Fraude en las transacciones con tarjeta física: definición y cómo prevención

Nothing beats that crisp cha-ching or the happy ding of a successful card tap. It's the sound of sales closing, inventory turning over, and your business gaining real momentum.

Pero no todas las transacciones aprobadas generan los beneficios esperados. El mismo terminal puede aprobar sin problemas una transacción fraudulenta: una tarjeta robada que se pasa por el lector en cuestión de segundos, un chip clonado a partir de una copia ilegal o un pago sin contacto procesado a toda prisa. Todo parece legítimo hasta que la devolución del cargo aparece en tu panel de control.

This hidden threat is known as card-present transaction fraud. It's the persistent risk in face-to-face payments. Despite EMV chips and contactless technology reducing counterfeit fraud by up to 87% in mature markets, fraudsters adapt. Lost or stolen cards, shimming attacks, and low-value tap exploits...Card-present fraud accounts for $6, 10 billion in annual losses.

This article examines everything you must know about card-present fraud. We'll take you behind the counter to show you precisely how these heists work today and how to ensure your next approved transaction stays in your bank account. Card-present fraud is a distinct category of payment fraud that differs from online-only schemes.

¿Qué es el fraude con tarjeta presente (CP)?

El fraude con tarjeta presente (CP) es un tipo de fraude en pagos presenciales no autorizados en el que un delincuente utiliza físicamente una credencial robada, falsificada o clonada (tarjeta EMV,stripe o pago mediante cartera digital NFC) para realizar una compra fraudulenta en tu terminal de punto de venta que, en tiempo real, parece legítima.

This is often referred to as a "proximity attack" because the fraud requires close physical access to the terminal. Here are the key characteristics of card-present fraud:

• The card (or token in a digital wallet) is "presented" in person through a swipe, insert (chip), tap (contactless/NFC), or even manual key entry in rare cases.
• La autorización se produce en tiempo real, a menudo acompañada de un pitido o un sonido, lo que hace que la transacción parezca legítima.
• Contracargos aparecer semanas más tarde, cuando el delincuente ya se ha esfumado con los bienes o servicios.

El fraude con tarjetas de crédito se diferencia del fraude con tarjetas en general (especialmente del fraude a distancia, sin presencia física de la tarjeta) por su carácter físico y presencial.

Cómo funcionan las transacciones con tarjeta física

Una transacción CP estándar sigue estos pasos:

1. Un cliente realiza el pago en caja introduciendo una tarjeta con chip, acercando una tarjeta, un teléfono o un reloj sin contacto, pasando la stripe magnética o entregando la tarjeta para que se introduzca manualmente.
2. El terminal de punto de venta lee los datos.  
   
   • Para tarjetas con chip o sin contacto: se generan datos dinámicos cifrados (código de un solo uso).
   • Para el pago con tarjeta (algo poco habitual hoy en día debido a los avances tecnológicos): el sistema lee stripe magnética.
3. El terminal envía las solicitudes de autorización de pago solicitudes los datos correspondientes a tu adquirente o procesador, quien, a su vez, remite dicha información a la red de la tarjeta (Visa, Mastercard, Amex o Discover) y, posteriormente, al emisor de la tarjeta o al banco.
4. El emisor aprueba o rechaza la transacción tras comprobar los fondos, las normas contra el fraude y (en el caso de las tarjetas con chip) validar el criptograma, y la respuesta se recibe en cuestión de segundos.
5. La transacción se completa con la impresión de un recibo, la entrega de la mercancía y la liquidación del pago posteriormente (lo ideal es entre 1 y 3 días).

El fraude en las transacciones con tarjeta presente se aprovecha de la necesidad de una velocidad óptima y un proceso de pago fluido en las transacciones presenciales.

Los estafadores utilizan tarjetas perdidas o robadas y realizan transacciones sin contacto y sin PIN que se completan en cuestión de segundos, prácticamente sin riesgo inmediato. Los comerciantes se enfrentan al dilema entre la comodidad y la seguridad. Cualquier verificación adicional que pudiera impedir estos ataques ralentizaría el proceso para todos los clientes legítimos y perjudicaría la experiencia rápida y fluida que impulsa las ventas en tienda.

