“Año del buen servicio al ciudadano” FACULTAD DE CIENCIAS EMPRESARIALES E.A.P NEGOCIOS INTERNACIONALES MECANISMO DE PA
Views 163 Downloads 8 File size 1MB
“Año del buen servicio al ciudadano”
FACULTAD DE CIENCIAS EMPRESARIALES E.A.P NEGOCIOS INTERNACIONALES
MECANISMO DE PAGO Y ASPECTOS DE SEGURIDAD DEL COMERCIO ELECTRONICO.
CURSO
: COMERCIO ELECTRÓNICO : E-BUSINESS
DOCENTE
: MG. SANCHEZ GARCIA ELVIS RICHAR
CICLO
: X- B
INTEGRANTES : MAYTA PALOMINO, Nathaly MAYLLE GARCIA, Pamela MEJIA SANCHEZ, Carolina PALACIOS CAMONES, Morelia UNZUETA ALFARO, Sheyla
HUACHO – PERU 2018
DEDICATORIA Dedicamos en primer lugar maestro trabajo monográfico a Dios fue el creador de todas las cosas, el que me ha dado fortaleza, con toda la humildad que de mi corazón puede emanar. De igual forma, a mis Padres, a quien le debo toda mi vida, les agradezco el cariño y su comprensión, a maestro licenciado por el apoyo, quienes ha sabido formarme con buenos valores y conocimiento, lo cual nos ha ayudado a salir adelante buscando siempre el mejor camino
3 INTRODUCCIÓN El comercio electrónico es un arma de venta que nace a partir de las necesidades de empresas que desean llegar a posicionarse en un lugar importante dentro del mercado, proyectándose a nivel local, nacional e internacional y permitiéndoles optimizar operaciones, realizar ventas en línea y brindar un mejor servicio a sus clientes. Para realizar una venta dentro de un sitio web enfocado el comercio electrónico, es necesario contar con métodos de pago con los cuales el cliente pueda realizar la adquisición de los productos. Dichos métodos de pago pueden ser online (el pago se realiza en internet en su totalidad) u offline (Parte del pago se realiza en internet) y en base a ellos, se puede pagar con tarjeta de crédito o realizar depósitos bancarios. La realización de transacciones financieras a través de información electrónica sobre líneas de telecomunicaciones es lo que se denomina comúnmente Comercio Electrónico. Un punto clave para el éxito del comercio electrónico es el uso de sistemas de pago seguros y eficientes. La necesidad de seguridad en este tipo de transacciones se ve incrementada si se tiene en cuenta que se estima que la mayoría de dichos intercambios se realizarán a través de Internet (ya sea mediante el uso de ordenadores personales o teléfonos móviles). Los métodos de pagos deben ser utilizados en el entorno de internet, los pagos se pueden realizar de forma online u offline, utilizando tarjeta de crédito, dinero electrónico, transferencias bancarias, depósitos bancarios, etc. Cada empresa emplea los sistemas de pago que mejor se ajusten a sus necesidades y tomando en cuenta el tipo de cliente al que va dirigido, pudiendo realizar micro pagos si el precio del articulo o servicio es pequeño o bien, tarjeta de crédito o transferencia si el precio es más elevado.
4 RESUMEN El comercio electrónico es una actividad en la cual están involucrados un comprador, un vendedor, el internet y un sistema de pago. El comercio electrónico es un sistema por medio del cual se realiza la compra o venta de productos o servicios que incluye una forma de transacción electrónica entre las partes involucradas mediante el uso de Internet. Gracias al avance tecnológico y difusión del internet, hoy en día, el hecho de que una empresa practique el comercio electrónico ya no es un lujo sino una necesidad, que la lleva a una mayor competitividad a nivel nacional e internacional. Siendo ésta una de las principales ventajas del comercio electrónico. El comercio electrónico está enfocado principalmente en la aplicación de la tecnología para la toma de decisiones, y en esto, la estrategia de venta. Es por esto, que el comercio electrónico establece una serie de modelos considerando los dos factores principales que intervienen dentro del comercio electrónico: el origen del negocio (Negocio, consumidor, etc.) y hacia quién va destinado (Consumidor, negocio, etc.). De forma que cada modelo de comercio electrónico se adapta a diferentes necesidades y estrategias dentro de cualquier negocio tomando en cuenta los factores antes mencionados. En este ámbito el comercio electrónico presenta una problemática propia de un sistema de compra no presencial, es decir, en aquella en la que las partes no se reúnen físicamente para realizar la transacción: el comprador debe tener garantía sobre calidad, cantidad y características de los bienes que adquiere, mientras que el vendedor debe tener garantía del pago, y la transacción debe tener un aceptable nivel de confidencialidad. En el comercio electrónico se añade otro requerimiento, que habitualmente no se tiene en cuenta en otros sistemas de compra no presencial, que es el hecho de que el cliente tenga garantía de que nadie pueda, como consecuencia de la transacción que efectúa, suplantar en un futuro su personalidad realizando otras compras en su nombre y a su cargo, esta investigación tiene como finalidad informar las medidas de seguridad pertinentes que toda empresa con presencia comercial en Internet debe implementar en sus servidores web reduciendo considerablemente los intentos de robo de información bancaria haciendo uso de sistemas antifraude basados en criptografía de altos niveles de cifrado.
5 INDICE MECANISMO DE PAGO Y ASPECTOS DE SEGURIDAD DEL COMERCIO ELECTRONICO ...............6 1. El Comercio Electrónico ......................................................................................................... 6 1.1. Definición del comercio Electrónico .............................................................................. 6 1.2. Beneficios del Comercio Electrónico ............................................................................. 6 1.3. Desventajas del Comercio Electrónico .......................................................................... 6 2. Mecanismo de pago del Comercio Electrónico ..................................................................... 7 2.1. Los pagos deben cumplir cinco requisitos básicos ........................................................ 8 2.2. Tipos de mecanismo de pago ........................................................................................ 9 2.2.1. Contra-reembolso .................................................................................................. 9 2.2.2. Transferencia Bancaria......................................................................................... 10 2.2.3. Pasarela de pago .................................................................................................. 12 2.2.4. PayPal ................................................................................................................... 13 2.2.5. Sage pay ............................................................................................................... 14 2.2.6. Monederos electrónicos ...................................................................................... 15 2.2.7. Monederos virtuales ................................................Error! Bookmark not defined. 2.2.8. Las tarjetas de crédito y el TPV Virtual ................................................................ 18 2.2.9. Pagos a través del teléfono móvil ........................................................................ 20 2.2.10.Correo electrónico, perfil o cuenta ...................................................................... 21 2.2.11.Micro pagos.......................................................................................................... 22 2.3. Gestión del riesgo ........................................................................................................ 23 2.4. Financiación online ...................................................................................................... 23 2.5. Tipos de fraudes más frecuentes en el comercio electrónico ..................................... 24 3. Mecanismos de Seguridad .................................................................................................. 25 3.1. Medidas de seguridad para el E-Commerce ................................................................ 28 3.2. Seguridad en las transacciones y los medios de pago ................................................. 29 3.2.1. Servidores seguros ............................................................................................... 29 3.2.2. Protocolos de seguridad ...................................................................................... 31 3.2.3. Certificados de seguridad..................................................................................... 34 3.2.4. Ejemplos de Fraudes ............................................................................................ 36 3.3. Problemas de seguridad presenta en la actualidad..................................................... 38 3.4. Consejos para aumentar y transmitir seguridad ......................................................... 39 CONCLUSIÓN ..................................................................................................................... 40 BIBLIOGRAFIA VIRTUAL...................................................................................................... 41 ANEXO I ............................................................................................................................ 42
