Seguro de ciberseguridad · Riesgos Cibernéticos de Sancor Seguros
Una tienda online vive de tres cosas que no son suyas: la plataforma donde está el catálogo, el medio que cobra y el mail donde llegan los pedidos. Si se filtran los datos de tarjeta de tus compradores, esta póliza tiene un amparo pensado para el comercio, el D (multas y sanciones PCI), y responde además por el forense, los abogados, el aviso a tus clientes y sus reclamos. Si una caída te deja sin vender, hay que leer bien la cotización: te mostramos dónde. No hay tarifa pública: cada comercio paga lo suyo; nuestra referencia propia es la cotización de Sancor a Farello del 19/10/2026: USD 553 al año por USD 50.000 de suma asegurada, sin IVA ni IIBB. La tuya la cotiza Sancor con un formulario de 9 preguntas por SI o NO que llenás en nuestra web.
› Pedido de cotización formal · el precio lo fija Sancor para cada comercio · en todo el país
En una frase: el seguro de ciberseguridad para tiendas online y comercios que cobran con tarjeta (Riesgos Cibernéticos, de Sancor Seguros) cubre lo que deja un evento cibernético en un comercio: la venta perdida cuando un ataque tira tu propia red; los reclamos de compradores por sus datos; los costos de salir del incidente; y, si se expusieron datos de tarjeta, las multas y gastos que exigen las compañías de tarjetas por no cumplir PCI DSS. No cubre la plata que transferís engañado ni la caída de una red social, y la caída de la plataforma o del medio de pago depende de lo que diga tu cotización: lo explicamos abajo. No hay tarifa pública: se cotiza con un formulario de 9 preguntas.
La cadena de tu venta
En un e-commerce, entre que alguien ve un producto y te llega la plata hay cuatro o cinco sistemas, y casi ninguno es tuyo. Para el seguro cibernético importa cuál es tuyo y cuál es de otro, porque la cobertura de tu propia red sí está en la cotización y la de los proveedores hay que leerla en la cotización.
Tiendanube u otra plataforma de comercio electrónico, o un sitio en un hosting. Es un proveedor en la nube: su caída la contempla el condicionado general de Sancor, pero en nuestra propia cotización quedó afuera por condición particular. Si tu venta vive ahí, pedila expresamente al cotizar.
Proveedor: pedirlo expresamenteMercado Pago, la pasarela de Prisma, el posnet o el QR del local. Son terceros que procesan los pagos y los que te piden cumplir con las reglas de las tarjetas. Su caída, igual que la de la plataforma, hay que pedirla expresamente al cotizar.
Proveedor: pedirlo expresamenteNombres, direcciones de envío, teléfonos, mails, historial de compras y, si los guardás, datos de tarjeta. Es una base de datos personales, con las obligaciones de la Ley 25.326.
TuyaDonde llegan los pedidos, los avisos de pago y los cambios de contraseña de todo lo demás. Quien entra ahí puede cambiar la cuenta donde cobrás o escribirles a tus clientes como si fueras vos.
TuyoInstagram, Facebook y compañía. Según el estudio 2025 de Chubb sobre pymes argentinas, el 66 % vende por redes. Pero el condicionado de Sancor deja a las redes sociales fuera de la definición de proveedor en la nube: si se cae Instagram, el amparo B no responde.
No cuenta como proveedorEl router, la computadora de la caja, el Wi-Fi. Es la puerta física a tu red, y la pregunta 2 del formulario pregunta si tiene un firewall que la proteja de internet.
Tuyo«Proveedor en la nube», en el condicionado general de Sancor (definición 2.4): un tercero con contrato escrito de servicios de cómputo, infraestructura o aplicaciones; no incluye las redes sociales (Facebook, Instagram, LinkedIn, X (antes Twitter), YouTube). Pero en nuestra propia cotización, las condiciones particulares reescriben las definiciones y limitan el evento cibernético y la paralización a la red propia del asegurado: la caída del proveedor queda afuera. Si para tu negocio es lo central (y en una tienda online lo es), pedila expresamente al cotizar y leé esa cláusula en tu cotización: la explicamos en qué cubre, condiciones particulares. Dato de redes: Chubb, estudio 2025 de pymes argentinas.