Tipos habituales de fraude en transacciones con tarjeta física

Fraudsters have largely abandoned full card cloning. EMV's dynamic codes make it extremely difficult and rarely worth the effort anymore. Instead, they prefer low-effort, high-speed opportunism that preys on the very fabrics of a truly effortless checkout. Scaling brands are increasingly targeted by technical bypasses and social engineering designed to trick both the terminal and the human behind the counter. Here are the most common card-present fraud patterns worth noting:

1) Ataques de interposición y de retroceso

Aunque los lectores de tarjetas (que leen las bandas magnéticas) están prácticamente en extinción en el comercio minorista actual, los Shimmers son la nueva tendencia.

A shim is a paper-thin, microscopic device inserted into your terminal's chip slot. It doesn't steal the magnetic stripe. It intercepts the communication between your POS and the EMV chip.

The goal? To trigger a technical error. When the chip fails to read because of the shimmer, the criminal waits for your staff to say, "The chip isn't working, let's try swiping it." The moment that card is swiped, the liability shift flips, and you, the merchant, becomes 100% responsible for the fraudulent transaction.

2) Relé NFC y «ghost tapping»

Esta es, quizá, la amenaza más sofisticada a la que se enfrentan las salas de exposición con gran afluencia de público y los eventos temporales.

Mediante herramientas como NFCGate, un estafador transmite una señal desde una tarjeta legítima que se encuentra en otro lugar (por ejemplo, en el bolsillo de alguien que está en una cafetería cercana) a un teléfono conectado a tu caja registradora.

The scammer then taps their phone (Apple/Google Pay), and the transaction is approved. To your system, it looks like a high-security mobile wallet tap. In reality, the person standing in front of you doesn't own the credentials. They are essentially mules beaming someone else's card into your store.

3) Introducción manual obligatoria

This is the low-tech version of card-present fraud. But don't be carried away by the mundane nature; it still costs scaling brands millions. It exploits human kindness and speed.

For social engineering CP frauds, the scammer presents a card they have intentionally damaged (scratched chip). They may even play the "damsel in distress" role, claiming they are in a rush or that this happens "all the time."

They convince your employee to manually key in the 16-digit card number and CVV on the terminal. The moment they do this, it's game over! Manually keyed transactions are processed as card-not-present (CNP) on a physical device, stripping away almost all your legal defenses during a dispute.

4) Uso indebido por parte del propio titular

Para muchos Chargeflow , la mayor amenaza son sus propios clientes.

First-party misuse happens in card-present transactions. The customer visits your store, buys a high-value item, and then turns around two weeks later to dispute the transaction. Because the customer was physically in-store, they assume your evidence, often just a thermal receipt or signature, won't suffice in proving legitimate authorization.

In these cases, your strongest defense isn't the receipt. It's the data: EMV authentication records, POS logs, device verification, SKU-level proof of delivery, and any digital-physical linkage that ties the transaction to the cardholder.

Fraude con tarjeta presente frente a fraude sin tarjeta presente: diferencias clave

For many brands, the line between 'online' and 'in-store' is blurring due to the rise of Unified Commerce. Inventory, payment data, and customer identities are integrated into a single ecosystem to support hybrid behaviors, such as Buy Online, Pick In-store (BOPIS) and showrooming.

Sin embargo, las redes de pago siguen clasificando las transacciones por canal. Las transacciones con tarjeta presente y sin tarjeta presente se rigen por diferentes modelos de riesgo, normas de responsabilidad y marcos de resolución de disputas.

Mientras que los comerciantes ven un único recorrido del cliente, las redes perciben dos entornos de riesgo distintos.

Comprender la brecha estructural y cómo se gestionan los fraudes CP y CNP es fundamental para los comerciantes que operan en distintos canales.

La varianza fundamental

En esencia, la diferencia entre el fraude con tarjeta presente y el fraude sin tarjeta presente radica en la presencia física del titular.

