¿Qué es el Cifrado en los Pagos?

¿Qué es el cifrado?

El cifrado es el proceso de convertir datos legibles —llamados texto claro— en un formato ilegible —llamado texto cifrado— usando un algoritmo matemático y una clave. Solo quien tenga la clave de descifrado correcta puede devolver los datos a su forma original. Sin la clave, los datos cifrados son un galimatías sin sentido, aunque un atacante consiga interceptarlos.

En el contexto de los pagos, el cifrado es la tecnología fundamental que protege los números de tarjeta, los datos personales y los datos de transacción mientras viajan por las redes y reposan en almacenamiento. Cada vez que haces una compra online, acercas tu tarjeta o pagas por teléfono a través de un sistema seguro, el cifrado trabaja entre bambalinas para mantener tus datos a salvo.

Cómo funciona el cifrado

Cifrado simétrico

En el cifrado simétrico se usa la misma clave para cifrar y descifrar los datos. Piénsalo como un candado del que ambas partes tienen una llave idéntica. El algoritmo simétrico más usado es AES (Advanced Encryption Standard), que viene en longitudes de clave de 128, 192 y 256 bits. AES-256 es el estándar para proteger datos de tarjeta de pago y se considera inviolable con la tecnología informática actual.

El reto del cifrado simétrico es la distribución de claves: necesitas una forma segura de compartir la clave con la otra parte. Si la clave se intercepta en tránsito, el cifrado queda comprometido.

Cifrado asimétrico

El cifrado asimétrico resuelve el problema de la distribución de claves usando dos claves distintas pero matemáticamente relacionadas: una clave pública y una clave privada. Los datos cifrados con la clave pública solo pueden descifrarse con la clave privada, y viceversa. La clave pública puede compartirse abiertamente; solo la clave privada debe mantenerse en secreto.

RSA y la criptografía de curva elíptica (ECC) son los algoritmos asimétricos más comunes. En la práctica, el cifrado asimétrico se usa normalmente para establecer un canal seguro e intercambiar una clave simétrica, que luego se encarga del grueso del cifrado de datos. Esta combinación —usada en TLS/SSL— alimenta cada sitio web y conexión de pago segura en internet.

El cifrado en los pagos

Datos en tránsito

Cuando los datos de tarjeta se mueven entre sistemas —del navegador del cliente a una pasarela de pagos, de un sistema telefónico a un procesador de pagos o entre un comercio y su adquirente— deben estar cifrados. PCI DSS exige que los datos del titular de la tarjeta transmitidos por redes abiertas o públicas se cifren usando criptografía fuerte. En la práctica, eso significa TLS 1.2 o superior para todas las conexiones de pago.

Para los pagos telefónicos, los «datos en tránsito» incluyen el propio canal de audio. Los tonos DTMF que llevan los dígitos de la tarjeta viajan por redes de voz y, sin protección, esos tonos pueden ser capturados y decodificados. El enmascaramiento DTMF aborda esto interceptando y sustituyendo los tonos antes de que lleguen a cualquier parte desprotegida de la red.

Datos en reposo

Los datos de tarjeta almacenados en bases de datos, ficheros de copia de seguridad o logs también deben estar cifrados. PCI DSS exige que los datos almacenados del titular de la tarjeta sean ilegibles, y el cifrado es el método principal para lograrlo. Las propias claves de cifrado deben gestionarse de forma segura, almacenarse separadas de los datos que protegen y rotarse con regularidad.

En la práctica, la mayoría de las empresas evitan almacenar datos de tarjeta usando tokenización. El procesador de pagos guarda la tarjeta cifrada y emite un token al comercio. El comercio guarda el token, que es inútil para un atacante porque no puede revertirse al número de tarjeta sin acceso a la bóveda segura del procesador.

Cifrado de extremo a extremo (E2EE)

El cifrado completo significa que los datos se cifran en el punto de captura y permanecen cifrados hasta que llegan a su destino final, normalmente el entorno seguro del procesador de pagos. Ningún sistema intermedio puede acceder a los datos en claro. Es el estándar dorado para la seguridad de pagos porque elimina el riesgo de que los datos queden expuestos en cualquier punto de la cadena.

Cifrado punto a punto (P2PE)

P2PE es un estándar validado por el PCI SSC para cifrar los datos de tarjeta desde el punto de interacción (por ejemplo, un terminal de tarjeta) hasta el entorno de descifrado (el procesador). Una solución P2PE validada reduce significativamente el alcance de PCI DSS para el comercio porque los datos de tarjeta nunca son accesibles en su entorno en ninguna forma legible. El PCI SSC mantiene una lista de soluciones P2PE validadas.

El cifrado bajo PCI DSS

PCI DSS incluye varios requisitos relacionados con el cifrado:

• Requisito 3: proteger los datos de cuenta almacenados mediante cifrado, truncamiento, enmascaramiento o hashing
• Requisito 4: cifrar los datos del titular de la tarjeta al transmitirlos por redes abiertas o públicas usando criptografía fuerte
• Gestión de claves: PCI DSS v4.0 exige procedimientos documentados de gestión de claves, incluida la generación, distribución, almacenamiento, rotación y destrucción
• Estándares de algoritmo: solo se aceptan algoritmos reconocidos por la industria: AES, RSA, ECC y similares. Los algoritmos propietarios u obsoletos (DES, 3DES tras su retirada) no cumplen el estándar

Cifrado frente a tokenización frente a hashing

Estas tres tecnologías se mencionan a menudo juntas, pero tienen propósitos distintos:

• Cifrado: reversible. Los datos originales pueden recuperarse con la clave correcta. Se usa cuando necesitas leer los datos más tarde (por ejemplo, un procesador necesita descifrar el número de tarjeta para autorizar un pago).
• Tokenización: sustituye los datos por un sustituto aleatorio (token) que no tiene relación matemática con el original. La correspondencia se almacena en una bóveda segura. Se usa cuando necesitas hacer referencia a los datos sin acceder a ellos (por ejemplo, almacenar una tarjeta para pagos futuros).
• Hashing: de un solo sentido. Convierte los datos en un valor de longitud fija que no puede revertirse. Se usa para verificación (por ejemplo, comprobar si una contraseña coincide) pero no para recuperar datos.

Por qué importa el cifrado para los pagos telefónicos

Los pagos telefónicos introducen retos únicos de cifrado. Las llamadas de voz atraviesan múltiples redes —redes telefónicas públicas, infraestructura VoIP, sistemas PBX internos— y cada salto es un punto potencial de exposición. Los canales de voz tradicionales no se diseñaron para la transmisión segura de datos.

Soluciones como el enmascaramiento DTMF abordan esto eficazmente garantizando que los datos de tarjeta nunca entren en el canal de voz en una forma decodificable. Los dígitos reales de la tarjeta los captura la plataforma de pago segura a nivel de red, se cifran y se transmiten directamente al procesador de pagos. El canal de voz solo lleva tonos enmascarados o suprimidos, así que no hay nada de valor que interceptar.