PCI MPoC (Mobile Payments on COTS) es el estándar del PCI SSC que permite aceptar pagos sin contacto y entrada de PIN directamente en un dispositivo comercial común — como un smartphone — sin hardware dedicado. Es modular y basado en objetivos, unificando y ampliando los estándares SPoC y CPoC.
MPoC significa Mobile Payments on COTS (dispositivos comerciales de venta libre). Es el estándar del PCI Security Standards Council (PCI SSC) que fija requisitos de seguridad para soluciones que convierten un smartphone o tablet común, sin periféricos, en un punto de aceptación de pagos — el modelo conocido como SoftPOS o "tap to pay on phone".
A diferencia de los estándares anteriores, MPoC es basado en objetivos y no una lista fija de controles: describe el resultado de seguridad esperado y permite distintos enfoques para lograrlo, siempre que se comprueben mediante evaluación y monitoreo continuo. La conformidad cubre la solución, el SDK, la atestación y el monitoreo en tiempo real del entorno COTS, inherentemente no confiable.
Los tres estándares habilitan pagos en dispositivos comunes, pero con alcances distintos. MPoC es el más amplio y reemplaza la lógica prescriptiva por evaluación de seguridad basada en objetivos.
Se centra en la entrada de PIN por software en el dispositivo común, normalmente combinada con un lector de tarjetas seguro (SCRP) externo para leer la tarjeta. Habilita el PIN, pero depende de hardware accesorio para capturar los datos de la tarjeta.
Permite pagos sin contacto (NFC) usando la antena del propio dispositivo común, sin periféricos y sin entrada de PIN. Cubre transacciones contactless de bajo valor, pero no la entrada de PIN.
Reúne sin contacto y entrada de PIN en el mismo dispositivo común, en un estándar modular y basado en objetivos. Reemplaza el enfoque prescriptivo de SPoC/CPoC por requisitos de seguridad comprobados vía atestación y monitoreo continuo.
MPoC es modular: los requisitos se agrupan en dominios que cubren la solución, el software, la atestación, la integración y la gestión del ciclo de vida. Una solución selecciona los módulos aplicables a su diseño.
Requisitos fundamentales de seguridad de la solución y protección del SDK MPoC contra ingeniería inversa, manipulación y ejecución en entornos comprometidos — la base sobre la que se apoyan los demás módulos.
Componentes que verifican, en tiempo real, la integridad de la app y del dispositivo COTS en cada transacción, y el monitoreo continuo que detecta anomalías y revoca el acceso cuando el entorno deja de ser seguro.
Captura y procesamiento seguros de los datos de cuenta y entrada de PIN por software en la pantalla del dispositivo común, protegiendo los datos sensibles del titular en todo el flujo.
Requisitos para pagos sin contacto vía el NFC del propio dispositivo y para el tratamiento seguro de transacciones offline cuando la solución las soporta.
Integración del software MPoC por la app de pago, seguridad de la app final y guías de implementación que el proveedor debe seguir para preservar las premisas de seguridad del SDK.
Gobernanza del ciclo de vida del software — desarrollo seguro, actualización y respuesta a incidentes — y gestión de los proveedores y terceros que participan en la solución.
El listado formal de una solución MPoC lo realiza un laboratorio reconocido por el PCI SSC. Berghem trabaja en la preparación técnica, las pruebas de seguridad y el sostenimiento del programa antes y después de la evaluación.
Mapeamos la arquitectura de la solución, los módulos MPoC aplicables y las brechas frente a los objetivos de seguridad del estándar, priorizando la remediación antes de cualquier evaluación formal.
Probamos la app y el SDK con metodología alineada a OWASP MASVS/MASTG y pruebas de API, cubriendo protección de software, almacenamiento de datos, comunicación y resistencia a manipulación en COTS.
Revisamos la arquitectura de atestación en tiempo real y el monitoreo continuo, verificando que la solución detecte entornos comprometidos y reaccione según los objetivos del estándar.
Preparamos las evidencias para la evaluación realizada por el laboratorio reconocido por el PCI SSC y apoyamos el ciclo de reevaluación y monitoreo que mantiene la solución conforme en el tiempo.
La conformidad MPoC se apoya en seguridad de pagos, pruebas de aplicaciones mobile y de API, y un programa de compliance PCI consistente.
Seguridad de medios de pago, POS y EMV — la base de cualquier iniciativa de aceptación en dispositivos comunes.
Pruebas de intrusión de apps Android e iOS alineadas a OWASP MASVS/MASTG — esencial para una solución SoftPOS.
Pruebas de las APIs que conectan la app MPoC con el backend de pagos y la atestación.
Adecuación y pruebas PCI DSS para el entorno que procesa, almacena o transmite datos de tarjeta.
Combinamos seguridad de pagos, testing ofensivo mobile y experiencia en compliance PCI para dejar su solución MPoC lista para la evaluación formal.
Experiencia práctica en POS, EMV y el ecosistema PCI, entendiendo tanto el dispositivo como el flujo de aceptación de punta a punta.
Pentest alineado a OWASP MASVS/MASTG que ejercita las defensas del SDK, la atestación y el backend — no un checklist de papel.
Entregamos brechas priorizadas, evidencias reproducibles y roadmap de remediación listos para el laboratorio evaluador y su equipo.
En una conversación de 30 minutos mapeamos el alcance de su solución SoftPOS, los módulos MPoC aplicables y el camino hacia la evaluación formal.