Qué nos ha enseñado 2023 sobre la seguridad en el comercio electrónico

Hay un viejo adagio en el mundo de los negocios: "lo que nos ha traído hasta aquí no nos llevará más lejos". Para seguir siendo competitivas, las empresas deben adaptarse y evolucionar constantemente. Lo mismo ocurre con la ciberseguridad. Las amenazas cibernéticas aumentan en complejidad y escala, mientras los atacantes buscan nuevas formas de comprometer datos valiosos.

Los ciberdelincuentes tienen cada vez más en el punto de mira al sector del comercio minorista

Según un análisis en profundidad de la revista Tech Radar, el sector del comercio minorista (retail) es hoy uno de los objetivos favoritos de los ciberdelincuentes. Un análisis de los ataques sufridos este año por los negocios de retail ha puesto de manifiesto una serie de peligros clave, entre ellos el robo de datos, las cuentas comprometidas, los daños a la reputación y los tiempos de inactividad.

Existen amenazas comunes como el skimming digital y los bots maliciosos, mientras que otras, como los ataques de apropiación de cuentas (ATO) y el abuso de la lógica de negocio, son cada vez más frecuentes. ¿Qué lecciones podemos extraer de 2023? ¿Y cómo pueden responder los minoristas a un panorama de amenazas en evolución?

Apropiación de cuentas

Una de las mayores amenazas para todos los negocios de retail este año han sido los ataques de apropiación de cuentas (ATO), en los que los ciberdelincuentes utilizan bots automatizados para intentar comprometer cuentas en línea probando contraseñas y nombres de usuario robados. Para los clientes, un ataque ATO exitoso puede tener graves consecuencias económicas, mientras que para las empresas puede suponer riesgos para la reputación y pérdidas de ingresos.

Los ataques ATO son una amenaza durante todo el año y representan casi 1 de cada 6 intentos de acceso. La actividad maliciosa es especialmente intensa durante la temporada de vacaciones. Este año, el volumen de intentos de acceso malicioso aumentó un increíble 85 % durante el Black Friday, superando incluso el aumento del 66 % del año pasado. Y no es solo el Black Friday el que supone un problema: el número de ataques ATO aumentó un 82 % entre octubre de 2023 y noviembre de 2023. Estas cifras subrayan la importancia de que las plataformas de comercio electrónico y las empresas dispongan de defensas para identificar y mitigar el tráfico automatizado malicioso que pueda estar implicado en los ataques ATO.

Abuso de la lógica de negocio

La lógica de negocio se refiere a las reglas o algoritmos que determinan cómo funciona una aplicación o un programa y cómo interactúa con una base de datos. Puede entenderse como el proceso de toma de decisiones de una aplicación o API: los escenarios de "si" y "entonces" diseñados para maximizar el ROI. Por ejemplo, un minorista podría decidir que "si" un cliente pide más de 200 £ en mercancía, "entonces" obtiene un descuento del 20 %. Esta lógica condicional permite automatizar las decisiones empresariales y hacerlas más eficientes.

En los últimos 12 meses de 2023, los ataques dirigidos a la lógica de negocio de los sitios de retail casi se han duplicado, pasando del 26 % al 43 %. Los ataques a la lógica de negocio pueden utilizarse para robar dinero o datos sensibles, cometer fraudes o simplemente causar el caos provocando el bloqueo (crash) de una aplicación crítica para el negocio. Son cada vez más populares entre los hackers porque no explotan un fallo técnico, sino que abusan de una funcionalidad existente de la aplicación o del sistema. Por ello, a menudo las herramientas de seguridad tradicionales no los detectan.

Por ejemplo, si un minorista permite a un cliente enviar tarjetas regalo digitales a otro cliente, los hackers podrían aprovechar una lógica defectuosa del sistema para "regalarse" a sí mismos miles de euros en cheques regalo desde otra cuenta. Un ataque de este tipo podría tener serias consecuencias tanto para el consumidor como para la empresa.

Lecciones aprendidas

Hacer frente a estas dos problemáticas, sin mencionar las muchas otras amenazas a las que se enfrentan los minoristas, requiere la implicación de ambas partes. Para los consumidores, es esencial practicar una buena higiene de contraseñas (por ejemplo, no reutilizar las contraseñas en sitios web distintos) para reducir las posibilidades de ser víctima de un ataque ATO. Por su parte, las empresas necesitan una estrategia de defensa coordinada e integral, con un conjunto de capacidades que cubra todos los puntos de acceso, incluidos páginas web, aplicaciones móviles y API. Esto significa ir más allá de una simple solución de gestión de bots e incluir herramientas como el análisis de ataques, la protección del lado del cliente (client-side) y la protección de aplicaciones en tiempo de ejecución (RASP).

Además, la responsabilidad en materia de seguridad debe estar más extendida dentro de la organización. Combatir el abuso de la lógica de negocio exige que los desarrolladores y los product owners mapeen e incorporen medidas de seguridad desde el principio y en cada fase del proceso para minimizar los riesgos potenciales. Esto debería ir acompañado de auditorías periódicas y revisiones del código para identificar cualquier problema que pudiera no haberse detectado inicialmente. Identificar las vulnerabilidades de la lógica de negocio no es un proceso "puntual": las actualizaciones del software se producen de forma continua y cada una de ellas puede introducir una nueva debilidad en la lógica de la aplicación.

¿Qué nos depara el panorama actual?

Debido al panorama de amenazas en constante cambio, la ciberseguridad requiere una adaptación continua. Pueden surgir nuevas amenazas de un día para otro y convertirse en problemas críticos para las empresas. En 2023, los ataques ATO y el abuso de la lógica de negocio han sido dos de las principales amenazas para los minoristas. Con la creciente adopción de la IA generativa, esta tecnología podría ayudar a los ciberdelincuentes a modificar sus ataques. En consecuencia, en 2024 podría producirse un aumento sorprendente del volumen de ataques, especialmente en torno a la lógica de negocio, a medida que los atacantes entrenen sistemas de IA para detectar y explotar dichas vulnerabilidades.