6
MECANISMO DE PAGO Y ASPECTOS DE SEGURIDAD DEL COMERCIO ELECTRONICO El Comercio Electrónico 1.1. Definición del comercio Electrónico El comercio electrónico, conocido también como Electronic Commerce (ECommerce), es toda actividad relacionada a la compra y venta de productos o servicios a través de medios electrónicos como sitios web u otras redes de comunicaciones de datos. Es también una moderna herramienta que ha dado gran impacto en las actividades económicas, particularmente, en las transacciones que suceden entre empresa y cliente porque permite al consumidor adquirir bienes o servicios sin la necesidad de desplazarse presencialmente. El E-Commerce fue un sueño futurista que al día de hoy es totalmente una realidad ya que esta potente herramienta se ha convertido en la base que toda empresa debe optar para poder incrementar considerablemente su rentabilidad y entablar estrechos vínculos con clientes a nivel global. 1.2. Beneficios del Comercio Electrónico Entre los principales beneficios que ofrece el E-Commerce es la optimización en el proceso de distribución de las empresas, agilizando y haciendo innecesaria la participación de terceras personas, también, reduce los errores y costos al momento de compartir información entre cliente y empresa. Las entidades que hacen uso del comercio electrónico fomentan la competitividad global permitiendo que se generen nuevos puestos de trabajo, precios más justos e incrementando radicalmente las expectativas que tienen los clientes respecto a los bienes o servicios ofrecidos a través del medio virtual. 1.3. Desventajas del Comercio Electrónico Por otro lado, el comercio electrónico presenta diferentes deficiencias o desventajas como la dificultad para el cliente de hacer valer la garantía del producto comercializado y la capacidad de apreciación física del mismo ya que la empresa podría tener oficinas de venta fuera del país. Además, al tener
7 desconocimiento de la empresa, los clientes no pueden confirmar si se trata de una entidad legalmente constituida en su país o si se trata de un grupo de personas que sólo están “probando suerte” en su emprendimiento. Mecanismo de pago del Comercio Electrónico Es un método que permite la transferencia de dinero entre usuarios que deseen adquirir un producto/servicio en Internet. Este método para procesar pagos se puede realizar a través de tarjetas de crédito, cuentas de ahorro/corriente y efectivo. A través de una plataforma se canalizan estos pagos y se verifica y valida cada transacción ayudando a mitigar al máximo el fraude. Las compras de productos, reservas y contrataciones de servicios a través de internet no solo están muy extendidas, sino que además tienen una clara tendencia al alza, tiendas y almacenes físicos implementan sistemas de cobro online para ampliar sus posibilidades de venta también por este medio gracias a la comodidad, pero también surgen cada vez más modelos de negocio para desarrollar en internet enfocados a obtener beneficios o facturar solo y exclusivamente de manera online. Para realizar comercio electrónico hoy un tema no menor en relación a los medios de pago electrónico. La difusión de los nuevos medios de pagos en Internet se puede considerar como un fenómeno reciente, de hecho, el avance de la tecnología hace más complejo el tema porque los sistemas están cambiando, así ya no podemos referirnos a las tarjetas de crédito, débito o monedero electrónico, como términos aislados, sino dentro del concepto amplio de instrumentos electrónicos de pago. Por otra parte, la seguridad se ha convertido en el principal problema, objetivo e inquietud del comercio electrónico. La seguridad viene referida tanto a los aspectos técnicos como a los jurídicos. Se quiere tener certidumbre acerca del régimen jurídico aplicable a las relaciones comerciales entabladas por medios electrónicos. La seguridad técnica descansa en los mecanismos de encriptación y de seguridad informática que se implementan, pero no lo es todo. También es importante la confianza que se genere y transmita a los posibles usuarios. Dicha confianza no sólo descansa en la seguridad técnica sino también en la jurídica. El uso de las nuevas tecnologías de contratación electrónica y de los medios de pagos
8 en general se extenderá en la medida que los usuarios constaten que los sistemas funcionan de manera segura y que la ley reconoce derechos y obligaciones generados en un ambiente virtual. La seguridad ofrecida por los sistemas de dinero electrónico tiene que ser percibida por los usuarios, la mayoría de los sistemas electrónicos de pago hacen uso de la criptología, que se define como aquella ciencia que estudia la ocultación, disimulación o cifrado de la información, así como el diseño de sistemas que realicen dichas funciones; abarca textos, datos e imágenes. Cifrar es transformar una información cualquiera que sea su contenido en otra ininteligible según un algoritmo y claves, pretendiendo que sólo quien los conozca puede acceder a la información. El desarrollo del comercio electrónico de artículos de poco valor exige correlativamente la existencia de instrumentos adecuados para la realización de micro pagos. La generación de la venta y el modelo de pago por uso de pequeñas cantidades, cada vez más habitual por la venta de canciones, videos o juegos, entre otros no encuentran un sistema de pago adecuado en los sistemas actuales, ya sean tarjetas de créditos o de débito, a causa de las comisiones que ha de soportar el comerciante. Las entidades comerciales y financieras en el mundo están apostando fuerte por la sustitución del papel moneda por el dinero electrónico. Sin embargo, para expandir el comercio electrónico se requiere de un sistema de pago que se ajuste a las necesidades de compra de los usuarios que involucre tanto pequeños pagos como grandes transacciones y que sean fiables transmitiendo seguridad y confianza a los consumidores. Uno de los desafíos que tienen las Pyme es generar los mecanismos adecuados para que sus páginas web no sólo sean informativas, sino que tengan la capacidad para vender productos y puedan realizar transacciones electrónicas. En esta situación las instituciones financieras tienen mucho que decir para poder apoyar iniciativas de esta naturaleza. 2.1. Los pagos deben cumplir cinco requisitos básicos a. Autenticación: comprador, vendedor e intermediario deben poder comprobar mutuamente que son quienes dicen ser.
9 b. Autorización: los agentes deben poder demostrar la autoridad para ofrecer, transferir o aceptar el pago. c. No repudiación: la transacción debe realizarse de forma que comprometa a todos los agentes para que éstos no puedan negarla o deshacerla. d. Integridad de los datos: los documentos de la transacción deben estar de manera que no puedan ser alterados de forma fraudulenta; y protección de datos los agentes deben mantener la confidencialidad de información en las transacciones, para evitar que ésta pueda ser utilizada. e. Atomicidad: la transacción se realiza completa o no se realiza. Si en cualquier momento de los sistemas de comprador o vendedor detectan cualquier anomalía, la transacción se cierra y no se realiza. Más adelante analizaremos cada uno de estos aspectos más detenidamente, cuando estudiemos los aspectos de seguridad en las transacciones. En este sentido las entidades financieras innovan constantemente y desarrollan medios de pago ad hoc que permiten llevar a cabo transacciones eficientes y seguras. Los métodos más extendidos hoy para el intercambio electrónico de dinero son analizados a continuación. 2.2. Tipos de mecanismo de pago 2.2.1. Contra-reembolso El pago se efectúa una vez se ha recibido la mercancía. Es necesario que se compruebe la mercancía antes de realizar el pago. Al seleccionar este medio de pago la tienda online genera un código de pedido enviado al cliente por email junto a un resumen de su pedido. Habitualmente, enviar mercancía contra reembolso supone un coste adicional que factura la empresa de transporte. Es decisión del comercio electrónico asumir este coste o imputarlo al cliente final. Este medio de pago está cada vez más en desuso. Se aplica normalmente cuando la web es nueva y se quiere generar una confianza inicial de los clientes o cuando el target es de edad avanzada. Los artículos enviados a través de este sistema deberán ser no perecederos, puesto que, si el cliente
10 decide en el último momento no pagar, además de perder los gastos de envío se perdería también el producto. Se trata de una manera segura desde el punto de vista del cliente, al no correr riesgos hasta que el producto está en su poder, pero para el vendedor puede conllevar una serie de gastos dependiendo de varios factores, sobre todo en caso de que el cliente rechace la entrega por falta de liquidez o cualquier otro motivo en el momento de la entrega. Ventajas del contra reembolso Si el cliente no paga la mercancía, esta no se entrega. Desventajas del contra reembolso Si el cliente no acepta la mercancía, el comercio online deberá correr con los gastos adicionales de transporte. Conlleva comisiones (de un 2,2% a un 5%). Las devoluciones o las entregas fallidas, porque esto implica que la empresa corra con los gastos de envío. Los gastos de envío se le cargan al comprador.