El amparo D, explicado
PCI DSS es el estándar de seguridad que fijó la industria de las tarjetas para quien guarda, procesa o transmite datos de tarjeta. No es una ley: es una regla contractual que te llega por el que te paga las ventas. Casi ningún comercio piensa en ella hasta el día en que una filtración muestra que no la cumplía.
Qué es y quién te lo pide
Amparo D, en la cotización de Sancor
Paga las multas y los gastos que exigen las compañías de tarjetas después de un incidente, cuando el comercio no cumplía PCI DSS:
Un detalle que importa: la cotización excluye la responsabilidad contractual asumida (3.15), pero aclara que esa exclusión no se aplica al amparo D. Justo lo que se reclama acá nace de un contrato.
Fuentes: Mercado Pago Developers, «PCI DSS»; sobre quién impone las sanciones, Insside, certificación PCI. Consultadas en octubre de 2026.
Un caso armado, contado con honestidad
No es un caso real: es el miedo que más escuchamos de quien vende online, contado para ver qué paga la póliza y qué no. Vale para un evento de ofertas como el Hot Sale o para la semana antes de Navidad. La primera pregunta siempre es la misma: dónde está la caída, en tu red o en la de otro.
Arranca la temporada de ofertas y no podés vender: un ransomware (un programa que cifra los archivos y pide un rescate para devolverlos) cifró la computadora desde la que manejás stock, pedidos y facturación, o alguien metió un programa malicioso en el servidor propio donde corre tu tienda. Los clientes escriben por WhatsApp que no pueden comprar.
Es tu red: responde el amparo C, con el forense, la recuperación de datos y la asistencia de la línea 0800 de la póliza, que Sancor presenta como atención 24/7 con especialistas en tecnología y en lo legal.
Recién acá empieza a contar la interrupción del negocio. Las primeras 12 horas son el período de espera, y en un evento de ofertas son justo las horas en que se concentran las compras: corren por tu cuenta.
Desde ahí, el amparo B paga la utilidad bruta que dejás de ganar y los gastos para seguir vendiendo, hasta 180 días desde el comienzo de la caída.
Del monto de la pérdida se descuenta el deducible que fije tu póliza; en la cotización que nos hizo Sancor fue de USD 15.000 por evento, y no reduce la suma asegurada.
Dicho sin vueltas: en una tienda chica, una caída de un día puede quedar entera dentro de la espera y el deducible. Este seguro no está para el mal rato de una tarde: está para la semana que no vendés, o para la filtración que te deja reclamos y multas.
Tus computadoras están bien: lo que se cayó es la plataforma de la tienda, o el medio de pago, porque los atacaron a ellos. En una tienda online, es el caso típico.
El condicionado general de Sancor contempla la caída del proveedor en la nube con contrato; en nuestra propia cotización, las condiciones particulares la dejan afuera. Si para tu negocio es lo central (y en una tienda online lo es), pedila expresamente al cotizar y leé esa cláusula en tu cotización: la explicamos en qué cubre, condiciones particulares. Si lo que se cae es Instagram, no hay cláusula que lo cubra: las redes sociales no cuentan como proveedor. Y un corte de internet o de luz fuera de tu control tampoco (3.4).
Decidís mudar la tienda a una plataforma más robusta y contratar un servicio de protección.
Ese costo no lo paga la póliza: actualizar o mejorar los sistemas está excluido (3.8).
Ley 25.326 y un antecedente
La Ley 25.326 le pide a quien tiene una base de datos personales que adopte medidas técnicas y organizativas para cuidarla (art. 9). No trae una obligación expresa y general de avisar una filtración. Pero hay un caso que cambió la lectura, y es de un comercio.
Noviembre de 2020 y septiembre de 2021
En noviembre de 2020, un ransomware alcanzó a Cencosud (Jumbo, Easy, Vea, Disco): impresoras de locales en Argentina y Chile imprimieron la nota de rescate, y un Easy de Buenos Aires dejó de aceptar la tarjeta Cencosud y las devoluciones. Después, clientes recibieron mails falsos con datos verdaderos de sus compras.
