¿Hackean los terminales POS del punto de venta? ¿Qué tan seguros están los datos de las tarjetas de crédito?

si el pos es modelo viejo cámbialo, compra uno nuevo. pregunta a la empresa sobre el cumplimiento pci-dss ellos saben. mantén los datos de la tarjeta encriptados recibos truncados (mostrar 1234 ocultar el resto). la verdad haz actualizaciones de firmware regular...

Requisitos PCI-DSS: 1) Segmentación de red (POS → red de pagos), 2) Reglas de firewall (puertos solo para POS), 3) Encriptación (AES-256, TLS 1.2+), 4) Control de acceso (contraseña fuerte, gestión de claves), 5) Escaneo de vulnerabilidades (trimestral), 6) Detección de intrusiones, 7) Retención de datos (minimizada), 8) Plan de respuesta a incidentes. Software del terminal: revisar actualizaciones de firmware de Verifone, Ingenico. Tokenización: el procesador de pagos gestiona el token, la memoria del POS no guarda el número de tarjeta. Riesgo del modo offline: retrasos en la liquidación por lotes, alto riesgo de contracargos.

No uses el POS viejo, tío los terminales EMV de 2024 son muy baratos. Si vas a hacer cumplimiento PCI-DSS pregunta a tu procesador de pagos, ellos también te ayudarán. pues mantén los datos de la tarjeta encriptados y tokenizados — que el número real no aparezca en ningún lado. Si vendes el dispositivo, haz un borrado seguro, pide certificado de garantía...

Capas de seguridad del TPV: 1) Hardware (antimanipulación, arranque seguro), 2) Software (SO firmado, actualizaciones verificadas), 3) Comunicación (TLS 1.2+, certificate pinning), 4) Datos (cifrado, tokenización, gestión de claves), 5) Cumplimiento (autoevaluación PCI-DSS, SAQ, auditoría). Migración: TPV viejo → TPV nuevo, migración de datos (sanear dispositivo antiguo). Incidente: compromiso de tarjeta → notificar a PCI, notificación de brecha, análisis forense.

20 años gestionando TPVs, el mayor error es usar hardware viejo. El firmware de los terminales antiguos no recibe parches de seguridad, son objetivo de malware. Terminal nuevo (chip + sin contacto, tokenizado) + VLAN adecuada + auditoría PCI = seguro. Si no guardas los datos de la tarjeta en la máquina, no eres objetivo de hackers.

No tengo ninguna experiencia en seguridad de terminales POS, por eso pregunto. bueno si el permiso y el alcance no están por escrito que no empiece la prueba.

Por supuesto, cambia si tu situación es diferente.

me quedé tranqilo al leer esta respuesta así que no solo me pasa a mí y tomar medidas sin hacer inventario es dejar abierta una puerta que no ves.

antes de decidir, mirad qué datos tenéis en la mano.

A mí me pasó justo al revés, por eso escribo. Las decisiones apresuradas son las que hay que corregir seis meses después.

Lo dejo como nota, por si sirve.

Voy a resumir el tema, porque se han dado varias respuestas diferentes. Si el permiso y el alcance no están por escrito, que no empiece la prueba.

Yo seguiría por ese camino.

Ha sido una buena idea abrir este hilo.

Hay que ir paso a paso. Todo lo que no está por escrito, ambas partes lo recordarán de forma distinta en el futuro.

Le agradecería que compartiera el resultado.

Quisiera hacer una pregunta. Una copia de seguridad no probada no es una copia de seguridad.

Un informe de escaneo automático no es lo mismo que una prueba de penetración. Comprobado por experiencia.

Guardado.

Os cuento lo que me pasó a mí, a ver si os sirve de ayuda. Si no lo pones por escrito desde el principio, luego surgen discusiones.

Eso es todo, disculpa si me he extendido demasiado.

En su momento, nosotros también nos atascamos ahí. Un informe de escaneo automático no es lo mismo que una prueba de penetración.

También me gustaría saber si alguien lo hace de otra manera.

Soy una pequeña empresa, os lo cuento desde mi lado. Las soluciones que funcionan a pequeña escala se rompen al crecer, aprendí esto tarde.

Todo lo que no está por escrito, ambas partes lo recordarán de forma distinta en el futuro. También me gustaría saber si alguien lo hace de otra manera.

os cuento lo que me pasó a mí a ver si os sirve de ayuda. las soluciones que funcionan a pequeña escala se rompen al crecer, aprendí esto tarde.

lo dejo como nota por si sirve.