2.2.2. Transferencia Bancaria Otro sistema tradicional que implica mover fondos de una cuenta bancaria a otra sin percibir el dinero físicamente, es importante negociar las condiciones y comisiones que impondrá la entidad bancaria, estos
11 dependerán del importe de la operación, volumen de ventas, y tipo de las gestiones. En el caso de las operaciones o traspasos entre cuentas de la misma entidad lo normal es que no haya comisiones, pero entre diferentes bancos suelen cobrar comisión al emisor de los fondos o persona que realiza el pago, aunque las leyes de estos servicios de pago han cambiado y puede que en un futuro próximo se aplique la posibilidad de cobrar la comisión al receptor de la transferencia. Un inconveniente es que la recepción del importe en la cuenta del vendedor puede tardar entre 2 o 3 días hasta hacerse efectiva si se trata de entidades bancarias diferentes, pero el comprador suele tener la posibilidad de enviar al vendedor un justificante de la operación virtual a través del correo electrónico, o por medio de un SMS a un número de móvil para justificar el pago, solicitando posteriormente que el envío de su pedido se realice cuanto antes después de la comprobación, también muchos bancos dotan de estas funcionalidades a las interfaces de sus plataformas online para hacerlo de manera automática, sin necesidad de descargar previamente el documento y adjuntarlo al mensaje. Ventajas de la transferencia bancaria Se recibe el dinero por adelantado. No conlleva comisiones para el vendedor. Bajo coste para el comercio porque no requiere desarrollos técnicos específicos de conexión en la tienda online. Desventajas de la transferencia bancaria Puede conllevar comisiones para el comprador en base sus condiciones bancarias. El retraso en el proceso de compra, ya que hasta que el vendedor no recibe la transferencia, no envía el pedido. Riesgo de que el comprador no realice el pago, lo cual disminuye la conversión y dificulta, por ejemplo, la gestión del stock.
12
2.2.3. Pasarela de pago Una pasarela de pago es un proveedor de servicios para comercios electrónicos, que autoriza pagos. Es el equivalente a un TPV (Terminal Punto de Venta) de una tienda física. La elección de la pasarela de pago dependerá de la entidad bancaria con la que se trabaje, su entidad le proporcionará toda la documentación de la pasarela empleada. Las opciones más comunes son Redsys (anteriormente llamada Sermepa) para Servired y la pasarela Pasat 4B. Es el método de pago online más común. Funcionamiento de una pasarela de pago Una pasarela de pago funciona por etapas, a continuación, detallamos las acciones realizadas en cada una de ellas: El cliente genera un pedido. La tienda online envía a la pasarela los datos de la orden. La pasarela de pago solicita los datos de la tarjeta al comprador.
13 La pasarela de pago envía la información a la entidad emisora de la tarjeta de crédito. La entidad emisora de la tarjeta de crédito informa a la pasarela de pago la aceptación o rechazo de la operación. La pasarela de pago devuelve a la tienda online el estado de la transacción. La tienda informa al cliente de la aceptación o rechazo de la compra. Ventajas de las pasarelas de pago Se recibe el dinero por adelantado. Es un método de pago inmediato. Desventajas de las pasarelas de pago Conlleva comisiones para el vendedor.
2.2.4. PayPal PayPal es un método de pago nacido en 1998 y comprado por eBay en 2002. Entonces servía como una plataforma para garantizar las transacciones en las subastas y las devoluciones cuando el producto no cumplía con las expectativas del comprador. Poco a poco se fue
14 extendiendo hasta convertirse, hoy en día, en uno de los sistemas de pago más empleados. Lo que hace PayPal es mediar entre el comprador y el vendedor, de forma que el vendedor sólo recibe un correo electrónico del aviso del abono y la cantidad monetaria correspondiente al artículo vendido. Esto quiere decir que en ningún momento conoce los datos personales del comprador, como tampoco su número de cuenta. Esta seguridad unida a la sencillez de la transacción, posibilita el incremento de las tasas de conversión en el checkout y la recuperación de las ventas perdidas con el pago con tarjeta. Ventajas de PayPal Rapidez: para comprar sólo se necesitan los datos de acceso de PayPal. Flexibilidad: se puede ingresar el dinero en PayPal a través de tarjeta, transferencia, otra cuenta de PayPal o utilizarlo como pasarela de pago. Desventajas de PayPal Comisiones para el vendedor en función del número de ventas (comisión variable entre el 1,9% y el 3,4% + tarifa fija de 0,35€ por transacción). Comisiones para el comprador si en el proceso hay cambio de divisas. 2.2.5. Sage pay Pasarela de pago con control antifraude propiedad del grupo Sage. A diferencia de otras pasarelas de pago, Sage pay únicamente factura una cuota mensual fija de 30€ y permite hasta mil transacciones. Para un volumen de ventas superior la cuota se incrementaría. Usted deberá calcular a partir de los datos de facturación de su negocio como se reparte el importe de la cuota entre todas las transacciones mensuales para evaluar si es más económico que las alternativas anteriormente planteadas.
15 La pasarela Sage pay realiza dos acciones: Procesamiento de pagos Los pasos que realiza Sage Pay cuando un cliente adquiere un producto son los siguientes: Una vez el cliente completa el pedido, Sage Pay captura de manera segura los datos de la tarjeta de crédito. Si el cliente está registrado en los procesos de seguridad 3D Secure, se le pedirá que introduzca su contraseña de Verified by Visa o MasterCard Secure Code en la página del emisor de su tarjeta (opcional). El banco merchant enviará los detalles de la tarjeta de crédito al emisor de la tarjeta del cliente, quien autorizará o rechazará la transacción. A continuación, el banco merchant devolverá los resultados de la transacción a Sage Pay. Sage Pay te envía los resultados de la autorización y se los envía también al cliente para confirmar el resultado de la transacción. Liquidación de pagos Cada día Sage Pay liquidará los pagos con el comercio electrónico del modo siguiente: Al final del día, los fondos de todas las transacciones procesadas se envían al banco merchant para su liquidación. A continuación, el banco merchant cobra los fondos del emisor de la tarjeta y los abona en tu cuenta bancaria. El depósito de fondos en tu cuenta varía de un banco a otro. 2.2.6. Monederos Electrónicos o Virtuales Son tarjetas prepago, que contienen un fondo de pago materializado en un chip que tienen incorporado y en el que se almacenan elementos o unidades de valor previamente añadidas con cargo a nuestra propia cuenta bancaria. El importe siempre es determinado, pudiendo su propietario ir gastando hasta que se agota.
16 Las tarjetas monedero son útiles para los micropagos, es decir, pagos de pequeñas cantidades. Realmente es como si tuviéramos un monedero real, sin necesidad de llevar dinero físico. No se trata de una tarjeta tradicional de plástico y con banda magnética, por lo que sólo puede ser usada a través de aquellos canales que no requieran una presencia física, como Internet. Brinda la posibilidad de recargar el saldo mediante la red de cajeros automáticos. Su principal ventaja es su accesibilidad a todos los públicos, y también es relevante que sea un medio que permita mantener el anonimato. Un ejemplo de este medio es una iniciativa del Banco Santander Central Hispano, que lanzó la tarjeta virtual y de prepago e-cash, aceptada en cualquier comercio de Internet al contar con la marca MasterCard, y puede recargarse a través de la red de cajeros 4B o del servicio de Banca por Internet. Las tarjetas monedero pueden ser utilizarse en tiendas, máquinas expendedoras automáticas, parquímetros, teléfonos públicos y aparatos de televisión interactivos (entre otros múltiples posibles usos), y esa versatilidad es una de sus grandes virtudes. Pero presentan un inconveniente para su uso en Internet: es necesario que los usuarios dispongan un lector de este tipo de tarjetas en su ordenador. Actualmente existen estos lectores y tienen un precio muy económico, pero no parece que su uso este próximo a generalizarse. El peor inconveniente se presenta en la falta de estándares, ya que las tarjetas inteligentes son -en general- incompatibles entre ellas. De esta forma debemos tener una para los teléfonos, otra para la televisión, otra para el aparcamiento, etc. Es por esta razón que ahora mismo es imposible poner en nuestro ordenador un lector de tarjetas universal. Ni las tiendas virtuales pueden disponer de todos los sistemas de lectura que se necesitarían para aceptar las tarjetas inteligentes disponibles en el mercado. Por eso su futuro se ve más para su uso interno en las empresas, dentro del ámbito de servicios de comedor, combustible, etc.
17
1. El comprador adquiere el dinero electrónico del banco o entidad emisora recargando su monedero desde su cuenta. 2. El dinero electrónico son ficheros que llevan incorporado un número, Y cada número identificativo representa una cantidad. Estos ficheros quedan almacenados en nuestro ordenador. 3. El comprador envía una copia del dinero electrónico al vendedor a través de SSL. 4. El comerciante envía los datos de la transacción al banco emisor. 5. El banco emisor comprueba la validez del dinero electrónico y anota su uso. 6. La cuenta del vendedor es abonada. 7. El banco confirma al vendedor la operación. 8. El vendedor hace el envío de la mercancía. Ventajas Es descentralizado. Permite el cambio fácil de divisas. Es imposible su falsificación. El dinero no puede ser intervenido por nadie ni ser congelado. Protección de identidad.
