Seguridad en Medios de Pago

PCI DSS 4.0.1 es el estándar de seguridad obligatorio para toda empresa que almacene, procese o transmita datos de tarjeta. Berghem define el alcance y el entorno de datos del titular (CDE), ejecuta el gap assessment, apoya la remediación y entrega el pentest exigido por el Requisito 11.4 — la evidencia que el QSA necesita para el sign-off.

Nuestro trabajo ofensivo valida la segmentación de red, prueba aplicaciones y APIs dentro del CDE y confirma que los controles resisten ataques reales. Consulte nuestra consultoría PCI DSS y el pilar de compliance y auditoría.

El estándar organiza controles en torno a red segura, protección de datos del titular, gestión de vulnerabilidades, control de acceso, monitoreo continuo y política de seguridad. El nivel del comercio y el tipo de SAQ definen la profundidad de la validación — del autocuestionario al Informe de Cumplimiento (RoC) firmado por un QSA.

PCI MPoC (Mobile Payments on COTS) es el estándar que convierte un smartphone común en terminal de pago, leyendo la tarjeta por aproximación y, cuando aplica, introduciendo el PIN en la pantalla. Consolida y sustituye los estándares anteriores SPoC y CPoC, ampliando la evaluación de software y la atestación continua.

Berghem evalúa las soluciones MPoC desde la óptica del atacante — resiliencia de la app, protección del PIN, integridad del dispositivo y del canal — alineada con los requisitos de la norma. Detalles en la página de PCI MPoC.

El ecosistema EMV — tarjetas con chip, transacciones contactless, cajeros (ATM) y terminales de punto de venta (POS) — sigue en el centro del fraude con tarjeta presente. Evaluamos el flujo de transacción, la criptografía de datos de banda y PIN, la protección de los terminales y la resistencia a relay, skimming y manipulación de mensajes.

Para adquirentes, facilitadores y fabricantes de terminales, unimos análisis de firmware, prueba de aplicaciones embebidas y revisión del flujo EMV, generando evidencias para decisiones de seguridad y conformidad en toda la cadena.

En cajeros evaluamos jackpotting, ataques de black-box y manipulación del dispensador; en POS, la integridad del terminal y del software de captura. El objetivo es demostrar impacto real — clonación, desvío de transacción o extracción de datos de tarjeta — antes de que lo haga un fraudador en producción.

Los pagos instantáneos y el intercambio de datos en open banking ampliaron la superficie de ataque. Probamos las APIs de iniciación de pago, el flujo de consentimiento y los controles antifraude, buscando fallos de autorización, abuso de lógica de negocio y exposición de datos sensibles.

Este trabajo se conecta con la seguridad en Open Finance y la adecuación a las resoluciones del BACEN/CMN sobre ciberseguridad, incluida la 4.893. Vea también seguridad para bancos y fintechs.

También revisamos los certificados y el mTLS entre participantes, el registro dinámico de clientes y los alcances de consentimiento, garantizando que la institución no exponga datos más allá de lo autorizado por el titular ni acepte solicitudes forjadas por un participante malicioso del ecosistema.

Nuestro trabajo sigue metodologías reconocidas — OWASP, PTES y NIST SP 800-115 — adaptadas al contexto de pagos. Combinamos pruebas black-box, gray-box y white-box según el objetivo, siempre con foco en impacto de negocio: fraude, desvío de valores y fuga de datos de tarjeta.

Para el programa ofensivo completo, conozca el EHT — Ethical Hacking Team y nuestra seguridad ofensiva, que extienden la prueba de medios de pago a aplicaciones, APIs, redes internas y nube de la institución.