Hace apenas tres años el dolor de cabeza de un CISO del retail digital era el perímetro y el ransomware que encriptaba servidores; hoy la amenaza se mudó de lugar. La ciberseguridad en eCommerce ya no se juega en el servidor principal: la identidad del usuario, los scripts de terceros en el checkout y la responsabilidad legal que llega hasta el Directorio marcan la nueva agenda. En entrevista exclusiva con ZonaCISO, Leonardo Landolfi, CISO de Infracommerce, enfatizó que el mayor riesgo “es entender la seguridad como un costo y no como un habilitador del negocio”.
Marcos regulatorios altamente exigentes, gestión de información sensible y un alto volumen de transacciones críticas explican los mayores niveles de madurez de industrias como la banca o la salud, que históricamente han desarrollado procesos, controles y equipos especializados en la materia.
Sin embargo, en el eCommerce el nivel de preparación depende cada vez menos de la industria y más del grado de madurez digital de cada organización. Muchas empresas de retail y consumo masivo han avanzado significativamente, mientras que otras aún consideran la ciberseguridad como una función de soporte. Este sería un punto incómodo para el mercado chileno, donde un 72% de las empresas cree ser proactiva en ciberseguridad pese a la evidencia en contra, según publicamos anteriormente. “En un entorno donde la experiencia del cliente depende de plataformas digitales, la seguridad debe evolucionar al mismo ritmo que la transformación digital”, dijo el ejecutivo.
Esa cultura interna frente al riesgo es el factor determinante. La regulación y el tamaño importan —urgencia legal y respaldo financiero para adquirir tecnología—, pero es la cultura de riesgo la que define la madurez real. “Nace en la mesa del Board y determina si la ciberseguridad se gestiona como un habilitador estratégico de negocio o como un simple trámite”, añade Landolfi.
El mapa regional muestra bloques nítidos. Chile y Brasil lideran, aunque por caminos distintos: Chile empujado por la gobernanza institucional que instaló la Ley Marco de Ciberseguridad (Ley 21.663), que llevó la responsabilidad al Directorio, y Brasil por escala e inversión bajo la presión del Banco Central, la CVM y la bolsa de São Paulo (B3). México y Colombia avanzan con marcos maduros y una digitalización acelerada, pero con una superficie de ataque que corre más rápido que la remediación de sus sistemas legacy, mientras que Argentina y Perú, con talento técnico destacado, cargan una brecha de infraestructura explicada por condicionantes macroeconómicos.
Los tres vectores que definirán 2026
Para el CISO de Infracommerce, los líderes de la ciberseguridad en eCommerce deben dejar de mirar las amenazas del pasado y concentrar sus esfuerzos en tres frentes donde la automatización y la inteligencia artificial redefinieron el riesgo.
El primero es el secuestro de sesión y la elusión del MFA. El atacante ya no intenta descifrar contraseñas ni romper el doble factor de autenticación: usa infostealers para robar los tokens y cookies de sesión activa del navegador e ingresa por la puerta principal con una identidad válida, en la misma línea que ZonaCISO documentó sobre la evolución de los infostealers en Latinoamérica. La estrategia, plantea Landolfi, debe migrar del MFA estático hacia el análisis continuo de comportamiento y la biometría conductual.
El segundo es el envenenamiento de la cadena de suministro digital. Como el core está blindado, los ciberdelincuentes atacan los componentes de terceros integrados en la tienda —scripts de analítica, chats de soporte, píxeles de marketing— y, al comprometer un script de la periferia, capturan datos de pago en el navegador antes del cifrado.
El tercero es el abuso de bots con IA para la denegación de inventario. Redes automatizadas que simulan patrones de tecleo y navegación humana casi perfectos, y que no solo prueban credenciales robadas, sino que además “secuestran” el stock llenando carritos masivamente en eventos de alto tráfico como el CyberDay, sin pagar, paralizando las ventas reales.
“La seguridad del eCommerce es tan fuerte como el eslabón más débil de su ecosistema”, advierte Landolfi. Por eso, agrega, “la estrategia del CISO de eCommerce ya no se trata de levantar muros más altos en la puerta principal, sino de combinar inteligencia de amenazas en tiempo real, protección de APIs en la periferia y visibilidad proactiva en la Dark Web para que la ciberseguridad proteja la conversión sin añadir fricción a la experiencia del cliente”.
Seguridad compartida con el cliente
Infracommerce opera bajo un modelo que agrega una capa de complejidad: no protege solo su propia infraestructura, sino la continuidad operativa y la confianza digital de las marcas que operan sobre su plataforma. Al gestionar operaciones críticas de múltiples clientes en seis países —Argentina, Chile, México, Brasil, Colombia y Perú—, cualquier incidente puede impactar directamente en la experiencia del consumidor final. La compañía resuelve esa asimetría con un piso común: un estándar internacional unificado bajo ISO 27001, arquitectura Zero Trust y ciberdefensa en todas las filiales.
Cuando ocurre un incidente, la pregunta es dónde termina la responsabilidad del proveedor y dónde empieza la de la marca. Para Landolfi, lo peor que puede hacer un socio tecnológico es buscar la “letra chica” para lavarse las manos. Si el incidente ocurre en la plataforma, el checkout, las integraciones o la logística que Infracommerce administra, la contención, la investigación forense, la solución técnica y la notificación corren por su cuenta; el cliente mantiene el control sobre la soberanía de sus datos estratégicos y las decisiones comerciales de su negocio.
La línea de responsabilidad, dice, no se traza para ver “a quién corresponde”, sino para saber quién lidera la acción. “En una crisis, Infracommerce no pierde un segundo debatiendo de quién es la culpa; actuamos de inmediato como el escudo protector de la marca, conteniendo la amenaza y entregando al Directorio del cliente la información clara y la solución ejecutada. En definitiva, la meta es que el cliente sepa que, pase lo que pase, su reputación y su operación están blindadas con nosotros”, concluyó.