18 Desventajas La escasez actual de oferta de bitcoins. Las transacciones son irreversibles. 2.2.7. Las tarjetas de crédito y el TPV Virtual Generalmente es el más problemático en cuanto a confianza, dado que el pago se realiza mediante tarjeta de crédito. Poco a poco su uso se está consolidando, al asociarse con otros modos de pago. Un ejemplo del uso de la tarjeta de crédito para transacciones electrónicas es el TPV virtual: Terminal punto de venta mediante tarjetas o pasarela de pagos virtual.
Un Módulo de Pago (TPV Virtual) tramita la autorización de los pagos con tarjetas de manera on line, utilizando el Servidor Seguro del Banco (SSB), que preserva la confidencialidad de los datos de la tarjeta. Para dicha autorización de la operación se tendrán en cuenta los siguientes datos, que se verificarán previamente a la concesión de la autorización: el número que consta en la Tarjeta (PAN), la fecha de caducidad y el importe. El TPV comunica inmediatamente el resultado de la operación tanto al comercio como al cliente, lo que permite el procesamiento de devolución de operaciones de pagos por el propio comercio, y se realiza el cierre de las operaciones, periódicamente y de forma automática, abonando el
19 importe correspondiente a las operaciones autorizadas en la cuenta que el comercio mantenga abierta en el Banco. El siguiente esquema muestra el funcionamiento de un TPV virtual:
1. El usuario escoge el producto o productos que desea comprar en el comercio (sitio web de la tienda). 2. Cuando el usuario quiere formalizar el pago, el comercio pasa al banco los datos de la compra donde tiene contratado el TPV. 3. El banco informa al usuario cómo va a ser su compra, según la tienda virtual. 4. El usuario acepta la compra y se identifica al banco con los datos confidenciales. 5. El banco valida al cliente con una autoridad certificadora. 6. En función de la validación el banco informa al cliente y al comercio del resultado de la transacción. 7. El comercio recoge el resultado y envía el pedido al cliente, siempre y cuando la transacción se haya efectuado con normalidad. Para vincular el TPV virtual con el sitio web de la tienda virtual, hay que efectuar unos pequeños cambios en el website que permitirán el pago de manera segura, explicados en un documento que se brinda al
20 comercio y que contiene todo tipo de información relativa tanto a la transacción como al código fuente del programa a situar en el web del comercio (para los sistemas operativos más comunes), además de contar con el soporte técnico de personal especializado en la integración del TPV Para realizar el pago mediante tarjeta de crédito se han implementado algunos protocolos, que veremos detenidamente más adelante, para que nuestros datos viajen seguros. Las ventajas del TPV virtual son, por un lado, posibilitar al comerciante el manejo de transacciones comerciales con tarjetas en tiempo real, obteniendo la respuesta (autorización o denegación) para el comercio y para el cliente. Además, brinda al comercio un mecanismo amplio para aceptar las más importantes tarjetas de crédito en circulación, así como conocer el estado de las operaciones. Por otro lado, al usuario final comprador le asegura que nadie pueda usar sus datos de forma fraudulenta, ya que éste garantiza la información sobre la tarjeta viaja oculta. Ventajas Evita las largas colas en los puntos de venta. Elimina el problema del cambio y la falta de efectivo. Seguridad y control rápido de los gastos, los ingresos y las transacciones. Desventajas No es útil para todos los públicos, ya que quien no disponga de móvil (target de avanzada edad) no podrá disfrutar de estas posibilidades. 2.2.8. Pagos a través del teléfono móvil Teniendo en cuenta, por un lado, la exigencia de incrementar la eficiencia, la seguridad y la aceptación de los medios de pago actuales en Internet y, por otro lado, el reconocimiento del importante rol que el teléfono móvil representa en el día a día de los consumidores, ha surgido
21 la necesidad de fomentar plataformas de pago de las compras en Internet a través del teléfono móvil. El teléfono móvil surge, de esta manera, como una solución al pago online de pequeñas cantidades o micropagos, teniendo en cuenta que de otra forma los bancos aplican una cantidad mínima a cada transacción on line. Además, el usuario no tiene que introducir ningún dato relativo a sus medios de pago en Internet, autoriza cada transacción mediante la introducción de su número secreto personal, y no requiere contar con un software especial en su ordenador. Este método que ofrecen cada vez más entidades bancarias, aún no es de uso habitual por el tiempo que tendrá que pasar aún para que sea implantado en la mayoría de tiendas y comercios, por otro lado, desde un punto de vista generacional, tiende a estar más aceptado entre un público más joven y familiarizado con el uso de dispositivos móviles. Al tratarse de un nuevo sistema que tiene que evolucionar lo mejor es hablar con diferentes entidades bancarias para consultar sus posibilidades, virtudes o desventajas a la hora de implementarlo, ya que pueden ser muy diferentes también en cuanto a costes y comisiones. Ventajas Evita las largas colas en los puntos de venta. Elimina el problema del cambio y la falta de efectivo. Seguridad y control rápido de los gastos, los ingresos y las transacciones. Desventajas No es útil para todos los públicos, ya que quien no disponga de móvil (target de avanzada edad) no podrá disfrutar de estas posibilidades. 2.2.9. Correo electrónico, perfil o cuenta Paypal, Google Checkout, Amazon Payments y Sagepay son algunas de las organizaciones con sistemas de pago online efectivos y a la vez que fáciles de implementar, gracias a las características o dispositivos que
22 ponen estas organizaciones a disposición del usuario, tanto desde el punto de vista del comprador como del vendedor. El usuario dispone de una cuenta virtual a la que transfiere fondos desde su cuenta bancaria para hacer pagos, realizar cobros o ambos. El tratamiento es diferente en el ámbito particular que en el caso de una persona física profesional, autónomo o empresa que tenga como objetivo cobrar o facturar, ya que, en los últimos casos, y sobre todo a partir de determinadas cantidades, puede que estos sistemas requieran acreditar cierta documentación con respecto al alta derivado de una actividad habitual en el momento de retirar los fondos. Tanto la realización del pago como su confirmación se realizan por email o accediendo a una cuenta o perfil, por cada operación realizada estos servicios de mediación en el pago cobran una transacción de venta, que supone una comisión que puede variar entre un porcentaje mínimo y un máximo, la retirada de fondos a la cuenta de una entidad bancaria también tendrá una comisión adicional, y en el caso de que el pago se realice en otra moneda, lo habitual es que exista otra comisión añadida por la conversión de divisas, algunas de estas plataformas también ofrecen planes con un coste fijo mensual por utilizarlas. 2.2.10. Micro pagos Los sistemas de pago anteriores se crearon para realizar pagos por encima de los 6 €, si la variedad de productos que se desean ofrecer son de un importe inferior, nos encontraremos con que no existe ningún medio de pago electrónico que contemple esta modalidad. En estos casos las operadoras telefónicas disponen soluciones para realizar el cobro que pasan por el envío de SMS por parte del comprador a determinados números cuya extensión numérica varía según el rango del importe, un método conocido por su uso habitual en programas y concursos de televisión. Hasta hace algunos años era posible enviar varios mensajes para completar el pago de una cantidad, y era algo habitual encontrar en
23 internet productos disponibles para su descarga digital a cambio de 2 e incluso más mensajes, pero la legislación ha cambiado para regular y marginar esta práctica. Para determinadas promociones se ponen a disposición números de hasta 5 dígitos que empiezan por 25 o 27 para realizar pagos de hasta 1,20€ más el IVA, las suscripciones están relacionadas con números de 6 cifras que empiezan por 795 o 797, también por importes hasta 1,20€ más IVA, están también los números categorizados dentro de un contexto “para adultos” que son de 6 dígitos y pueden comenzar por 995, 997 o 999, para percibir cobros de hasta 6€ más IVA, y hay hasta números que empiezan por 280, con 5 dígitos, destinados a recibir ayudas para causas benéficas. Con la aprobación de las últimas leyes es necesario que el comprador o adquiriente envíe un segundo email para confirmar la compra, y muchos no llegan a completar la operación, a pesar de que las webs que ofrecen servicios de este tipo advierten en sus páginas de los detalles del proceso, la conversión resulta más difícil al tener que recibir el cliente 2 mensajes informativos y enviar otros 2 de vuelta. 2.3. Gestión del riesgo En la actualidad existen empresas que ofrecen sistemas de gestión para el riesgo de impagos en las transacciones de venta online, lo hacen por medio de aplicaciones que cruzan la información con bases de datos que incluyen usuarios detectados anteriormente en acciones de fraude, comprueban la identidad de los clientes por diferentes medios, y contribuyen a su localización por medio de la IP, entre otras cosas. Puede que el proceso de pago se tenga que realizar en algún que otro paso añadido, poniendo a prueba la paciencia del cliente para realizar la compra, pero merece la pena sobre todo en las tiendas online enfocadas a la venta de productos caros o con precios de más de 2 cifras, algunos TPV o pasarelas de pago incluyen la posibilidad de integrar estas soluciones. 2.4. Financiación online
24 Para la venta de productos caros también existen empresas que ofrecen sistemas de financiación online, algunas incluso disponen de dispositivos o plugins para integrar o implementar en sitios web orientados al e-commerce, a través de un formulario se recogen una serie de datos del solicitante, como DNI, número de cuenta y datos de la nómina, para después realizar en relativamente poco tiempo unas comprobaciones pertinentes, y dar a conocer la decisión para aprobar o rechazar la solicitud. 2.5. Tipos de fraudes más frecuentes en el comercio electrónico Según la Comisión Federal de Comercio de Estados Unidos, los fraudes más frecuentes en el comercio electrónico son: •
Subastas. Algunos mercados virtuales ofrecen una amplia selección de productos a precios muy bajos. Una vez que el consumidor ha enviado el dinero puede ocurrir que reciban algo con menor valor de lo que creían, o peor todavía, que no reciban nada.