La AAIP actuó de oficio y la multó con $290.000: dos infracciones graves de $60.000 por no tener medidas técnicas y organizativas preventivas y correctivas, y dos muy graves de $85.000 por no avisar a sus clientes que sus datos podían estar comprometidos. En su descargo, la empresa declaró que después del incidente instaló una nueva protección de equipos y servidores y una herramienta de gestión de vulnerabilidades: en los hechos, lo que preguntan los puntos 3 y 4 del formulario.
Lo que nos deja
Las multas de la ley de datos son bajas en pesos. Lo caro de un incidente es lo otro: la parada, los reclamos de los compradores, el aviso a cada uno y la reputación. Por eso:
Fuentes: Resolución AAIP RESOL-2021-146-APN-DNPDP#AAIP, 17/09/2021; BleepingComputer, 14/11/2020; Ley 25.326.
Parecen lo mismo y no lo son
En un comercio, «me estafaron» puede querer decir tres cosas distintas, y la póliza responde distinto a cada una.
Después de un incidente en tu sistema
Si un ataque a tu tienda expone datos de tarjeta y las compañías de tarjetas te reclaman las transacciones fraudulentas y la reemisión de tarjetas, es el amparo D, cuando no cumplías PCI DSS.
El contracargo de todos los días, el de alguien que compró con una tarjeta robada en otro lado, no es un incidente de tu sistema: la cotización no lo nombra y no lo damos por cubierto.
La plata sale de tu cuenta
El mail «del proveedor» que avisa un cambio de CBU, la factura falsa que alguien paga, el homebanking usado desde una computadora infectada: la cotización excluye la transferencia electrónica de fondos o bienes del asegurado (3.14). Esa plata no se cubre.
Si hubo un evento de seguridad en tu sistema, sí entran el forense y la representación legal. Y las condiciones particulares de nuestra cotización suman otra exclusión: las pérdidas de dinero y títulos valores.
Lo que sale en tu tienda o en tus canales
La foto de producto que no era tuya, una marca ajena en una publicación, un comentario que alguien considera difamatorio. Los reclamos por lo que se publica en internet o en canales digitales (derechos de autor, marca, plagio, difamación, privacidad) son el amparo A por medios.
Si además tenés local
No son alternativas: cubren cosas distintas, y un comercio con vidriera y tienda online suele necesitar las dos.
El local y lo que hay adentro
El edificio o el contenido, la mercadería, el robo, el incendio y la responsabilidad civil del lugar, como el cliente que se cae en el local. Lo cotizamos en el seguro de comercio, por rubro.
El aparato
La computadora de la caja, la notebook o el posnet, si se rompen o se los roban. El daño físico al hardware no es ciberseguridad: va por el seguro de tecnología.
Lo que pasa adentro del sistema
Los datos, tu propia red cuando la tira un ataque, la base de clientes que se filtra, las multas PCI. Si tenés local, pedí la cotización con la actividad «comercio».
El formulario, desde un comercio
Las 9 preguntas del formulario son declaración jurada, y el reasegurador de Sancor las pide todas en SI. Un NO no impide pedir la cotización, pero conviene saber cuál es. En comercios, éstas tres son las más frecuentes.
El panel de la tienda con un solo usuario que comparten el dueño, el empleado y el que sube las fotos; la misma clave desde que se abrió la tienda. La pregunta pide una política de cambio de contraseñas al menos mensual, y con una cuenta compartida no hay política que se sostenga.
Cómo pasarla a SI: un usuario por persona, un gestor de contraseñas y una política escrita con plazo de 30 días. Modelo de política y paso a paso.
La pregunta habla del correo (Google Workspace, Microsoft 365) y de los sistemas de gestión. En una tienda, eso es el mail donde llegan los pedidos y los paneles de la plataforma y del medio de pago: si se entra sólo con contraseña, alcanza con robarla.
Cómo pasarla a SI: activar la verificación en dos pasos en el mail para todos los usuarios, y también en cada panel que lo permita, con una app antes que con SMS. Paso a paso de la pregunta 8.
