Black Friday, Cyber Monday y la campaña de Navidad son las semanas más intensas del año para el comercio, tanto físico como online. Más pedidos, más correos, más transacciones y, por desgracia, más oportunidades para los ciberdelincuentes. Para una pyme canaria, un día de caída de la tienda online o un fraude con tarjetas en plena campaña puede borrar buena parte del margen de toda la temporada.
La buena noticia es que casi todo lo que hace falta se puede preparar con tiempo. Estamos a finales de octubre: aún hay margen para revisar sistemas, formar al equipo y tener un plan por si algo falla. Esta guía recoge lo esencial que deberías revisar antes de que arranque la campaña.
Por qué las campañas de ventas atraen a los atacantes
Según las tendencias conocidas del sector, los intentos de fraude y de phishing suelen aumentar de forma notable en las semanas de mayor consumo. Los motivos son fáciles de entender: hay más tráfico y es más difícil distinguir lo normal de lo sospechoso, el equipo trabaja con prisa y baja la guardia, y los clientes esperan ofertas y confirmaciones de pedido, así que un correo falso resulta mucho más creíble.
En Canarias se suma un factor propio: muchos comercios y negocios turísticos concentran una parte importante de su facturación en campañas concretas, y dependen de envíos y logística que añaden eslabones a la cadena (transportistas, pasarelas de pago, marketplaces). Cada eslabón es un posible punto de entrada.
Las amenazas más habituales en campaña
Phishing con aspecto de pedido o envío
Correos y SMS que simulan ser de un transportista, de la pasarela de pago o de un proveedor, con un enlace para «confirmar la entrega» o «revisar un cargo». Si alguien del equipo introduce sus credenciales, el atacante puede entrar en la tienda, en el correo o en el gestor de pagos.
Fraude con tarjetas y pedidos falsos
Los delincuentes aprovechan el volumen de pedidos para probar tarjetas robadas en tiendas online pequeñas. El resultado: devoluciones de cargo (chargebacks), costes por disputas y, en el peor caso, problemas con tu pasarela de pago.
Ataques a la web y caídas por saturación
Un WordPress o un WooCommerce desactualizado, con plugins sin parchear, es un objetivo fácil. Además, una web mal dimensionada puede caerse sola por exceso de visitas, justo cuando más se vende.
Suplantación de la propia marca
Webs clónicas o perfiles falsos en redes que imitan tu tienda para ofrecer «descuentos exclusivos» y cobrar a tus clientes. El daño reputacional recae sobre ti aunque no hayas tenido ninguna brecha.
Checklist de preparación antes de la campaña
Dedica una o dos jornadas a revisar estos puntos. No requiere grandes inversiones, sino orden y constancia:
- Actualiza todo: el gestor de contenidos, la plantilla, los plugins, el sistema operativo de los equipos de caja y los TPV. Hazlo con tiempo suficiente para probar que todo sigue funcionando y evita cambios de última hora durante la campaña.
- Activa el doble factor (MFA) en el panel de administración de la tienda, el correo, la pasarela de pago y las cuentas de marketplaces. Es la barrera más rentable contra el robo de credenciales.
- Revisa usuarios y permisos: elimina cuentas de personas que ya no trabajan contigo y reduce los privilegios al mínimo necesario, especialmente en cuentas de colaboradores temporales de campaña.
- Haz una copia de seguridad completa y comprueba que se puede restaurar. Una copia que nunca se ha probado es solo una esperanza. Guarda además una copia fuera del servidor principal.
- Configura reglas antifraude en tu pasarela de pago: verificación 3D Secure, límites por pedido y alertas ante patrones raros (muchos pedidos desde una misma IP, direcciones de envío distintas con una misma tarjeta).
- Protege el correo corporativo con SPF, DKIM y DMARC para dificultar que te suplanten ante tus clientes.
- Prueba la capacidad de la web: comprueba que el alojamiento aguanta picos de visitas y valora una caché o un CDN si tu volumen lo justifica.
- Prepara un canal de alerta: define quién vigila la tienda durante la campaña, incluidos fines de semana y festivos.
Prepara a tu equipo: la persona es el primer filtro
De poco sirve la mejor tecnología si un empleado hace clic en el correo equivocado un viernes por la tarde. Antes de la campaña, dedica veinte minutos a recordar al equipo algunas reglas sencillas: desconfiar de cualquier mensaje que genere urgencia, no abrir adjuntos inesperados, verificar por otro canal (una llamada) cualquier cambio en los datos bancarios de un proveedor y comunicar de inmediato cualquier cosa extraña, sin miedo a equivocarse.
Si contratas personal temporal para la campaña, entrégale desde el primer día unas normas básicas de uso de los sistemas y crea sus cuentas con los permisos justos y con fecha de baja prevista.
Qué hacer si algo sale mal en plena campaña
Aunque te prepares bien, conviene tener un plan simple y escrito. Debería responder a estas preguntas: quién decide si se desconecta la tienda, a quién se avisa (técnico de confianza, pasarela de pago, banco), dónde están las copias y cómo se restauran, y cómo se informa a los clientes si sus datos pudieran haberse visto afectados. Recuerda que, si hay datos personales implicados, el RGPD exige valorar y, en su caso, notificar la brecha en un plazo muy corto, por lo que conviene no improvisar.
Tener a mano el contacto de tu proveedor de mantenimiento informático, con respuesta rápida durante la campaña, marca la diferencia entre una incidencia de una hora y un fin de semana perdido.
Prevenir cuesta menos que reaccionar
Invertir unas horas en revisar la seguridad antes de la temporada alta es mucho más barato que gestionar un fraude, una web caída o una filtración de datos en pleno Black Friday. Y para una pyme canaria, donde cada campaña cuenta, merece la pena llegar con los deberes hechos.
Si quieres saber en qué punto está tu negocio antes de la campaña, en Xenic Technology podemos ayudarte: solicita una auditoría gratuita de la seguridad de tu pyme y te diremos qué revisar primero, con recomendaciones claras y adaptadas a tu realidad en Canarias.