•
Acceso a servicios de Internet. El consumidor recibe una oferta de servicios gratuitos. La aceptación lleva implícita el compromiso de contrato a largo plazo con altas penalizaciones en caso de cancelación.
•
Tarjetas de crédito. En algunos sitios de Internet, especialmente para adultos, se pide el número de la tarjeta de crédito con la excusa de comprobar que el usuario es mayor de 18 años. El verdadero objetivo es cobrar cargos no solicitados.
•
Servicios gratuitos. Se ofrece una página personalizada y gratuita durante un período de 30 días. Los consumidores descubren que se les ha cargado facturas a pesar de no haber pedido una prórroga en el servicio.
•
Ventas piramidales. Consiste en ofrecer a los usuarios falsas promesas de ganar dinero de manera fácil sólo por vender determinados productos a nuevos compradores que estos deben buscar.
•
Viajes y vacaciones. Determinadas páginas de Internet ofrecen destinos maravillosos de vacaciones a precios de ganga, que a menudo encubren una realidad completamente diferente o inexistente.
•
Oportunidades de negocio. En la Red abundan las ofertas para ganar fortunas invirtiendo en una aparente oportunidad de negocio que acaba convirtiéndose en una estafa.
25 •
Inversiones. Las promesas de inversiones que rápidamente se convierten en grandes beneficios no suelen cumplirse y comportan grandes riesgos para los usuarios. Como norma general, no es recomendable fiarse de las páginas que garantizan inversiones con seguridad del 100%.
•
Productos y servicios milagro. Algunas páginas de Internet ofrecen productos y servicios que aseguran curar todo tipo de dolencias. Hay quienes ponen todas sus esperanzas en estas ofertas que normalmente están lejos de ofrecer garantías de curación.
Mecanismos de Seguridad El pago electrónicamente no es nada nuevo. El dinero electrónico ha sido utilizado entre los bancos en forma de transferencias desde 1960. Desde casi ese mismo tiempo los clientes han podido realizar retiros de dinero de Cajeros Automáticos La seguridad en el pago electrónico se puede dividir en tres grupos dependiendo en el instrumento de pago utilizado. El primer grupo se refiere a todos los sistemas de pagos electrónicos y a los instrumentos de pago Transacciones de Pago, estas son la ejecución de un protocolo por el cal una cantidad de dinero es timada de un comprador y se la suministra a un vendedor. Los mecanismos de seguridad que se implementan en las transacciones de pago son las siguientes: Anonimidad del usuario, protege la identidad del usuario en una transacción en la red Despistaje de rastreo de lugar de la transacción, protege de que descubran el lugar donde la transacción es originada Anonimidad del Comprador, protege la identidad del comprador en una transacción No-rastreo de transacción de pago, protege contra el enlace de dos transacciones de pago diferentes que incluyan al mismo cliente Dinero Electrónico, esta representa relativamente un nuevo instrumento de pago para el comercio electrónico la cual exige el desarrollo de diversas técnicas de seguridad como lo son:
26 Protección contra el doble gasto, este previene la utilización del dinero electrónico en múltiples instancias Protección contra dinero falso, previene la producción de dinero electrónico falso por parte de vendedores no autorizados Protección contra robo de dinero electrónico, esta previene el gasto de dinero electrónico por parte de personas no autorizadas El tercer grupo está basado en las técnicas de pago específicas que utilizan cheques como formas de pago Cheques Electrónicos, esto son documentos electrónicos que contienen la misma información que los queches tradicionales de papel. Al utilizarlos electrónicamente se debe pasar por un mecanismo de seguridad para que pueda ser efectivo el pago, como lo es: Autorización de transferencia de pago, esta es la que hace posible la autorización de la transferencia del pago de un vendedor a otra persona autorizada por este Los siguientes mecanismos de seguridad son los utilizados para implementar los servicios de seguridad: A. Mecanismos de Encriptación, protegen la confidencialidad de la información utilizando una clave disponible solo para una determina persona o grupo B. Mecanismos de Firma Digital, la cual no es lo mismo que la firma electrónica y es motivo para muchas dudas al respecto. La firma digital no es otra cosa que la utilización de un sistema de encriptación asimétrico en el cual existen dos “llaves”, que consisten en una clave privada y una clave pública. La primera sólo es conocida por el particular, y la segunda es la clave que identifica públicamente a ese particular, de manera que sólo utilizando su clave pública el mensaje enviado por el interesado podrá ser desencriptado y por tanto legible. El sistema es sencillo: el particular (persona física o jurídica) después de redactar el documento lo encriptará con su clave privada, podrá enviarlo a través de Internet (e-mail, chat, página Web) a su destinatario final conociendo la dirección del mismo, y este último para poder descifrar el mensaje recibido utilizará la clave pública del remitente. Este sistema nos permitirá verificar que el mensaje original no ha sido modificado en su trayecto a través de la Web, la autenticidad del mensaje recibido y, por último, la integridad del mensaje en cuanto a la
27 certeza y conclusión del mismo. La firma digital no es por tanto algo “añadido” a un documento, sino la versión encriptado del mismo. No existe si la disociamos de su mensaje, y del mismo modo, cambia con cada documento encriptado. Por su parte, la “firma electrónica” es cualquier símbolo que utilicemos como identificador de una persona en un determinado documento que para su transmisión utilice medios electrónicos, lo cual se asimila a la firma tradicional. El nombre de una persona escrito al final de un documento o un símbolo que le identifique sería una firma electrónica. La firma digital es por tanto un tipo de firma electrónica. El nivel de inseguridad de esta última resulta evidente, ya que su falsificación es tremendamente sencilla. Su invalidez como método de autenticación de documentos es por tanto obvia. C. Mecanismos de Control de acceso, están relacionados con la autenticación. Cada tienda virtual o servicio de comercio electrónico tiene asignado una serie de permisos de accesos, cada acceso a un recurso protegido es mediado por una computadora la cual es llamada monitor de referencia y para poder utilizar estos permisos de accesos, este tiene que ser autenticado primero. D. Mecanismos de Integridad de la Información, protegen la información de modificaciones no autorizadas, pudiendo utilizar diversos métodos como firmas digitales o algún otro E. Mecanismos de Intercambio de Autenticación, esta está basada en mecanismos de encriptación entendibles entre las partes involucradas. En todo sistema de pago los participantes del sistema deben demostrar que son los que dicen ser. Así en un sistema de pago basado en tarjetas de crédito, el comercio comprueba la autenticidad de la tarjeta antes de proceder con el pago. En el caso de tarjetas inteligentes (con microprocesador, dotadas por tanto de una capacidad de cálculo) esto se realiza mediante algún protocolo criptográfico de autenticación, mientras que, en el caso de tarjetas con banda magnética, se realiza mediante una verificación visual de ciertos datos grabados en la superficie de la tarjeta (hologramas, firmas, etc.). En el caso de sistemas de pago basados en monederos electrónicos, es frecuente también que se produzca una autenticación del comercio ante el portador del monedero electrónico, debido al riesgo existente de creación de dinero falso en este tipo de sistemas. Para ello el terminal del comercio suele disponer de un módulo de seguridad, que en ocasiones es una tarjeta inteligente, pero puede ser otro tipo de dispositivo, el