• En los entornos de fraude CNP, la prueba de la legitimidad de una transacción consiste en un conjunto de señales digitales. Entre ellas se incluyen la dirección IP, el CVV, el 3DS, etc.
• En CP, la autenticación consiste en un protocolo de seguridad físico entre un chip EMV y tu dispositivo.

El cambio de responsabilidad

The single most important concept for modern payment collection is who pays when things go wrong. The "Liability Shift" is a rule set by the card networks that determines which party is financially responsible for a fraudulent transaction.

• In the CP world, if you have an EMV-compliant terminal and a customer "dips" a stolen chip card, the bank or card issuer absorbs the loss. The exception to this rule is if you allow a "Fullback Swipe" (sliding the magnetic stripe because the chip failed) or a manual entry was used. You effectively waive your protection.
• En el contexto del CNP, usted, como comerciante, es responsable por defecto de los fraudes en línea. La excepción se da si implementa 3DS o utiliza determinados protocolos de monedero digital.

Cómo se produce el fraude con tarjeta física en el punto de venta

Here's what most merchants miss: the $8,000 fraudulent transaction that lands on your account didn't start at the register. It started with your training materials.

Every time you tell your staff to "create a frictionless experience" or "never let technical difficulties stand in the way of a sale," you're teaching them to bypass the security measures designed to protect you. You're inadvertently training them to ignore red flags.

Fraudsters understand this better than most business owners. They don't dress like criminals or act suspiciously. They present themselves as your ideal customer, so you don't suspect a thing.

Señales de alerta de fraude con tarjetas físicas para comerciantes

Señales de alerta en el comportamiento

Forma a tu personal para que detecte cuándo se omiten o se aceleran los procedimientos habituales de pago. Estas son las señales de alerta más comunes que indican un posible fraude en las transacciones con tarjeta física:

• Urgencia de eludir la verificación: insistir en pasar la tarjeta o introducir los datos manualmente inmediatamente después de que falle el chip.
• Compras rápidas de bajo importe: múltiples pagos sin contacto por debajo de los límites de verificación, a menudo en varios establecimientos.
• Cambio inmediato tras un rechazo: cambiar de tarjeta, solicitar el pago manual o utilizar tarjetas regalo en lugar de seguir los protocolos habituales en caso de rechazo.
• Intentos de controlar el proceso de pago: crear distracciones, acelerar el proceso o desalentar la verificación.

Indicadores físicos de la tarjeta

A veces, el riesgo está INTEGRADA la propia tarjeta. Estos son los indicadores físicos más comunes del fraude en transacciones con tarjeta física:

• Zona del chip rayada o dañada que parece intencionada.
• Cards that appear old or worn despite being "newly issued."
• Solicita que se omita la inserción del chip y se utilice la lectura magnética en su lugar.
• Indicios de manipulación o firmas que no coinciden.
• The customer presents a premium, heavy-metal card. But when chipped or tapped, your POS screen shows "DEBIT" or "PREPAID" instead of "CREDIT."

Remember, card-present transaction fraud seeks to exploit your culture, not necessarily your technology. That's why it mostly succeeds. When your team operates under the belief that friction equals poor service, fraudsters weaponize that assumption. They know you've trained your staff to find workarounds when chips fail or systems lag.

El impacto empresarial del fraude con tarjetas físicas

There's a reason most merchants don't worry much about card-present transaction fraud. The customer is standing right there with a physical card. What could go wrong?

Resulta que son muchos. Los daños van mucho más allá de la propia transacción.

Just like CNP fraud, card-present fraud doesn't cost you the transaction value. It costs you:

• El producto que se escapó
• Una comisión por devolución cuando el titular de la tarjeta reclama el reembolso
• Entre 8 y 12 horas de trabajo del personal dedicadas a investigar y rebatir la devolución
• El margen de las ventas legítimas que necesitas para recuperar la pérdida

Pero eso no es todo.

