Ataques de suplantación de tarjetas: cómo funcionan y cómo prevención

La comprobación de tarjetas es una táctica de fraude en los pagos que utilizan los ciberdelincuentes para validar los datos de tarjetas robadas o sintéticas y determinar cuáles siguen activas y son utilizables.

El fraude con tarjetas sigue siendo una realidad porque la oferta de datos comprometidos sigue siendo enorme y se renueva constantemente. Solo el año pasado, se pusieron a la venta 142 millones de registros de tarjetas robadas en los mercados de la dark web. Aunque el volumen total de filtraciones disminuyó en comparación con 2024, el fraude con tarjetas no ha disminuido. De hecho, se ha vuelto aún más eficaz. Los atacantes recurren ahora a conjuntos de datos más reducidos y de mayor calidad, obtenidos mediante malware de robo de información y operaciones de skimming digital.

El Identity Theft Resource Center ha registrado 3.322 filtraciones de datos solo en Estados Unidos, que han afectado a más de 278 millones de víctimas. Para los comerciantes, las consecuencias son evidentes: el 33 % afirma haber sufrido ataques de pruebas con tarjetas, que a menudo conllevan comisiones, riesgos de devoluciones y dificultades operativas.

Esta guía explica detalladamente todo lo que necesitas saber sobre los ataques de «card testing», incluyendo cómo funcionan y cómo prevención de forma eficaz.

¿Qué es el fraude en las pruebas de tarjetas?

El fraude mediante pruebas de tarjetas (también conocido comúnmente como «carding», «card cracking» o «validación de tarjetas») es una técnica sistemática de fraude en los pagos que utilizan los ciberdelincuentes para confirmar si los datos de tarjetas de crédito o débito robados, generados o parcialmente conocidos siguen activos, están autorizados para su uso y disponen de saldo disponible.

En lugar de realizar inmediatamente compras de gran cuantía, que conllevan un mayor riesgo de ser detectadas y bloqueadas al instante, los atacantes inician una serie de solicitudes de autorización de bajo valor o incluso de cero dólares. Las autorizaciones exitosas indican que la tarjeta está activa y lista para ser utilizada con fines fraudulentos. Los intentos fallidos ayudan a descartar las tarjetas no válidas o canceladas. Esto les permite refinar el conjunto de datos utilizables para su reventa o para cometer nuevos fraudes.

Cómo funcionan los ataques de suplantación de tarjetas

En esencia, las pruebas de tarjetas se aprovechan del entorno de «tarjeta no presente» (CNP) de los pagos en línea, las aplicaciones móviles, los formularios de donación y los servicios de suscripción. Dado que estas transacciones no requieren la tarjeta física, los estafadores pueden automatizar el proceso a gran escala utilizando bots, scripts o plataformas especializadas de «pruebas de tarjetas como servicio». Una sola campaña puede implicar miles de intentos por minuto en múltiples sitios web de comerciantes.

Este es el proceso habitual de comprobación de tarjetas en cuatro pasos:

Paso 1: Obtención: Los estafadores obtienen los datos de las tarjetas a través de diversos canales, entre los que se incluyen filtraciones de datos a gran escala, phishing e ingeniería social, malware y programas de robo de información, skimming o ataques de apropiación de cuentas.

Paso 2: Validación: Las herramientas automatizadas envían microtransacciones o pruebas de autorización para comprobar elementos clave como:

1. Si se acepta la combinación de número de tarjeta, fecha de caducidad y código CVV.
2. Si se superan las comprobaciones del Sistema de Verificación de Direcciones (AVS) (o si es posible saltárselas).
3. Crédito disponible o límites de gasto.

Paso 3: Monetización: Las tarjetas «activas» confirmadas se utilizan para realizar compras fraudulentas de mayor valor en el mismo sitio web o en otros, se convierten en tarjetas regalo o instrumentos de prepago, o se venden con un margen de beneficio en mercados negros.

Paso 4: Escalada: En muchos casos, las pruebas sirven como puerta de entrada a ataques de mayor envergadura, como realizar una serie de compras de gran valor a través de cuentas comprometidas o combinarlas con otros vectores de fraude.

