Fugas de datos en WooCommerce: RGPD y PCI-DSS para tu tienda

Por PathSentinel · Jesús Macías Rubiales — Investigación de seguridad web

Cuando hablamos de WooCommerce, RGPD y PCI-DSS juntos, no estamos mezclando siglas por gusto: una sola fuga de datos en tu tienda puede activar dos marcos legales al mismo tiempo, con plazos y sanciones muy distintos. Este artículo forma parte de nuestra guía pilar de seguridad de e-commerce y multi-CMS y explica, sin humo, qué obligaciones tienes y cómo reducir tu exposición.

En PathSentinel respondemos a incidentes en pymes y e-commerce, pero también en entornos exigentes como banca y comercios que manejan datos de tarjeta. La lección que se repite: casi todas las tiendas subestiman cuántos datos personales custodian de verdad.

Qué datos guarda realmente tu tienda (y por qué importan al RGPD y PCI-DSS)

WooCommerce almacena mucho más de lo que el propietario cree. En una auditoría típica encontramos:

• Nombre, dirección de envío y facturación, correo y teléfono de cada cliente.
• Historial de pedidos y comportamiento de compra (dato personal a efectos de RGPD).
• Direcciones IP y logs, a menudo retenidos de forma indefinida.
• En casos peligrosos, datos de tarjeta guardados por error en notas de pedido, metadatos o logs de plugins mal programados.

El RGPD protege lo primero; PCI-DSS entra en juego en cuanto tu sistema toca el número de tarjeta (PAN). Y aquí está la buena noticia: tu objetivo debe ser tocar el mínimo posible para reducir ambos alcances a la vez.

RGPD: tus obligaciones si hay una fuga

Ante una brecha de datos personales, el RGPD es claro en los plazos:

• 72 horas para notificar a la autoridad de control (en España, la AEPD) desde que tienes conocimiento de la brecha, si supone un riesgo para los derechos de las personas.
• Comunicación a los afectados sin dilación indebida cuando el riesgo sea alto.
• Registro interno de la incidencia, aunque decidas no notificar, con la justificación de esa decisión.

No documentar la brecha es, por sí mismo, un incumplimiento. Por eso la respuesta forense —determinar qué datos salieron y cuándo— no es opcional: es lo que sostiene tu decisión ante la autoridad.

PCI-DSS: por qué te afecta aunque uses una pasarela externa

Muchos comerciantes creen que «como cobro con Stripe o Redsys, PCI no va conmigo». Es un malentendido caro. Si un skimmer inyectado en tu checkout captura la tarjeta antes de que llegue a la pasarela, el fallo está en tu web, y tu alcance PCI-DSS existía todo el tiempo. El marco de referencia oficial es el PCI Security Standards Council, y en su versión vigente pone especial foco en la protección de las páginas de pago frente a scripts maliciosos.

La forma más segura de reducir tu alcance es usar campos hospedados o redirección, de modo que el PAN nunca pase por tu servidor. Menos datos que tocas, menos requisitos que cumplir.

Cómo se producen las fugas en la práctica

En respuesta a incidentes, los vectores que más se repiten son:

• Plugin o tema vulnerable que permite subir un fichero y colocar una puerta trasera.
• Credenciales reutilizadas de un administrador, filtradas por un infostealer o una brecha ajena.
• Skimming en el checkout mediante JavaScript inyectado.
• Exportaciones sin control de pedidos por parte de cuentas comprometidas.

Estos patrones no son exclusivos de WordPress. En otros CMS el punto débil cambia de nombre pero no de naturaleza: revisa cómo los módulos de PrestaShop se convierten en la puerta de entrada nº1, y el caso concreto de la inyección SQL vía parámetro de módulo, un mecanismo directo de exfiltración de la base de datos de pedidos.

Reducir tu exposición antes de que ocurra

Un plan de mínimos que aplicamos en tiendas reales:

• Minimización de datos: no guardes lo que no necesitas y define una política de retención con borrado real.
• Segrega los pagos: pasarela con campos hospedados y 3-D Secure/SCA activo.
• Controla accesos: 2FA obligatorio, mínimo privilegio y revisión de usuarios administradores.
• Monitorización de integridad del checkout y de ficheros, para detectar skimmers en horas, no en semanas.
• Cifrado de copias de seguridad y prueba periódica de restauración.

Otros CMS mantienen sus propios canales oficiales de aviso —como PrestaShop Security o el Joomla! Security Centre— y suscribirte a ellos es una forma barata de anticiparte. Entender el binomio WooCommerce, RGPD y PCI-DSS no es un ejercicio teórico: es lo que decide si una brecha te cuesta una notificación ordenada o una sanción.