Los nuevos requisitos se centran en la necesidad de supervisar y gestionar las bibliotecas JavaScript de terceros que se ejecutan en el navegador y se incorporan a los sitios web de comercio electrónico para ofrecer funcionalidades listas para usar, como iFrames de procesamiento de pagos, chatbots, publicidad, botones para compartir en redes sociales y scripts de seguimiento. Aunque estas bibliotecas JavaScript ayudan a las empresas a agilizar el desarrollo de sitios web, también abren un amplio vector de ataque para los ciberdelincuentes, ya que estos scripts pueden verse fácilmente comprometidos mediante ataques de skimming digital y Magecart para robar credenciales, datos de tarjetas de crédito y otra información de identificación personal.
Aunque estas brechas son claramente perjudiciales para los consumidores víctimas de fraude, también afectan negativamente a su empresa, ya que pueden dar lugar a incumplimientos normativos, pérdidas de ingresos, caídas en el precio de las acciones, críticas negativas en las redes sociales y un deterioro del valor de la marca.
Aunque el cumplimiento de los nuevos requisitos de PCI DSS 4.0 no es obligatorio hasta 2025, ¡no espere! Los tipos de ataques que abordan estos requisitos ya se están produciendo. Ahora es el momento de proteger la reputación de su empresa y a sus clientes frente a ataques y fraudes implementando cuanto antes las medidas de protección reforzadas.
¿Cuáles son los peligros de los ataques del lado del cliente?
Hasta hace no mucho, las aplicaciones web comerciales se desarrollaban como un bloque de código monolítico alojado en un servidor web local. Sin embargo, las aplicaciones web modernas actuales son muy diferentes y suelen diseñarse combinando bibliotecas JavaScript de terceros, mientras que gran parte del procesamiento se realiza en el lado del cliente, en el navegador del usuario. Se estima que entre el 70 % y el 80 % de una página web típica está compuesto por bibliotecas de terceros, y algunos de esos scripts contienen código procedente de otros scripts de terceros. Esta larga cadena de dependencias de código implica que las empresas tienen poca visibilidad y control sobre el código que realmente se ejecuta en sus sitios web.
Los actores maliciosos saben que, debido al alcance y la magnitud de estas dependencias de terceros en múltiples niveles, las organizaciones tienen dificultades para gestionar, supervisar y proteger adecuadamente el código que se ejecuta en su entorno, y ni siquiera pueden detectar cuándo se ha modificado o vulnerado. Esta falta de visibilidad brinda a los ciberdelincuentes la oportunidad de inyectar scripts maliciosos en una página web legítima o en el código de una aplicación web y lanzar ataques para interceptar, manipular y secuestrar las sesiones de los usuarios. De este modo, pueden sustraer datos personales e información de pago, tomar el control de sitios web y alterar su contenido, mostrar contenido falso, crear formularios nuevos o modificar formularios legítimos, todo lo cual puede sentar las bases para cometer fraudes y apropiarse de cuentas.
Qué exige PCI DSS v4.0
La norma revisada identifica específicamente las mejoras en la seguridad web del lado del cliente como fundamentales para cualquier empresa que acepte pagos en línea. La norma exige una gestión integral de todos los scripts de las páginas de pago que se carguen y ejecuten en el navegador del consumidor. En concreto, el nuevo requisito 6.4.3 exige a los proveedores de comercio electrónico implementar:
- Un método para confirmar que cada script está autorizado
- Un método para garantizar la integridad de cada script
- Un inventario de todos los scripts, con una justificación por escrito de por qué es necesario cada uno
La nueva norma exige que los comercios examinen sus políticas y procedimientos para verificar que se hayan definido procesos para gestionar todos los scripts de las páginas de pago que se cargan y ejecutan en el navegador del consumidor. También deben entrevistar al personal responsable y examinar los registros de inventario y las configuraciones de los sistemas para verificar que todos los scripts de las páginas de pago que se cargan y ejecutan en el navegador del consumidor se gestionen de conformidad con todos los elementos especificados en este requisito.