El fraude con tarjetas pasa deliberadamente desapercibido. Los pequeños cargos suelen pasar desapercibidos para los titulares de las tarjetas (que pueden considerarlos simples comisiones o suscripciones de poca importancia), y muchas de las reglas tradicionales de detección de fraudes están diseñadas para señalar patrones de gasto inusualmente elevados o sospechosos, en lugar de los micrintentos de alta velocidad.

Señales de alerta de actividades de pruebas con tarjetas

Las señales de pruebas de tarjetas que se indican a continuación se han agrupado en función de lo que revelan. Así es como se manifiestan en la práctica y cómo deben configurarse las herramientas de monitorización para detectarlas.

Señales de fraude con tarjetas a nivel de transacción

• Picos repentinos en las microtransacciones. Un fuerte aumento de las autorizaciones de entre 0,50 y 5 dólares, o solicitudes de autorización por valor de cero dólares que se producen en rápida sucesión. Los clientes legítimos rara vez realizan microcompras repetidas en un intervalo de tiempo tan breve.
• Tasas de rechazo anómalas. Un aumento inusual de los rechazos, especialmente los relacionados con números de tarjeta no válidos, credenciales caducadas, errores en la verificación de la dirección (AVS) o discrepancias en el código CVV, constituye un indicador clave. Los atacantes prueban grandes lotes de datos sustraídos, muchos de los cuales ya están cancelados o se conocen parcialmente, lo que genera, por naturaleza, una elevada proporción de rechazos respecto a las aprobaciones.
• Un volumen de autorizaciones que supera las ventas reales. Una brecha cada vez mayor entre las solicitudes de autorización y las compras realizadas, especialmente durante las horas de menor actividad o en períodos en los que no hay tráfico ni campañas correspondientes.

Señales de identidad y de origen

• Varias tarjetas de un mismo emisor. Se han intentado números de tarjeta diferentes desde la misma dirección IP, huella digital del dispositivo o firma del navegador. Un cliente legítimo no suele alternar entre numerosas tarjetas en un mismo dispositivo, lo que convierte a este en uno de los indicadores más claros de pruebas por lotes.
• Datos de clientes sospechosos o incoherentes. Direcciones de correo electrónico genéricas o desechables, información de facturación que no coincide con los registros del emisor de la tarjeta y discrepancias entre las direcciones de facturación y de envío. Presta especial atención a los intentos repetidos que comparten el mismo rango de números de identificación bancaria (NIB), lo que constituye un claro indicio de que las tarjetas proceden de la misma filtración o conjunto de datos.
• Anomalías geográficas. Transacciones procedentes de regiones ajenas a su base de clientes habitual, o de direcciones IP asociadas a redes VPN o servidores proxy. El volumen procedente de estas fuentes que no se corresponda con ningún segmento de clientes reconocible debe ser objeto de una revisión inmediata.

Señales conductuales

• Velocidad de transacción excesiva. Docenas de intentos por minuto desde una misma dirección IP, dirección de correo electrónico o dispositivo, muy por encima de cualquier umbral que pueda explicarse por el comportamiento normal de un usuario. Los picos de velocidad son especialmente significativos en el ámbito de las microtransacciones, donde las reglas básicas de detección de fraudes, diseñadas para compras de gran cuantía, a menudo no se activan.
• Intentos repetidos con ligeras variaciones. Los estafadores vuelven a intentarlo sistemáticamente con pequeños cambios, probando diferentes valores del CVV, fechas de caducidad o campos de dirección, mientras mantienen constante el número principal de la tarjeta. Los grupos de intentos casi idénticos son un indicio claro de que se trata de herramientas de prueba automatizadas.
• Anomalías en los patrones de comportamiento. Las herramientas de análisis de comportamiento pueden detectar patrones de interacción no humanos, como velocidades de escritura anormalmente constantes, ausencia de movimientos del ratón o cumplimentación de formularios a una velocidad superior a la que podría alcanzar cualquier persona. Estas señales complementan los datos de las transacciones y son cada vez más habituales en los sistemas modernos de detección de fraudes.

Cómo se relacionan estas señales

Una oleada de intentos de pago con importes bajos procedentes de una única dirección IP, que genera un elevado número de rechazos con fallos repetidos en el sistema AVS y rangos de BIN compartidos, rara vez es una coincidencia. Cada uno de estos indicios por sí solo podría justificar un análisis más detallado. En conjunto, constituyen un indicador casi seguro de que se está llevando a cabo una campaña activa de pruebas con tarjetas.