28 cual almacena las claves y realiza los cálculos necesarios para la autenticación del comercio. En los sistemas basados en tarjetas, se suele verificar también la asociación correcta de la tarjeta con su poseedor (Titular de la cuenta asociada a la tarjeta). Esto se realiza normalmente a través de números de identificación personal (PIN). Lo mismo ocurre en los sistemas de pago a través de redes donde se necesita una autenticación de la persona física que utiliza en un instante determinado el sistema. La autenticidad del resto de agentes de un sistema de pago electrónico es normalmente garantizada mediante protocolos criptográficos de autenticación, actualmente basados en algoritmos de clave simétrica como el DES, pero que poco a poco están siendo remplazados por algoritmos de clave pública como el RSA con el fin de favorecer la interoperabilidad de los sistemas. F. Mecanismos de Confrontación de Tráfico, estos ofrecen protección contra el análisis del tráfico. Muchas veces se pueden sacar conclusiones del solo hecho de observar el tráfico entre dos tiendas virtuales o de servicio de comercio electrónico G. Mecanismos de Confrontación de ruteo, este hace posible establecer una ruta específica para enviar la información a través de la red. En este sentido se pueden seleccionar nodos de redes seguros para que la información no esté expuesta a ataques, en todo caso si la información entra a una red privada y no tiene un nivel de seguridad apropiado, el administrador de dicha red pudiese rechazarla H. Mecanismos de Notarización, estos son provistos por terceras personas, las cuales deben ser confiables para todos los participantes. El notario puede asegurar integridad, origen, fecha, hora y destino de la información. 3.1. Medidas de seguridad para el E-Commerce El constante desarrollo e innovación de la tecnología y nuevas soluciones respecto a la transmisión de datos dan impulso al nacimiento de nuevas medidas de seguridad brindando un cuidado íntegro de la información confidencial que recorre a través de la Internet. Las medidas de seguridad desempeñan funciones primordiales en transacciones cliente-empresa afrontando riesgos en los medios electrónicos de pago y así reducir considerablemente la sustracción o suplantación de datos financieros y personales que conllevan a fraudes electrónicos. Las medidas de seguridad se valen de tres conceptos fundamentales para ser consideradas una herramienta factible que protegerá tanto a la empresa
29 como al cliente: confidencialidad, disponibilidad e integridad. Se requiere que toda información compartida entre la tienda virtual y el cliente permanezca sólida sin cambios por intentos maliciosos, disponible en todo momento y más aún que sea accesible sólo para personas autorizadas. Certificado Digital Es archivo digital expedido por una Autoridad de Certificación que garantiza la veracidad e integridad de los datos contenidos referentes a una persona física o jurídica. Contiene la clave pública de la entidad y los atributos del titular certificado evitando una suplantación ya que actúa como un documento en línea que valida la autenticidad del sitio web. También, protege los datos que intercambia la web con el usuario haciendo uso de la criptografía para evitar robos y alteraciones en la Internet La criptografía es una disciplina que se encarga del estudio de procedimientos matemáticos para transformar un mensaje a una forma incomprensible que sólo puede ser interpretado por toda persona que tenga la clave secreta para descifrarla. El certificado digital hace uso, en específico, de la criptografía asimétrica el cual, se basa en el concepto de dos llaves (una clave pública y otra clave privada) garantizando la autenticidad del sitio web. La clave pública es de conocimiento general de todos los navegadores de los usuarios que se conecten al sitio web y la clave privada le pertenece sólo a la empresa con la cual valida que el sitio es el original y no uno fraudulento. Malca (2001) “Sería terrible cifrar un texto confidencial con una clave pública de alguien que no es el verdadero receptor: si lo hiciéramos, la persona a quien pertenece la clave pública con la que hemos cifrado el texto podría conocer perfectamente su contenido.” (p. 68) 3.2. Seguridad en las transacciones y los medios de pago 3.2.1. Servidores seguros Por servidor seguro entendemos un servidor de páginas web que establece una conexión cifrada con el cliente que ha solicitado la conexión, de manera que nadie, salvo el servidor y el cliente, puedan tener acceso a la información transmitida de forma útil. El funcionamiento de un servidor seguro es el siguiente: un cliente accede a un sitio web a través de la
30 dirección y, una vez establecida la conexión, solicita una conexión segura. Entonces, si se trata de un servidor seguro, éste responderá a la solicitud enviándole un certificado electrónico, en el cual vendrá integrada una clave de la autoridad de certificación. Después, el cliente generará una clave encriptada y se la enviará al servidor. A partir de aquí, ambos podrán establecer una comunicación segura basada en las claves que sólo ellos conocen. El uso de servidores seguros es un elemento imprescindible en todos aquellos servicios que utilicen información confidencial, como operaciones bancarias en línea, compras por Internet, acceso a servidores de datos sensibles, etc. Los clientes sabrán que se encuentra en un servidor seguro porqué la dirección de la página web comenzará por "https", en vez por "http". Además, en la parte inferior derecha de la ventana del navegador aparecerá un candado cerrado. Transacciones EDI El Intercambio Electrónico de Datos (EDI) es el intercambio de datos en un formato normalizado entre los sistemas informáticos de quienes participan en transacciones comerciales. Las transacciones EDI ofrecen una alta integridad y seguridad, y ofrecen la posibilidad de escalar hasta grandes procesos por lotes. En EDI, las interacciones entre las partes tienen lugar por medio de aplicaciones informáticas que actúan a modo de interfaz con los datos locales y pueden intercambiar información comercial estructurada. EDI establece cómo se estructuran, para su posterior transmisión, los datos de los documentos electrónicos y define el significado comercial de cada elemento de datos. Para transmitir la información necesita un servicio de transporte adicional (por ejemplo, un sistema de tratamiento de mensajes o de transferencia de ficheros). Los principales campos de aplicación del EDI son el intercambio de información industrial, comercial, financiera, médica, administrativa o cualquier otro tipo similar de información estructurada. Esta información, con independencia de su tipo concreto, se estructura en unos formatos que pueden ser procesados por las aplicaciones informáticas. Ejemplos de datos EDI son las facturas, órdenes de compra, declaraciones de aduanas, etc. Además, EDI respeta la autonomía de las partes involucradas, no impone restricción alguna en el procesamiento interno de
31 la información intercambiada ni en los mecanismos de transmisión. Sin embargo, la tecnología clásica del EDI, basada en centros de compensación y estaciones de usuario, supone para las empresas pequeñas con muy poco volumen de documentos susceptibles de intercambiar por EDI, una barrera económica y tecnológica notable. Para salvar esta barrera, la Asociación Española de Codificación Comercial (AECOC) desarrolló EDIWEB, un sistema que permite a las pequeñas y medianas empresas no usuarias de sistemas EDI, las relaciones comerciales telemáticas con empresas que sí tienen el EDI integrado. El sistema EDIWEB permite a las PYMES usuarias recibir en formato HTML los mensajes en EDI nativo (mensajes pedido y texto libre), así como rellenar un formulario cuyos campos se traducen a mensajes en formato EDI nativo (mensajes factura, viso de expedición, catálogo de producto, relación de facturas y texto libre). 3.2.2. Protocolos de seguridad Para asegurar las transacciones en línea, fundamentalmente se utilizan dos protocolos de seguridad: SSL y SET. El SSL (Secure Sockets Layer) es un protocolo de intercambio de información que permite asegurar la autentificación, confidencialidad e integridad de los datos que se transmiten a través de Internet. Consiste en encriptar los datos con un sistema de cifrado cuando está ubicado en una zona segura de un navegador. El sistema SSL está basado en el estándar conocido como DES (Data Encryption System) compatible con todos los navegadores y servidores web, siendo una aplicación independiente que trabaja junto a los protocolos HTTP y Telnet. Gómez (2008) asegura que “Aunque pueda proporcionar seguridad a cualquier protocolo que use conexiones de confianza (tal como TCP), se usa en la mayoría de los casos junto a HTTP para formar HTTPS. HTTPS es usado para asegurar páginas World Wide Web para aplicaciones de comercio electrónico, utilizando certificados de clave pública para verificar la identidad de los extremos.”