El router que instaló el proveedor de internet, con la contraseña de fábrica y funciones que abren puertos sin que nadie lo apruebe. Es la puerta de la red donde están la caja y la computadora de la tienda.
Cómo pasarla a SI: cambiar la contraseña de administración del router, confirmar que el firewall está activo, apagar UPnP y la administración remota, borrar los reenvíos de puertos sin dueño, y activar el firewall de cada computadora. Paso a paso de la pregunta 2.
Para dimensionar: según Check Point Research, en noviembre de 2025 las organizaciones en Argentina recibieron en promedio 2.326 ataques por semana, 10 % más que un año antes (vía iProfesional, 27/01/2026). Y en el informe de Verizon de 2026, el 48 % de las brechas involucró a un tercero, un proveedor o socio (Verizon DBIR 2026).
Lo que ya pasó, con fecha y fuente
No encontramos un caso publicado de una tienda online chica argentina atacada; los que llegan a los diarios son cadenas y plataformas grandes. Los contamos por lo que enseñan, no porque tu tienda se parezca a ellas, y para cada uno decimos qué amparo hubiera respondido.
2 de diciembre de 2022 · cadena de electrodomésticos
Un ransomware frenó parte de las operaciones en plena temporada de fin de año. Usuarios reportaron demoras en las entregas y falta de comprobantes y facturación. El grupo Play publicó a Cetrogar en su sitio y dijo haber robado datos de empleados; eso es un dicho del atacante, la empresa no hizo declaraciones.
Qué hubiera respondido: el amparo B por las ventas y entregas perdidas después de las 12 horas, y el C por el forense y la recuperación; si se confirmaba la filtración, el A y el aviso a los afectados.
Fuentes: El Cronista, 06/12/2022; WeLiveSecurity (ESET), 15/12/2022.
7 de marzo de 2022 · plataforma
El grupo Lapsus$ accedió a parte del código fuente y a datos de unos 300.000 usuarios, de un total de casi 140 millones. La empresa dijo que no obtuvieron claves, saldos ni tarjetas.
La lección para una tienda: tu negocio depende de plataformas que también son blanco. Por eso conviene leer qué dice tu cotización sobre la caída del proveedor en la nube (en la nuestra quedó afuera por condición particular), y por eso tus propias cuentas en esas plataformas llevan segundo factor.
Fuente: Diario de Cuyo, 07/03/2022.
Noviembre de 2020 · supermercados
El caso completo está más arriba, en la base de clientes: $170.000 de esa multa fueron por no avisar.
Junio de 2024 · Estados Unidos y Canadá
El software de gestión que usan más de 15.000 concesionarias se apagó por un ransomware, con un segundo ataque durante la recuperación. La restauración completa llevó unas dos semanas, y algunos concesionarios volvieron al papel.
En tu tienda: es la plataforma o el medio de pago del que vive todo tu negocio. Es la cobertura que el condicionado general de Sancor contempla y que nuestra propia cotización deja afuera por condición particular: si tu tienda vive de una plataforma, pedila expresamente al cotizar.
Fuentes: Fox 6, junio de 2024; Ford Authority, julio de 2024.
Abril de 2025 · Reino Unido
Después de un ciberataque, la cadena frenó la venta online: las entregas a domicilio volvieron en junio y el retiro en tienda, en agosto. Su ganancia del primer semestre cayó a GBP 3,4 millones, contra GBP 391,1 millones un año antes, y un pago de seguro de GBP 100 millones amortiguó el golpe.
En tu tienda: la escala es otra, la lógica es la misma. El seguro no evitó el ataque; hizo que el golpe fuera soportable.
Fuente: The Record, 2025.
Más casos en casos reales de ciberataques. Y la pregunta que dejan: si esto le pasa a tu tienda un lunes de ofertas, quién te atiende el martes.
Pedido de cotización formal
No hay tarifa pública: el precio lo fija Sancor para cada comercio, con la facturación, la suma asegurada y las respuestas del formulario. Desde acá vas al Chequeo de ciberseguridad de la página principal, con tu actividad ya cargada.