La detección temprana depende de herramientas que analicen patrones relacionados —y no solo transacciones individuales— a través de datos de IP, dispositivos, correo electrónico y comportamiento en tiempo real. La mayoría de las plataformas modernas contra el fraude detectan estas combinaciones automáticamente. Esto permite a los comerciantes tomar medidas antes de que una prueba de sondeo derive en un fraude de alto valor o Contracargos.

Cómo prevención el fraude en las pruebas prevención

Los controles básicos de AVS, la aplicación de CVV, 3DS y los límites de velocidad son requisitos imprescindibles. Lo que marca la diferencia hoy en día es cómo se utilizan las señales de detección de tarjetas fraudulentas antes de que el ataque se materialice, y con qué grado de deliberación se aumenta el coste de los intentos de suplantación sin que ello afecte a las tasas de aprobación de los clientes legítimos.

Aquí tienes algunas recomendaciones:

Considerar la actividad de comprobación de tarjetas como información de inteligencia preliminar

Las pruebas con tarjetas son una forma de reconocimiento. Una serie de fallos en las microautorizaciones procedentes de rangos de BIN vinculados y huellas de dispositivos compartidas es una señal de lo que se avecina. Los mismos atacantes, con tarjetas validadas, vuelven a realizar compras de mayor cuantía en cuestión de horas o días. Introduce esas señales directamente en tu motor de riesgo como reglas de supresión temporal para endurecer los umbrales del rango de BIN, el grupo de direcciones IP o la cohorte de dispositivos de los probadores antes de que se produzca el ataque posterior.

Para ello se necesitan datos sobre las transacciones rechazadas que se puedan consultar casi en tiempo real, y no agrupados en un informe matutino. En el caso de los equipos para los que la transmisión en tiempo real de registros completos de transacciones resulta demasiado costosa, un flujo secundario que contenga únicamente metadatos —y que registre la IP, el BIN y la marca de tiempo— ofrece la misma capacidad de detección a una fracción del coste de infraestructura.

Los flujos de datos del Indicador de Tipo de Cliente (CTI) que realizan un seguimiento de las campañas de pruebas de tarjetas pueden proporcionar indicadores horas antes de que se produzca una oleada. Sin embargo, su utilidad depende totalmente de la rapidez con la que tu equipo pueda convertir un indicador en una regla activa. Una integración que requiera un ticket y un ciclo de implementación no resulta útil.

Limita la información que los atacantes pueden obtener de tus respuestas

Cada respuesta de rechazo supone información de retroalimentación. Los mensajes genéricos que no permiten distinguir entre un CVV no válido, una tarjeta caducada o un error de AVS obligan a los atacantes a realizar más intentos para evaluar la calidad de sus propios datos. Esa resistencia se acentúa a gran escala.

Considera la posibilidad de combinar esto con una latencia aleatoria en las sesiones sospechosas. Los scripts de prueba están optimizados para la velocidad. Un retraso de dos o cuatro segundos en las sesiones marcadas como sospechosas reduce el rendimiento sin afectar a los usuarios legítimos. Utiliza pruebas de seguridad progresivas activadas específicamente por señales de velocidad o de vinculación, en lugar de un CAPTCHA generalizado, que reduce la tasa de conversión de forma indiscriminada.

Cubre primero las zonas de mayor riesgo

Los procesos de pago para invitados, los formularios de donación y los flujos de tarjetas de ahorro son objeto de ataques de forma desproporcionada, ya que no requieren un contexto de cuenta y generan señales de autorización claras. Estos puntos de acceso requieren sus propios conjuntos de reglas. Establece reglas como límites de velocidad más estrictos, aplica la validación de sesión y realiza auditorías periódicas cuando tus patrones de respuesta revelen involuntariamente la diferencia entre autorizaciones correctas y fallidas. Esto ocurre con frecuencia.