Los gastos accesorios incluyen:

• Las interrupciones en el funcionamiento, ya que el personal cuestiona las transacciones, alargan el tiempo de pago, frustran a los clientes legítimos y minan la moral.
• Consecuencias para el inventario: los sistemas registran ingresos que nunca llegaron a tu balance, se activan pedidos automáticos basados en una demanda ficticia y la previsión general de la demanda pierde fiabilidad.
• Daño a la imagen de marca como consecuencia de las deficiencias de las herramientas de detección de fraudes incorporadas en el proceso de pago.
• Las limitaciones estratégicas y financieras que surgen cuando los procesadores comienzan a reforzar su posición mediante el aumento de las reservas, normas más estrictas y retrasos en la liquidación.

When you do the math, you'll quickly realize why every $1 fraud costs you at least $4.61.

Dificultades para detectar y prevenir el fraude en el pago por uso

Spotting and stopping CP fraud at the POS can be a headache for merchants. The core problem is that you're trying to secure transactions that are built to happen lightning fast.

As indicated earlier, it's a classic Cash-22. Any extra stop risks killing the customer experience you work hard to deliver. But add too few controls? Fraudsters exploit gaps.

Estos son cuatro de los principales obstáculos a la hora de detectar y prevenir el fraude en el seguro de responsabilidad civil:

El tira y afloja entre velocidad y seguridad

Transaction approvals are supposed to happen in seconds. That's the point of modern payments. And so, inserting meaningful checks, such as requesting ID or velocity flags, can create lines, annoy customers, and impact conversions.

Los estafadores no dejan de evolucionar

Aunque la clonación de tarjetas ya no es tan frecuente como antes, gracias al estándar EMV, la pérdida o el robo de tarjetas sigue siendo un problema. Un artículo de Forbes informaba de que el año pasado se robaron al menos 14 millones de tarjetas de crédito, y que un millón de números de tarjetas se vendían gratuitamente en la dark web.

Card-present transaction frauds, such as shimming and no-PIN contactless exploits under limits, persist because they're quick and low-risk. A thief taps before the owner reports it.

La rotación de personal acaba con la coherencia

El sector minorista tiene una alta rotación de personal. Los nuevos empleados suelen pasar por alto señales sutiles de fraude debido a que la formación se ve reducida. Un solo turno mal gestionado puede dar pie a un fraude excesivo en el crédito a clientes.

Fraudsters look for these gaps. They hit during rushes. They target new employees and understaffed locations. They're timing your security.

The Insider Threat You Can't Tech Your Way Out of

Some card-present fraud doesn't come from outside. Employees process fake returns. They keep customer card details, disable security prompts, or help suspicious transactions go through.

Because these transactions are processed by authorized users, they look completely legitimate to your system. You can monitor for anomalies, but that's not enough to eliminate the problem. You need fundamental trust to run a retail operation.

Now that you know how card-present fraud unfolds at the point of sale, the question is: How do you put practical, low-friction defenses in place to protect your revenue without turning every customer interaction into a security checkpoint? Let's examine that:

Buenas prácticas para la prevención del fraude con tarjetas físicas

La buena noticia es que, combinando unos sencillos ajustes tecnológicos, los hábitos del personal y unas políticas inteligentes, puedes evitar la mayor parte del fraude en las transacciones con tarjeta física. Y puedes hacerlo sin que el proceso de pago se ralentice y manteniendo a los clientes satisfechos.

Here's a proven, merchant-first playbook that focuses on high-impact actions with minimal disruption:

1) Establecer el pago con tarjeta y el pago sin contacto como opción predeterminada

Gently guide customers toward inserting the chip or tapping NFC instead of swiping. Where and if the terminal allows, disable or discourage mag-stripe fallback. Why? It's slower, less secure, and often triggers liability shifts under EMV rules.

De todos modos, el pago sin contacto agiliza el paso por caja. Además, utiliza tokenización y códigos dinámicos, lo que dificulta mucho más el robo de datos.

2) Establecer rutinas de formación del personal

Organiza sesiones breves y periódicas centradas en los indicios reales de fraude en el pago con tarjeta. Asegúrate de que todo el mundo sepa distinguir entre un cliente que realmente está pasando por un mal día y un estafador que intenta manipular el proceso.

