Cuando pensamos en la gente que suele realizar ataques informáticos, lo primero que nos viene a la mente suele ser un experto informático capaz de descifrar la mejor de las contraseñas o aprovecharse de vulnerabilidades desconocidas para el común de los mortales. Pero por lo general, para robarte la cuenta de Facebook o Gmail ni siquiera hay que tener grandes conocimientos informáticos, vale con esperar a que tú se la des amablemente.

Es lo que se conoce como la ingeniería social, una técnica de ataque muy utilizada debido a su alto nivel de eficacia. Parte de la base de que las personas somos el eslabón más débil de un sistema de seguridad, y ya sea mediante labia o automatismos intenta engañarnos para que acabemos relevando datos clave para comprometer nuestros sistemas.

Muchos atacantes deciden estudiar informática para acceder a los sistemas aprovechándose de los bugs de un software, pero hay quienes prefieren especializarse en engañar y manipulara los propios usuarios. Para ello no hacen falta ni vulnerabilidades ni hackeos increíbles, sino conocer muy bien la mente humana y la forma de pensar de tu víctima, y aprovecharlo para que te de los datos necesarios para acceder a su ordenador, a los servidores de su empresa o por qué no, a sus correos electrónicos o cuentas de redes sociales.

Imagínate que para proteger una cuenta habilitas como pregunta secreta cual es el nombre de tu primera mascota. Pues bien, aplicando la ingeniería social, un atacante que ya haya intentado acceder a tu cuenta y sepa cual es la pregunta puede intentar ganarse tu confianza y llegar disimuladamente hasta la respuesta. Después de todo, una conversación sobre mascotas no tiene por qué hacerte sospechar de que te vayan a hackear una cuenta personal.

Otros atacantes simplemente recurren a la vía rápida del phishing para engañarte haciéndose pasar por un servicio, y enviarte un correo con un enlace fraudulento mediante el que intentar que escribas tu contraseña. Imagínate que te envío un correo electrónico diciéndote que soy el señor Paypal, que he detectado un error y que necesito que te identifiques inmediatamente mediante un enlace que adjunto, y que lleva a una web falsa en la que guardar todo lo que escribes.

LEER MAS: https://www.genbeta.com/a-fondo/el-mayor-punto-debil-de-tu-seguridad-eres-tu-asi-te-pueden-atacar-con-la-ingenieria-social

Estoy de acuerdisimo con tigo y por eso muchisimas empresas grandes se han puesto las pilas para darles cursos de formacion de seguridad básica a sus empleados. La ingenieria social es algo a tener muuuy en cuenta.

Normalmente los aspectos de pago no los realiza la página que hace la venta. Estos servicios se realizan mediante pasarelas de terceros, generalmente de bancos o de empresas dedicadas a transacciones como PayPal y otros.

Por así decirlo, cuando un cliente compra algo en tu página durante ese proceso deja de estar en tu página, y está en realidad operando en esa pasarela de pago, que es la responsable de la seguridad y suelen estar muy preparados en ese aspecto

Por otro lado, ten en cuenta que si mantienes un fichero en algún lugar con datos de tus clientes (nombres, direcciones, teléfonos, etc...) esos datos si que son responsabilidad tuya, y si que son los que deben de "preocuparte". Así como cumplir con las leyes de protección de datos de tu país

En realidad, el control de la seguridad y lo que puedes hacer acaba cuando usas el software de otros, los dominios de otros, el hardware de otros... Si una librería del propio sistema tiene un fallo, tú nada puedes hacer...
Es como las cerraduras de las cajas fuertes de los bancos. El banquero confia en el fabricante, pero si la cerradura tuviera un defecto de diseño que alguien lo descubre, el banquero nada puede hacer, porque no lo sabe (acaso ni el fabricante lo sabe).

Como ya te dicen, el pago es siempre a cargo de terceros.

Vuestra seguridad podría entonces limitarse a:
- Cifrar la base de datos de los clientes (si guardais sus datos).
- Complicar la posibilidad de que emulen vuestra página web, para cazar a incautos, o dicho de otra manera, facilitar que si un cliente tiene dudas sobre si la página web que está viendo sea la vuestra, tenga alguna opción de demostrar ser cierto o falso. Por ejemplo añadiendo un correo de autorespuesta, tal que el cliente acuda a su cuenta de correo, escriba a una dirección de vuestra web, y en respuesta (automática), devuelva la dirección IP, que tiene la página. Así el cliente puede acceder a través de esa IP, o consultar la dirección de la página que aparece ante sus ojos para ver si en efecto, es la vuestra o una suplantada cuidando los detalles...
- Advertir a los clientes que nunca les mandareis correos pidiendo sus contraseñas, por x cosas banales (pica mucha gente, hay que seguir insisitiendo en eso).

Hola Saltimbanquioua, deberías crear un tema nuevo en éste mismo foro para poder ayudarte y no desvirtuar el tema original.
Si eres tan amable de exponer mejor tu caso, incluyendo sistema operativo, incidencias, etc te podremos ayudar mejor.

Saludos.