Volver al archivo
ARC-003CONFIDENCIAL · AnonimizadoCRÍTICO
Framework de amenazas sobre plataforma e-commerce con pasarela de pago
Análisis estructurado de 14 amenazas sobre tienda online B2C (500–2.000 pedidos/mes, 15.000 registros). Cuatro críticas concentradas en fraude de pago, inyección en checkout, exfiltración de datos de tarjeta y suplantación de identidad. Exposición significativa a PCI DSS v4.0 y RGPD.
Tipo de análisis
Threat modeling · STRIDE + OWASP
Sector
E-commerce B2C · WooCommerce
Estado
Cerrado
Fecha
2025
STRIDEOWASPMagecartPCI DSSRGPDSQLiIDORDDoS
01
Contexto
- ·WooCommerce sobre WordPress parcialmente actualizado, >25 plugins activos.
- ·Pasarela externa por iframe + tokenización básica, hosting compartido + CDN.
- ·Sin MFA para clientes, integraciones de terceros (GA, Pixel, marketing) en superficie de ataque.
02
Metodología
- ·STRIDE (Spoofing · Tampering · Repudiation · Info Disclosure · DoS · Elevation).
- ·OWASP Top 10 e-commerce como filtro sectorial.
- ·Matriz de riesgo Probabilidad × Impacto; plan de mitigación por horizonte (0–30 / 1–3m / 3–6m).
03
Hallazgos
01AME-001 · Magecart / JS skimming
CRÍTICO02AME-002 · SQLi en parámetros de búsqueda/API
CRÍTICO03AME-004 · Chargeback fraud sin logs robustos
ALTO04AME-005 · Plugins desactualizados (cadena suministro)
ALTO05AME-006 · DDoS volumétrico sobre checkout
MEDIO06AME-007 · IDOR en acceso a pedidos
MEDIO04
Impacto operativo
- ·Fraude financiero directo + brecha PCI DSS v4.0 (multas y posible cese de operativa de pago).
- ·Riesgo RGPD: hasta 20M€ o 4% de la facturación global anual.
- ·El control de mayor relación coste/beneficio: CSP + SRI sobre scripts del checkout (mitigación Magecart inmediata).
05
Documento completo
ACCESO RESTRINGIDO
12 pp· 84 KB· PDF
Documento del archivo privado
Este informe forma parte del archivo privado de investigación de Zero101OSINT. El acceso es individual, registrado y trazable. Sin spam, sin lista de difusión.