Además, enseña formas educadas de solicitudes un documento de identidad solicitudes en transacciones de mayor valor o de riesgo, e incluye las inspecciones diarias de los terminales en las rutinas de apertura y cierre, si procede. Esto te ayudará a detectar dispositivos de clonación o skimmers en los lectores o ranuras.

Los equipos de venta al por menor con alta rotación de personal obtienen mejores resultados cuando la formación es breve, visual y se repite con frecuencia.

3) Refuerza el hardware de tu punto de venta

Utiliza terminales con sistema de seguridad antimanipulación que avisen en caso de que se abran o se vean comprometidos. Desactiva stripe magnética, salvo en caso de intervención manual por parte del responsable. Obligar a pasar la tarjeta por el mismo terminal que rechazó el chip es la técnica de fraude más habitual, y los chips que sufren daños legítimos son lo suficientemente infrecuentes como para tratarlos como excepciones.

Most importantly, force PIN entry above your contactless limit. If your region allows $100 tap-to-pay, and you've noticed CP fraudsters exploiting this, set your threshold at $50. This inconvenience of entering a PIN is minor compared to the cost of not requiring one.

4) Mejorar la verificación de clientes y la supervisión de señales de alerta

For suspicious or high-value transactions, require full authorization on every transaction. Consider deploying Code 10 calls. If something feels off, quietly call the processor/issuer for a "Code 10" authorization request. This alerts the issuer discreetly without tipping off the customers.

Comprueba si las tarjetas coinciden y presta atención a patrones como los intentos repetidos, las compras de gran cuantía de artículos propensos al fraude o el uso forzado de métodos alternativos.

5) Implementar las defensas emergentes siempre que sea posible

En configuraciones híbridas (por ejemplo, BOPIS), intégralas con herramientas de CNP como Chargeflow prevención, si procede, y minimiza el riesgo de la transacción antes de la entrega en tienda.

This structured approach keeps losses down without sacrificing sales velocity. In the next section, we'll cover how to respond when something does slip through.

Cómo deben actuar los comerciantes ante los casos de fraude con tarjeta física

When a transaction feels off, the goal should be to move the transaction back into a safe harbor or terminate it without a scene. Here's the modern 3-phase protocol for scaling brands:

Fase 1: Respuesta inmediata

The moment a red flag appears, your staff should switch to "system-blame."

The script: "I'm so sorry, the terminal is giving me a security handshake error. Our system won't let me bypass this for a transaction of this size."

Why this works: It removes the personal element that scammers manipulate. The staff member isn't accusing the customer. The mean machine is just doing its job. And guess what, this prevents the aggressive distraction tactic fraudsters use to pressure staff.

Próximos pasos:

• Inicie discretamente una autorización de Código 10.
• solicitudes amablemente un documento de identidad solicitudes , si la política lo permite (compara discretamente el nombre, la foto y la firma).
• If red flags escalate or the customer becomes aggressive, prioritize de-escalation. Involve a manager/security, decline politely ("This didn't go through, perhaps try another card?"). But never override a decline.

Fase 2: Pivote terminal

If you suspect a device-level attack (like a Relay Attack or Shimming), don't just keep trying on the same register. Politely ask the customer to move to a different register: "Let's try this terminal. Register 1 has been acting up with NFC taps all morning."

Por qué es fundamental: si el retraso o el error desaparece en el Registro 2, es probable que haya un fallo de hardware en el Registro 1. Si el error persiste, el problema está en la credencial, no en el hardware.

Fase 3: Medidas de seguridad y recuperación tras el incidente

En los casos en que se haya aprobado una transacción sospechosa, tal vez porque el estafador haya logrado burlar el sistema mediante técnicas de ingeniería social, es necesario contar con medidas de seguridad. Marca inmediatamente la transacción como sospechosa. La mayoría de los sistemas modernos permiten añadir notas internas.