32 El sistema SSL está disponible en tres versiones, siendo la versión 3.0 la más segura, debido a que permite la autenticación del cliente, además de la autenticación del servidor, confidencialidad e integridad de la información hasta con una encriptación de 256 bits que es compartida entre el navegador web del cliente y el servidor de la entidad comercial. Por otro lado, la manera de saber si un sitio web hace uso del sistema SSL es revisando en la barra de direcciones la presencia del protocolo HTTPS y un candado cerrado de color amarillo o verde como signo de seguridad y que, al dar click sobre ella, nos muestra todos los datos sobre la certificación del sitio web. Las características de SSL son:
Protege el envío de datos de compra
Autentifica al comercio, no al cliente
Fácil de implementar y de bajo coste
El comercio recibe los datos de pago
¿Cómo sabrán los visitantes que el sitio tiene un certificado SSL? Existen cuatro indicadores visuales: 1. Un candado a la izquierda de la dirección URL. 2. El prefijo de la URL es https en lugar de http. 3. Un sello de confianza. 4. Una barra de dirección de color verde, en el caso de los certificados SSL de validación extendida
El SET (Secure Electronic Transaction)
es un conjunto de
especificaciones de seguridad desarrollado por Visa y MasterCard, junto con empresas líderes en tecnología, que asegura la confidencialidad e integridad de la información transmitida. Además, ni el emisor ni el receptor pueden negar su participación en la transacción. Este protocolo necesita la instalación de un software específico tanto por el vendedor como por el comprador.
33 desarrollado en el año 1995 por VISA y MasterCard y que actualmente está apoyado por MICROSOFT, NETSCAPE, IBM y VERISIGN además de las compañías desarrolladoras, y que pretende, a través del cifrado, garantizar la confidencialidad de la información, tanto la económica, como la referente a los bienes adquiridos. SET asegura la integridad de los pagos, autentica el binomio cliente/vendedor y puede utilizar diferentes plataformas tanto de hardware como de software. SET ofrece los siguientes servicios: •
Autenticación: Todas las partes involucradas en la transacción pueden autenticarse mediante certificados digitales. Se evitan así fraudes en las tarjetas o la falsificación de los centros de compras y permite al Banco verificar las identidades del comprador y el vendedor.
•
Confidencialidad: Se cifra el número de la tarjeta. Si se quiere proteger el resto de la información, habrá que recurrir a SSL.
•
Integridad: Garantizando que los datos intercambiados no podrán ser alterados.
•
Gestión de pago: Al gestionar tareas asociadas; registro del comprador y vendedor, autorizaciones, liquidaciones, etc.
Las características de SET son:
Su principal objetivo es la transferencia segura de números de tarjetas de crédito.
Realiza una autenticación de todas las partes participantes en la transacción usando certificados digitales.
Permite la conexión a través de cualquier tipo de red.
3D SECURE Conocido también como 3 Domain Secure es un protocolo de seguridad que evita fraudes en transacciones comerciales con tarjetas de débito o crédito en línea sin presencia física de la tarjeta, de modo que, protege la información confidencial del cliente durante la operación del E-commerce, garantizando así un nivel más alto de seguridad y confiabilidad respecto al manejo de dinero electrónico. Este sistema de pago fue desarrollado por
34 VISA y MASTERCARD producto de la necesidad de brindar una capa más de seguridad en el comercio electrónico ya que, el número de tarjeta bancaria, fecha de caducidad y el criptograma visual de 3 dígitos son información fácil de obtener por los cibercriminales, por tanto ambas empresas internacionales optan por implantar una contraseña adicional que sólo el titular lo conoce y de ésta forma consolidarse en el mercado como la opción de pago más sólida de Internet. Visa ofrece el servicio 3D Secure con el nombre característico de “Verified by Visa” y Mastercard con su sistema denominado “SecureCode” que consisten en la autentificación del comprador como legítimo titular de la tarjeta que se está utilizando para la transferencia de fondos al comercio electrónico. Domingos (2013)” Este protocolo trabaja utilizando la seguridad en 3 niveles o dominios como: 1. Dominio Adquirente: Son todos los comercios virtuales que, junto a su entidad bancaria solicitan los pagos al dominio emisor a través del dominio de interoperabilidad. 2. Dominio Emisor: Es la entidad bancaria que emitió la tarjeta de crédito o débito. 3. Dominio de Interoperabilidad: Es la tecnología intermediaria entre el dominio adquiriente y el dominio emisor que permite las transacciones electrónicas siendo administradas directamente por Mastercard o Visa. El servicio 3D Secure es gratuito y sólo está disponible para los clientes que tengan una tarjeta bancaria con esta tecnología o bien, pueden solicitar una a su banco emisor. Además, deberán pedir a su banco la activación del servicio y así poder disfrutar de todas las ventajas de esta tecnología dedicada a la seguridad comercial. 3.2.3. Certificados de seguridad Los certificados de seguridad son sellos emitidos por empresas denominadas entidades certificadoras de seguridad. Estas entidades conceden su certificado después de comprobar el correcto funcionamiento del proceso de encriptación y los datos de la empresa solicitante. Los sellos de certificaciones de seguridad más significativos son:
35
Verisign Es una de las entidades certificadoras reconocidas a nivel mundial que autentican el sitio web o el dominio antes de conceder el certificado SSL. El sello de la entidad certificadora muestra que un sitio está protegido por su servicio SSL y ha sido autenticado siguiendo estrictos estándares. Además, en el caso de Verisign el sello también indica que el sitio web ha superado un escaneado diario para detectar código malicioso.
Thawte es una empresa especializada en certificados de seguridad digitales por Internet. Thawte fue fundada en 1995 por Mark Shuttleworth en Sudáfrica y ahora es una de las mayores empresas en su sector.
Entrust En calidad de experto fiable en seguridad, Entrust brinda soluciones integrales de seguridad basadas en identidad que protegen a empresas, gobiernos, instituciones financieras, ciudadanos y sitios web. Ahora formando parte del Datacard Group, Entrust ofrece un portafolio ampliado de soluciones en más de 150 países. Juntos, Datacard Group y Entrust emiten todos los días más de 10 millones de identidades seguras, manejan anualmente miles de millones de transacciones seguras y emiten la mayor parte de las tarjetas financieras del mundo. Recicle sus certificados SSL Proteger su sitio web es esencial y los certificados SSL son uno de los componentes más importantes para cifrar los datos de su sitio web y proteger sus transacciones a través de Internet. Los certificados SSL de Entrust están diseñados para atender numerosas necesidades y hacer frente a todos los retos a los que puedan enfrentarse las empresas; las funciones más valiosas son un cifrado más avanzado, la seguridad de obtener protección en su sitio web y la capacidad de hacer frente a las demandas de los sitios web modernos.
36
Bureau Veritas El reconocimiento de Bureau Veritas Certification, lo ayuda a construir una ventaja competitiva tangible. Como líder global, ofrecemos un amplio rango de servicios de auditoría y certificación en los campos de la Calidad, Salud y Seguridad, Gestión Ambiental, Inocuidad Alimentaria y Responsabilidad Social (QHSEFS-SA) cumpliendo con los requisitos de los estándares internacionales más reconocidos. Bureau Veritas Certification es el líder mundial en certificación de sistemas de gestión, con más de 80.000 clientes distribuidos en 140 países y más de 100.000 certificados emitidos. Bureau Veritas Certification ofrece la posibilidad de combinar certificaciones en un amplio rango de normas reconocidas, brindando consistencia, optimización y eficiencia.