Abordar el problema de los falsos positivos de forma explícita

Las medidas de defensa agresivas bloquean transacciones legítimas. Una regla que bloquee un rango de BIN sometido a pruebas activas también bloqueará a los titulares legítimos de tarjetas de ese emisor. La supresión temporizada con caducidad automática puede gestionar el aspecto de las reglas. Sin embargo, tu equipo de atención al cliente también necesita la autoridad para incluir en la lista blanca a un usuario verificado en tiempo real, sin pasar por el mismo motor de reglas que lo ha marcado. Si no se dispone de esa capacidad, cualquier ataque de envergadura se convierte en un problema de retención de clientes.

La biometría conductual puede minimizar el problema de los falsos positivos al distinguir las sesiones humanas de las automatizadas sin depender de datos de tarjetas o de identidad. No elimina los falsos positivos, por lo que el proceso de escalado sigue siendo importante en cualquier caso. Realiza un seguimiento de la tasa de falsos positivos como una métrica prioritaria, junto con las tasas de rechazo.

Mide lo que realmente importa

Hay cuatro indicadores que revelan si las defensas están funcionando:

• Índice de autorizaciones de venta. Un aumento de este índice indica que el volumen de pruebas está creciendo en relación con las compras reales, independientemente de cuántas se bloqueen.
• Comisiones por transacciones rechazadas. Los procesadores cobran entre 0,05 y 0,15 dólares por cada transacción rechazada. Un ataque de 50 000 intentos, incluso si se bloquea por completo, puede generar más de 5000 dólares en comisiones antes de que se produzca ningún fraude. Bloquear las sesiones antes de que lleguen a la pasarela es una cuestión tanto financiera como de prevención del fraude.
• Repercusión de la conversión en los segmentos de bajo riesgo. Si las tasas de fraude disminuyen al mismo tiempo que la conversión legítima, el resultado neto no es positivo.
• Tiempo transcurrido desde la primera señal hasta la aplicación de la regla. Si se mide en horas, siempre estarás respondiendo al ataque de ayer.

La brecha organizativa que merece la pena destacar

La gestión de las pruebas de tarjetas abarca el fraude, la ingeniería y las operaciones de pago, y normalmente ninguna de estas áreas asume la responsabilidad total. Los programas que responden con mayor rapidez cuentan con un único responsable y un manual de actuación preaprobado para los patrones de ataque más comunes. No es necesario que sea sofisticado. Lo importante es que exista y que se pueda poner en práctica bajo presión, sin necesidad de alcanzar un consenso entre equipos durante una campaña en curso.

Herramientas de detección y prevención de fraudes con tarjetas

El marco anterior (consulta de señales en tiempo real, supresión de preautorizaciones, gestión de falsos positivos y claridad en la responsabilidad) describe cómo se traduce en la práctica un sistema de defensa maduro. La cuestión más difícil es decidir qué desarrollar internamente y en qué casos las herramientas externas amplían de forma significativa tus capacidades.

La mayoría de los equipos tienen dificultades porque sus sistemas no logran vincular las señales con la rapidez suficiente, actuar sin retrasos debidos a la falta de coordinación o resolver los falsos positivos de forma clara. Cualquier herramienta que merezca la pena evaluar debe analizarse teniendo en cuenta estas tres limitaciones.

Un enfoque que se ajusta a este modelo es «Chargeflow prevención». Es útil precisar en qué aspectos encaja y en cuáles no:

1) Eliminación de los cuellos de botella en la coordinación de los flujos de trabajo de respuesta

En muchas organizaciones, responder a las pruebas de tarjetas implica una serie de pasos: el departamento de prevención del fraude detecta un patrón, el departamento de ingeniería aplica una regla y el departamento de operaciones supervisa el impacto. Ese retraso, que a menudo se mide en horas, es precisamente donde las campañas de pruebas logran su objetivo.

Un punto de toma de decisiones que ejecuta acciones como cancelar, verificar o aprobar en tiempo real elimina esa dependencia. En lugar de tener que pasar el asunto de un equipo a otro, las reglas se aplican de inmediato a nivel de transacción. El resultado práctico es una reducción del tiempo de respuesta, que es lo único que puede interrumpir de forma fiable las pruebas en curso.

2) Vinculación de señales de identidad entre distintos comercios

La mayoría de las plataformas internas tratan señales como la IP, la huella digital del dispositivo, el correo electrónico y los datos de la tarjeta como datos independientes que se evalúan por transacción. Esto funciona en casos de fraude aislado, pero no cuando hay actores coordinados que reutilizan la misma infraestructura en varios comercios.

