¿Fiarse o no fiarse?

Esa es la cuestión. En temas de seguridad, lo aconsejable suele ser no fiarse ciegamente de nada, por si acaso. Y si metemos dinero en la ecuación, con más motivo.

Siempre me ha llamado la atención lo reacia que es la gente en general a pagar con tarjeta por internet, pero luego en persona da alegremente su tarjeta al camarero para que se la lleve hasta el TPV para cobrar (es cierto que esto ya no es exactamente así porque traen un datafono portátil a la mesa para que introduzcas el PIN, pero normalmente la gente tiene más miedo cuando no ve qué o quién recibe su tarjeta).

En mi opinión, ni una cosa ni la otra. No hay que dar despreocupadamente la tarjeta como si repartiéramos caramelos, ni evitar usarla a toda costa porque si la sacamos de la cartera nos la van a robar sólo con olerla. Como siempre, hay que actuar con cabeza y seguir algunos cuidados básicos.

¿Y por qué le doy tantas vueltas a este tema ahora? Pues porque en cuestión de pocas semanas se me han juntado dos situaciones relacionadas con el pago con tarjeta que me han hecho plantearme que todavía queda camino por recorrer en la seguridad del pago electrónico (tanto por parte de los que pagan como por parte de los que cobran).

Para empezar, hace unas semanas llamé por teléfono a un hotel para reservar un fin de semana. Todo muy bien, buena atención y nada reseñable, hasta que llegó el momento de confirmar la reserva:

Finalmente se solucionó con la transferencia y todo fue sobre ruedas. Pero no deja de resultarme inquietante que ese sea el procedimiento habitual cuando alguien hace una reserva. ¿Qué hacen con esos mails con información sensible una vez han hecho el cargo que corresponde? ¿Cómo me aseguro que me cobran la cantidad que hemos acordado por teléfono? ¿Cómo es posible que la gente envíe su tarjeta sin preocuparse por estas cosas?

Y cuando todavía estaba yo dándole vueltas a estos interrogantes (es increíble cómo ha aumentado mi preocupación interés por la seguridad en los últimos meses), me llegaron las instrucciones para un examen oficial de idiomas que hice hace unas semanas. Estas instrucciones incluyen qué hacer en caso de no estar conforme con la calificación obtenida y el método para reclamar:

Ya estamos de nuevo con el envío en claro por e-mail de la numeración de la tarjeta de crédito y la fecha de caducidad. ¿Qué pasa si no quiero enviar esa información, me quedo sin poder revisar mi examen? Supongo que se podría escribir un mail explicando la cuestión y preguntando por otras posibles formas de pago, pero ¿cuánta gente se toma esa molestia? Seguro que reciben una gran cantidad de números de tarjeta en esa dirección de correo electrónico. Y si un atacante consigue hacerse con acceso a esa cuenta, se va a encontrar esperándole un montón de información jugosa.

Como ya contó Elena hace unos meses, el PCI Security Standards Council se encarga de aumentar la seguridad de todo lo relacionado con las tarjetas de pago y proteger al usuario. En teoría, todas las entidades que participan en procesos de pago deberían cumplir el PCI DSS que indica las normas de seguridad a seguir.

Reconozco que no he leído la normativa completa al respecto, pero aplicando el sentido común la conclusión es que en estos dos casos concretos yo no me fío. Pagar por internet es seguro, siempre que se cumplan ciertas medidas básicas (y enviar en un simple mail los datos completos de la tarjeta, no las cumple).

No hay que tener ese miedo irracional que tienen algunas personas al pago por internet, pero no olvidemos que estamos manejando dinero exactamente igual que si vamos a un cajero, así que el consejo principal y la moraleja de esta entrada es: pensemos antes de actuar. Y si no estamos seguros de algo, busquemos alternativas.