Medidas inmediatas:

• Anota el ID de la transacción en tu sistema de punto de venta con notas internas: p. ej.,el cliente alegó que el chip de su tarjeta de crédito estaba dañado; insistió en introducir los datos manualmente. El personal observó un comportamiento apresurado y se vio obligado a recurrir a un procedimiento alternativo.
• Registra la hora exacta o el pitido de aprobación, junto con las notas del personal sobre sus observaciones.
• Recopila y graba un vídeo de entre 15 y 30 segundos de la cámara de la tienda (si está disponible y es legal) en el que se vea la interacción y la presentación de la tarjeta.
• Comprueba si el terminal ha sido manipulado (prueba de movimiento, comprueba si hay adhesivos o cámaras) e informa al procesador.

This allows you to pull a 15-second video clip later when the chargeback lands. If none of these are applicable, and the chargeback is the only rude awakening to the card fraud, that's where Chargeflow comes in. Chargeflow helps merchants recover chargebacks on autopilot. And you only pay upon success.

Si tu negocio cuenta con un componente online, incorporar Chargeflow imprescindible. Convierte los posibles incidentes en transacciones con tarjeta física en disputas recuperables, a menudo con tasas de recuperación cuatro veces superiores.

Tendencias en el fraude con tarjetas físicas y amenazas emergentes

The fraud landscape is becoming more active by the day. According to the Kansas City Payments Research Systems Briefing, "the U.S. payments industry migrated to EMV chip-card technology in 2015 to mitigate card-present fraud. Since then, however, payment card fraud has continued to climb."

Las tasas de CP en EE. UU. siguen siendo más altas que en regiones como Australia (1,0 puntos básicos) o el EEE (0,7 puntos básicos), en parte debido a una adopción más lenta de la tecnología EMV y sin contacto en algunos segmentos.

A continuación se enumeran algunas amenazas emergentes que conviene tener en cuenta:

Ataques de retransmisión NFC

La amenaza es poco frecuente, pero real. Un estafador puede utilizar equipos especializados para retransmitir una señal NFC desde el teléfono de la víctima a tu terminal. La transacción parece totalmente legítima. El monedero móvil cifrado supera todos los controles de seguridad sin problemas.

Por qué es importante: cuando el titular real de la tarjeta disputas cargo, no dispones de pruebas físicas de quién pasó la tarjeta por tu caja registradora. La complejidad técnica que requiere hace que esto sea relativamente poco habitual.

A qué hay que prestar atención: transacciones sin contacto que se procesan con una lentitud inusual (un retraso de entre 2 y 5 segundos) o clientes que parecen desconectados de su dispositivo de pago.

Estafa BORIS: la versión de las tarjetas regalo

Buy Online, Return In-Store has evolved. Fraudsters now specifically target gift card returns because they're untraceable and easily converted to cash on secondary markets.

El modus operandi: el delincuente compra artículos de gran valor por Internet con una tarjeta robada, elige la opción de recogida en tienda y, a continuación, se dirige inmediatamente a otro establecimiento para devolver los artículos. El estafador alega que ha perdido el recibo y presiona al personal para que le entregue una tarjeta regalo genérica en lugar de realizar el reembolso al método de pago original.

Las consecuencias: tú asumes el coste de la devolución de la compra original, pierdes el stock y entregas una tarjeta regalo que se vende a cambio de criptomonedas en cuestión de horas.

¿Qué lo impide?: Combina la actualización de la política con Chargeflow prevención para que IA filtrar a este tipo de estafadores de su sistema. Forme a su personal para que remita a un superior cualquier devolución sin prueba del pago original.

Dispositivos de skimming con Bluetooth

Los dispositivos de lectura de tarjetas modernos son más pequeños, más sofisticados y más difíciles de detectar. Se colocan dentro del lector de tarjetas y transmiten los datos robados de forma inalámbrica; así, el delincuente no tiene que volver para recuperar nada físicamente.

Es posible que no te des cuenta hasta que veas una serie de Contracargos fraudulentos Contracargos tarjetas que se han utilizado en una terminal concreta. Para entonces, ya se habrá visto afectada la seguridad de decenas de clientes.

Como ya hemos señalado anteriormente, la inspección física periódica de los terminales ayuda prevención . Actúa con rapidez para investigar las causas subyacentes tan pronto como detectes varias denuncias de fraude relacionadas con el mismo terminal.