Además, la sección 11.6 de la norma revisada exige que se detecten y se aborden los cambios no autorizados en las páginas de pago. Para ello, se requiere un mecanismo de detección de cambios y manipulaciones que alerte al personal de cualquier modificación no autorizada de las cabeceras HTTP y del contenido de las páginas de pago tal como los recibe el navegador del consumidor. Los ajustes de configuración deben revisarse al menos una vez cada siete días o con la frecuencia definida en la evaluación de riesgos de la organización.
Cumplir estos requisitos mediante soluciones manuales o heredadas resulta costoso y exige muchos recursos. Dado que los scripts de los formularios de pago se ejecutan en el lado del cliente, los comerciantes tienen poca visibilidad sobre su comportamiento, lo que facilita que el código malicioso eluda la detección. Además, los comerciantes tienen poco control sobre el código de terceros, como las bibliotecas dinámicas de JavaScript que permiten el funcionamiento de elementos de las páginas web, como los procesadores de pagos, los formularios de consentimiento de cookies, los chatbots o los rastreadores publicitarios, ya que se actualizan y modifican con frecuencia, a menudo sin que el comerciante lo sepa.
Las técnicas de detección existentes, como la integridad de subrecursos (SRI), que realiza comprobaciones de integridad para garantizar que los scripts no hayan sido manipulados, y la política de seguridad de contenidos (CSP), que limita las ubicaciones desde las que los navegadores pueden cargar scripts y a las que pueden enviar datos, ya no son suficientes para proteger las aplicaciones web actuales, que cambian constantemente.
Ayude a su empresa a cumplir con PCI DSS v4.0 cuanto antes
No hay razón para esperar hasta 2025 para cumplir los requisitos de seguridad establecidos por PCI DSS v4.0. Actúe ahora para proteger a su empresa frente a ataques y a sus clientes frente al fraude y el secuestro de cuentas.
F5 Distributed Cloud Client-Side Defense puede ayudarle de inmediato a cumplir los nuevos requisitos de PCI DSS v4.0 y a protegerse frente a Magecart, el formjacking, el skimming digital y los ataques de recopilación de información de identificación personal (PII), mediante la automatización de la supervisión de páginas web para detectar código sospechoso, la generación de alertas que permiten tomar medidas y la detención inmediata de la exfiltración de datos con una mitigación en un solo clic.
Para obtener más información sobre cómo proteger la privacidad de sus clientes y su empresa frente a incumplimientos normativos, al tiempo que mantiene la confianza de los consumidores y la reputación de su marca, lea esta descripción general de la solución o vea esta demostración del producto.
Sobre el autor
Artículos relacionados del blog
Cree servicios públicos seguros, resilientes y preparados para la IA con F5 y AWS
Descubre cómo las organizaciones del sector público pueden modernizar de forma segura sus aplicaciones y soluciones de IA, al tiempo que gestionan los sistemas heredados, el cumplimiento normativo y el riesgo operativo.
Protección de los sistemas de IA: por qué la seguridad debe avanzar al ritmo de la innovación
Desde acelerar avances revolucionarios en medicina y educación hasta transformar la vida cotidiana, la IA está cambiando nuestra forma de vivir y trabajar. Pero también ofrece grandes oportunidades a los ciberdelincuentes.
Avanzar hacia la optimización digital tras la transformación
Descubre estrategias de optimización digital para garantizar políticas de seguridad coherentes, impulsar la madurez de la transformación digital y superar los retos de la transformación.
Proyecto de código abierto destacado: mayor observabilidad con F5 Cloud Logger iApp
En el punto de mira del código abierto: cómo aumentar la observabilidad. Lee el blog de F5 para descubrir cómo exportar fácilmente la telemetría de BIG-IP a plataformas modernas de análisis en la nube.
El estado de la entrega de aplicaciones en 2018: la transformación digital impulsa la automatización y la multinube pese a las preocupaciones de seguridad
Descubre las principales conclusiones del cuarto informe anual de F5 sobre el estado de la entrega de aplicaciones.
Estado de la entrega de aplicaciones en 2017: automatización, API y DevOps
Descubre el informe sobre el estado de la entrega de aplicaciones de 2017. Lee el blog retrospectivo de F5 sobre los inicios del auge de las redes declarativas y los flujos de DevOps.