Estos son los errores de seguridad más comunes en el sector retail

Recomendados:  El papel de la ciberinteligencia en la seguridad empresarial Webinar No aborde los desafíos de hoy con las soluciones de ayer: adopte un enfoque centralizado Leer

Las empresas de retail se mueven en entornos cada vez más digitales para adaptar sus estrategias a los nuevos hábitos de consumo. En su mix tecnológico no es raro encontrar soluciones de comercio electrónico, soluciones y servicios alojados en la nube y herramientas de big data para ofrecer una mejor experiencia a sus clientes.

Independientemente de si las transacciones comerciales se hacen online o en persona, muchos comercios almacenan información de identificación personal (PII) y detalles de pago en la nube pública, lo cual proporciona a los ciberdelincuentes la posibilidad de atacar la base de datos o el sistema de almacenamiento en la nube.

Por eso, CyberArk señala algunos de los puntos débiles más comunes de las empresas de retail en materia de seguridad:

-  Acceso excesivo a PII con permisos mal configurados. La rápida naturaleza cambiante de la nube provoca que, en ocasiones, se otorgue acceso excesivo a las identidades humanas y de máquinas. Un hecho que puede ser aprovechado por los ciberdelincuentes para llegar a la infraestructura crítica de la nube, robar o alterar datos confidenciales o interrumpir los servicios alojados en la nube. De ahí que el principio de acceso con privilegios mínimos sea clave: todas las identidades deben tener solo los permisos mínimos necesarios para realizar las tareas previstas.

- Escalado basado en eventos durante los picos de compras. Muchos minoristas utilizan funciones sin servidor para arquitecturas basadas en eventos, lo que desencadena procesos de escalado en momentos de máxima demanda, como Black Friday o Cyber ??Monday. Este escalado rápido puede minimizar la latencia del sitio web y optimizar las experiencias de compra de los clientes, pero también puede ser muy poderoso en manos de un atacante. Por ello, la implementación de privilegios mínimos es fundamental para todas las funciones sin servidor de los proveedores principales de nube pública.

- No introducir mejoras en la aplicación interna de la gestión de accesos e identidades (IAM). Es necesario imponer privilegios mínimos en todos los sistemas, pues aplicar la autenticación multifactor para el acceso de todos los empleados a un entorno de nube puede proporcionar una capa adicional de seguridad al reducir el riesgo de robo de credenciales. Sobre todo, dice el especialista, si pensamos que al comprometer una identidad laboral desprotegida con acceso confidencial a los recursos de la nube, se puede permitir que un atacante obtenga acceso a esos recursos.

- Secretos de aplicaciones embebidos. Los sitios de e-commerce se construyen uno encima del otro, integrándose con servicios de pago como Paypal o similares. Al crear sus aplicaciones de comercio electrónico, los desarrolladores a veces pueden dejar credenciales, contraseñas, claves o tokens embebidos en el código, exponiéndolos a posibles ataques. A lo largo de los pipelines de DevOps y las cadenas de suministro de software de comercio electrónico, todos los secretos deben administrarse de forma segura y rotarse mediante programación para reducir el riesgo.

-  Vulnerabilidades en la web de comercio electrónico. Los atacantes también buscan cómo aprovechar las vulnerabilidades más comunes de las webs de comercio electrónico. Sin las capas de seguridad adecuadas, los comercios minoristas son vulnerables a ataques como la denegación de servicio distribuida (DDoS), la inyección de SQL y el skimming, que pueden interrumpir el negocio y permitir a los atacantes acceso a datos valiosos de los clientes.