Trabajo para una organización minorista con una gran presencia de comercio electrónico. Permitimos que nuestros clientes almacenen información de CC para un fácil check-out, como muchos minoristas.
Actualmente, eliminamos toda la información de CC almacenada en los restablecimientos de contraseña de una persona. Hay una solicitud de uno de nuestros socios comerciales para cambiar esto y retener la información de CC a través del restablecimiento de PW. Para aclarar, cuando se restablece el PW, se envía un correo electrónico a la dirección de correo electrónico principal del usuario con un enlace para restablecer la contraseña.
La justificación para retenerlo fue que es un inconveniente hoy, y estamos viendo ventas perdidas debido a que los consumidores no vuelven a ingresar su información de CC; en particular, nuestras tarjetas de marca compartida y de tienda.
Si hubiera un usuario malintencionado que tuviera acceso a las credenciales de nuestro sitio web, ese usuario simplemente iniciaría sesión como objetivo en lugar de restablecer la contraseña. Si el usuario tiene acceso a la dirección de correo electrónico en el archivo para completar la funcionalidad de restablecimiento de la contraseña, asumimos que es realmente esa persona y no alguien que trata maliciosamente de restablecer la contraseña, por lo tanto, la solicitud de conservar la información de CC.
Me pregunto si esto tiene algún tipo de implicación de PCI que podría llevarnos al agua caliente.
Entiendo el razonamiento, pero quiero asegurarme de que estamos haciendo lo correcto.