3.2.4. Ejemplos de Fraudes
El comerciante "misssing in the wind": El típico "hacker" de 18 años que se monta un servidor en Singapur o en algún otro paraíso legal de Internet vendiendo memorias, discos duros o lo que sea a mitad de precio. Por supuesto que el servidor utiliza la última versión de SSL con cifrado fuerte y todo lo demás. Como la comunicación es segura el comprador incauto adquiere varios cientos de unidades facilitando su número de tarjeta de crédito sin pedir más referencias. A las dos semanas el servidor desaparece de Internet y el comerciante del mapa, por supuesto que de las memorias compradas no se vuelve a oír hablar, el hacker puede entonces utilizar toda la información que ha adquirido sobre el comprador para hacer cientos de cosas perversas de las que mejor no hablar. Nada de esto hubiese pasado si el comprador hubiese exigido un certificado electrónico, expedido por una autoridad de certificación de confianza, que acreditase que ese comerciante era quien decía ser y no un estafador de tres al cuarto. Es cierto que SSL permite la utilización de certificados, pero por desgracia nadie los exige, ni los comerciantes ni
37 los consumidores en la red. SET, por construcción, obliga a que todos los agentes que intervienen en el proceso de comercio electrónico estén debidamente certificados por una autoridad de confianza.
El comprador fantasma: El comprador fantasma es una persona con conocimientos de Internet y de como funciona la compra-venta con tarjetas de crédito, un día hurgando el la basura de su vecino o mirando en su buzón, encuentra una de sus facturas que contiene un número de tarjeta de crédito (un ticket del restaurante o de la gasolinera que normalmente todos tiramos a la papelera sin darle mayor importancia también vale). Con ese número de tarjeta y dando el nombre de su vecino el desalmado compra varias docenas de CD en su tienda electrónica favorita y hace que se los envíen a una dirección en la que él sabe que no vive nadie en ese momento. Cuando el cartero llega, como no hay nadie, se deja una nota en el buzón indicando que se puede recoger el paquete en correos, ahora solo queda hacerse pasar por el vecino para disfrutar de un montón de CD que él ha pagado pero que nunca verá. Que el importe de los CD termine pagándolos el vecino o la tienda que los vende por Internet es algo que el banco resolverá cuando se presenten la denuncia correspondiente, lo que sí es seguro es que los CD no los vuelve a ver ninguno de los dos. Como en el caso anterior, esto no hubiese pasado si el comerciante hubiese pedido un certificado electrónico al comprador, además de su número de tarjeta.
Daños colaterales: Este es un ejemplo interesante que demuestra que, aunque el comerciante y el comprador sean honrados y pongan toda su buena voluntad también pueden suceder desastres. Imaginemos esa tienda "Online" que tiene miles de compradores que confían en ella. La tienda está basada en varios servidores seguros que utilizan SSL. Los compradores habituales son introducidos en una base de datos que contiene su nombre, dirección y su número de tarjeta de crédito, así cada vez que uno de estos clientes quiere adquirir un producto se le piden solamente las primeras cifras del número de tarjeta para asegurarse de su identidad, evitando así que el número deba ser transmitido de nuevo por
38 la red. Desgraciadamente el cortafuegos de la red corporativa del comerciante tiene un agujero de seguridad que permite a un cracker penetrar en su intranet y llegar a la máquina que contiene la base de datos de los clientes, al día siguiente circula por las news un fichero con miles de números de tarjetas de tarjetas de crédito de honrados compradores. En este caso el fallo fundamental es que, dada la arquitectura de SSL, el comerciante debe conocer el número de tarjeta de crédito del cliente para poder cobrar el importe de la venta. SET evita este tipo de problemas haciendo que el comprador cifre su número de tarjeta de crédito con la clave pública de la pasarela de pago. De este modo el comprador recibe un paquete cifrado que es como un cheque, él no puede ver el número de tarjeta de crédito pero puede guardarlo y enviárselo al banco cuando crea conveniente, el banco, cuando lo reciba su pasarela de pago, podrá descifrarlo y comprobar que el número de tarjeta facilitado corresponde realmente con un número válido. A continuación, la cantidad convenida podrá
ser
transferida
a
la
cuenta
del
comerciante.
Como ya hemos visto SET supone un avance considerable en cuanto a la seguridad de las transacciones monetarias por comercio electrónico en Internet, no obstante, no hay que creer que todo son ventajas 3.3. Problemas de seguridad presenta en la actualidad
Pedidos que no llegan dentro del periodo, normalmente por dentro de stock.
Pedidos que llegan en mal estado. No nos debemos olvidar que salvo los productos digitales (software) el resto de los pedidos se distribuyen mediante los canales tradicionales.
Pedidos que no llegan
Transacciones irrealizables
Devoluciones que no se reembolsan, A pesar de la promesa de devolver el dinero si no se está satisfecho con el producto.
Productos que no cumplen lo anunciado, que entran de lleno en lo que se denomina “publicidad engañosa”
Síndrome de la “muerte en un millón de clics” páginas en las que la navegación se convierte en un suplicio insufrible, por su diseño, extensión o dificultad de acceso a la información que interesa.
39
Lentitud de la red, todos los internautas conocemos el suplicio que supone al esperar a que se cargue una página web. Por no hablar de la falta de una tarifa plana
3.4. Consejos para aumentar y transmitir seguridad 1) Ofrecer información clara y concisa sobre los productos y sus condiciones. 2) Usar un servidor seguro para alojar las páginas del comercio. 3) Añadir políticas de seguridad al servidor del comercio para aumentar la confianza de los clientes en las compras. 4) Cuidar la privacidad de los datos del cliente. Solicitar sólo los datos necesarios. 5) Aportar a los clientes información sobre la política de privacidad de la empresa. 6) Ofrecer varias alternativas de pago.
40
CONCLUSIÓN El uso del comercio electrónico se está convirtiendo en una de las principales herramientas para el desarrollo empresarial, formando parte indispensable en el mundo de Internet. Facilita la labor de hacer negocios, ya que traspasa fronteras, reduce costes y precios, y garantiza una disponibilidad las 24 horas del día los 365 días del año. Sin embargo, se elimina el contacto directo entre empresa y cliente y esto puede originar desconfianza hacia este sistema. El comercio electrónico al igual que el tradicional está sujeto a unos riesgos. El principal temor del comprador es el de la inseguridad a no recibir su producto después de comprado, siendo objeto de estafa. El comprador también teme por la posibilidad de que sus datos personales (nombre, dirección, número de tarjeta de crédito, etc…) sean interceptados por un hacker que puedan suplantar su identidad o acceder a sus datos bancarios. De igual forma el vendedor necesita asegurarse, de que los datos recibidos de sus clientes sean de quien dicen serlos. La adopción del comercio electrónico varía significativamente de país en país, por lo tanto, es importante que este tipo de comercio esté regulado con la finalidad de evitar riesgos asociados con las transacciones en línea, como los fraudes. Por suerte, estos sistemas de seguridad o anti-fraude resultan exitosos debido a que sus beneficios y conveniencias sobrepasan cualquier inconveniente. Todos estos beneficios para el cliente se traducen a la hora de comprar, debido a la facilidad, comodidad y rapidez para realizar transacciones. También, cada individuo tiene acceso a ofertas y promociones mucho más amplias y exclusivas de productos, condiciones o precios, así como acceder a productos que no se puedan encontrar dentro de su localidad. Se accede a una información ilimitada con una visualización online de catálogos o folletos, sin tener que desplazarse de un lugar a otro. Todo se realiza en el ordenador desde cualquier parte del mundo siempre y cuando se cuente con una conexión a Internet.
41
BIBLIOGRAFIA VIRTUAL
http://www.ingeniovirtual.com/formas-de-pago-en-el-comercio-electronico/ file:///C:/Users/NATHALY/Downloads/348861065-Mecanismos-de-Pago-y-Aspectosde-Seguridad%20(1).pdf https://www.ve.com/es/blog/7-tipos-pagos-online-ecommerce#reembolso http://jaimesegundo.edu.gva.es/web_mestre.inf/treball/informatica_y_sociedad/Comerci oElectronico_mediosdepago.pdf http://www.javeriana.edu.co/biblos/tesis/derecho/dere6/DEFINITIVA/TESIS24.pdf https://sites.google.com/site/webcelectronico/-en-que-consiste-el-comercioelectronico/seguridad-en-el-comercio-electronico http://www.geocities.ws/leandrojpachec/hwct/T4/comercio_electronico.html
42
ANEXO I Documento del comercio electrónico
Pasos de compra virtual