SI o NO, las mismas del formulario de Sancor. Al lado de cada NO, qué es y cómo pasarlo a SI. El producto es para comercios que facturan hasta USD 5.000.000 por año, con sumas de USD 50.000 a USD 1.500.000.
Con eso armamos el pedido y se lo presentamos a Sancor. Si Suscripción pide más información, te la trasladamos, como nos pasó a nosotros con la pregunta de contraseñas.
Precio, deducible y alcance. Si la aceptás, comienza el proceso de emisión. Dato propio: a nosotros Sancor nos cotizó en 6 días, del 13 al 19/10/2026; es una referencia, no una promesa.
Pedir cotización: tienda online › Pedir cotización: comercio con local › Ver el seguro de ciberseguridad completo
Preguntas frecuentes
PCI DSS alcanza a todo el que almacena, procesa o transmite datos de tarjeta, y Mercado Pago se lo pide a los comercios y a los integradores, con niveles del 1 al 4 y escaneos trimestrales. Mercado Pago lo resume así: «la seguridad del proceso de pago es compartida». Qué te toca a vos depende de cómo está integrado el cobro en tu tienda: preguntale a tu proveedor de pagos en qué nivel estás. Si un incidente expone datos de tarjeta y no cumplías, las multas y gastos que exijan las compañías de tarjetas son el amparo D de la póliza.
Depende de lo que diga tu cotización, y conviene leerlo antes de contratar. El condicionado general de Sancor contempla la caída del proveedor en la nube con contrato escrito por un evento cibernético; en nuestra propia cotización, las condiciones particulares la dejan afuera, porque limitan la interrupción del negocio a la red propia del asegurado. Si para tu tienda es lo central, y en una tienda online lo es, pedila expresamente al cotizar y leé esa cláusula en tu cotización: la explicamos en la página de qué cubre. Cuando la caída es de tu propia red, el amparo B paga la utilidad bruta perdida y los gastos para seguir vendiendo, después de 12 horas de espera y hasta 180 días, menos el deducible (en nuestra cotización, USD 15.000 por evento).
La caída de una red social no la cubre el amparo B: el condicionado general de Sancor deja expresamente afuera de la definición de proveedor en la nube a Facebook, Instagram, LinkedIn, X (antes Twitter) y YouTube, y en nuestra propia cotización, además, la caída de cualquier proveedor quedó afuera. Si te roban la cuenta, el caso hay que leerlo, y no lo damos por cubierto de antemano. Lo que sí podés hacer hoy es activar el segundo factor en la cuenta y en el mail asociado, y no depender de un solo canal para vender.
Ese contracargo de todos los días no es un incidente en tu sistema, y la cotización no lo nombra: no lo damos por cubierto. Lo que cubre el amparo D es otra cosa: el reembolso de transacciones fraudulentas, la reemisión de tarjetas, las penalidades y el forense PCI que te exigen las compañías de tarjetas después de un incidente en tu tienda, cuando no cumplías PCI DSS. Y si la plata sale de tu cuenta porque te engañaron con un CBU cambiado, tampoco: es la exclusión 3.14.
Cubren cosas distintas. El seguro de comercio está pensado para el local: el contenido, la mercadería, el robo, el incendio y la responsabilidad civil del lugar. El seguro de ciberseguridad cubre lo digital: los datos, la tienda online, la caída por un ataque, la base de clientes y las multas PCI. El daño físico a la computadora o al posnet va por el seguro de tecnología. Para un comercio con local, pedí la cotización con la actividad «comercio».
No hay tarifa pública: Sancor fija el precio para cada comercio, según la facturación, la suma asegurada y las respuestas del formulario de 9 preguntas. Como referencia propia, a Farello (intermediación de seguros, facturación menor a USD 50.000) Sancor le cotizó el 19/10/2026 USD 553,19 al año sin IVA ni IIBB por USD 50.000 de suma asegurada, en 10 cuotas, sujeto a confirmar la política de contraseñas y todavía sin emitir. No es el precio de tu tienda: es una referencia con fecha y condiciones.
Hacé el Chequeo de ciberseguridad con tu actividad ya cargada. Lo que quede en NO te lo explicamos; el pedido viaja a Sancor como cotización formal. Te atiende una persona del equipo.