La seguridad del pago suena a asunto de tecnología y es sobre todo un asunto administrativo. Las redes de tarjetas movieron hace años la parte difícil hacia los equipos. Lo que te queda es un cuestionario, un puñado de hábitos, y saber qué riesgos son de verdad tuyos.
📋 Qué te pide PCI en realidad
PCI es el reglamento de la propia industria de las tarjetas, y quien te lo exige es tu procesador, no un gobierno. En la práctica significa:
- Un cuestionario de autoevaluación, una vez al año. Cuál te toca depende de cómo cobras: un restaurante con terminales independientes y cifrado contesta una versión mucho más corta que uno que guarda datos. Pregúntale a tu procesador cuál te aplica; lo sabe, y normalmente te lo llena contigo.
- Puede que un escaneo de red, si cobras en línea. Lo gestiona tu procesador.
- Un cargo mensual por incumplimiento si nunca lo haces. Es la razón por la que casi todos los restaurantes acaban llenando el formulario: ya lo estaban pagando. Busca esa línea en tu estado de cuenta.
- Nada exótico. Las preguntas son las cosas del curso anterior: redes separadas, un usuario por persona, contraseñas de fábrica cambiadas, actualizaciones aplicadas, accesos limitados. Si hiciste el tema 4 de aquel curso, ya tienes hecho lo esencial.
Complétalo, guarda el certificado y agéndalo para el año siguiente. Es una tarde, y la alternativa es un cargo mensual más una posición mucho peor si algún día pasa algo.
⚖️ El cambio de responsabilidad que nadie explicó
Desde 2015, en Estados Unidos, la regla para el fraude con tarjetas falsificadas es más o menos esta: paga el eslabón más débil. Si a un cliente le clonan la tarjeta de chip y la usan en un negocio que solo la pasó por la banda, la pérdida tiende a caer en el negocio y no en el banco. Si aceptaste el chip como corresponde, no cae en ti.
Esa es la razón práctica para insistir en insertar el chip o acercar la tarjeta en vez de pasar la banda, más allá del pequeño ahorro del tema 3. Las reglas tienen más detalle que una frase, pero la dirección es siempre la misma: quien evitó la tecnología más segura carga con el fraude.
🔍 Los fraudes que sí les pasan a los restaurantes
| Cómo se ve | Qué lo frena |
| Un skimmer pegado a una terminal, o una terminal cambiada por otra igualita | Números de serie anotados; una mirada y un tirón al abrir y al cerrar; ninguna terminal a solas con un desconocido |
| Números de tarjeta anotados en papel para pedidos por teléfono | Capturar directo en la terminal con el cliente en la línea. Si no hay paso por papel, no hay nada que robar |
| Alguien que llama diciendo ser tu procesador y pide "verificar" o cambiar tu cuenta de depósito | Cuelga. Devuelve la llamada al número de tu propio estado de cuenta. Este se lleva dinero de verdad y funciona seguido |
| Un pedido grande de un cliente nuevo, tarjeta capturada a mano, entrega en otra dirección, con prisa | Una llamada al número del pedido antes de ponerlo a cocinar |
| Reembolsos a una tarjeta que nunca compró nada | Permiso de reembolso solo para gerentes, y el reporte de excepciones del curso anterior |
| Un correo pidiendo actualizar los datos bancarios de un proveedor o de la nómina | Verificar por teléfono, en un número que ya tenías. Nunca en el número que viene en el correo |
Fíjate en qué pocos de estos son técnicos. Los caros son conversaciones, y la defensa es una regla que el personal tenga permiso de aplicar: nadie se mete nunca en problemas por decir "déjeme devolverle la llamada a nuestro propio número".
🧯 Si algo sale mal
- Llama primero a tu procesador. Tiene un procedimiento, plazos y un equipo de fraude. Lo que empeora las cosas es tardar.
- No limpies nada. Deja la terminal, la máquina y los registros como están; una investigación los necesita.
- Anota lo que sabes: cuándo, qué terminal, quién se dio cuenta, qué cambió hace poco.
- Avísale a tu proveedor de POS si hay equipo suyo de por medio, y a tu banco si hay depósitos de por medio.
- Ten los números en papel, junto al plan de caídas del curso anterior. Nadie busca bien un número de soporte bajo presión.