Los sistemas a nivel de red intentan resolver esto vinculando estas señales en un gráfico de identidad compartido. En este modelo, es posible reconocer un dispositivo o un patrón de comportamiento asociado a un uso fraudulento en otro lugar antes de que se complete una transacción, incluso si la tarjeta en sí es nueva en su sistema.

Lo importante aquí no es el tamaño de la red, sino la transferibilidad de las señales de riesgo. Se trata de hasta qué punto el comportamiento observado en un entorno permite predecir con fiabilidad los abusos en otro, y de la rapidez con la que se aplica esa información.

3) Resolver el dilema de los falsos positivos sin intervención manual

Bloquear de forma agresiva es fácil. Recuperar a los clientes legítimos no lo es.

La mayoría de los equipos se limitan a la detección y dejan la resolución en manos del servicio de atención al cliente (lo que da lugar a revisiones manuales, colas de tickets y retrasos en las intervenciones). Esto no es escalable durante un ataque en curso.

Un modelo más eficaz introduce una fase de verificación estructurada en el punto de fricción. Cuando se detecta una transacción sospechosa, el comprador confirma su titularidad mediante un proceso sencillo vinculado al contexto del titular de la tarjeta. Si se diseña correctamente, esto:

• Garantiza la conversión para los usuarios legítimos
• Genera registros de auditoría verificables para casos de litigio
• Elimina la necesidad de anular manualmente las reglas

La diferencia fundamental, además de reducir los falsos positivos, es crear una vía de resolución que funcione a la misma velocidad que el motor de reglas.

Casos en los que este enfoque no es aplicable

Las pruebas de tarjetas suelen comenzar en una fase previa, en la etapa de sondaje. Los bots envían intentos de autorización antes de que se complete ninguna compra. Es aquí donde se acumulan las comisiones por rechazo y donde los atacantes aprenden de las respuestas de la pasarela de pago.

Los controles en este punto de contacto, como la limitación de velocidad, el bloqueo a nivel de sesión, la ofuscación de respuestas y la inyección de latencia, deben implementarse en la pasarela o en el perímetro. Ningún sistema posterior a la autorización puede prevención que prevención solicitudes lleguen a tu procesador.

Esto permite una clara separación de responsabilidades:

• Preautorización: bloquear y reducir los intentos de prueba antes de que lleguen a la pasarela
• Postautorización: evaluar, vincular y actuar sobre las transacciones que superan los controles iniciales

Chargeflow prevención funciona según el segundo enfoque. Resulta eficaz en ese contexto, pero no sustituye la necesidad de reforzar la primera interfaz.

Cómo evaluar en la práctica

Una evaluación significativa de las herramientas de prevención de fraudes con tarjetas no se basa en el número de transacciones bloqueadas. Todo se reduce a dos preguntas:

• ¿El sistema pone de manifiesto elementos recurrentes o comportamientos relacionados que tu pila actual no recoge?
• ¿Es posible reducir los falsos positivos en los pedidos legítimos sin aumentar la carga de trabajo que supone la revisión manual?

Si la respuesta a ambas preguntas es «sí», la herramienta está cubriendo una necesidad real. Si no es así, no es más que otro panel de control.

Reflexiones finales sobre los ataques de prueba de tarjetas

Las pruebas de tarjetas son un problema operativo que obedece a una lógica económica sencilla: los atacantes siguen probando hasta que el coste de las pruebas supera el beneficio. La mayoría de los comerciantes facilitan demasiado este cálculo a los estafadores. ¿Por qué? El hecho de tener puntos de acceso abiertos, notificaciones específicas de rechazo, ciclos de respuesta lentos y una falta de intercambio de información hace que el coste de las pruebas sea prácticamente nulo hasta que el daño ya está hecho.

Los programas que gestionan esto correctamente hacen dos cosas bien. Son más rápidos y actúan con mayor cautela. Consideran la primera señal como el ataque, y no la devolución de cargo que se produce semanas después. Esto significa que han resuelto la ambigüedad organizativa antes de que un incidente plantee la cuestión. Además, han aceptado que el problema de los falsos positivos es tan real como el del fraude, y se han diseñado para hacer frente a ambos.

Las pruebas de tarjetas seguirán evolucionando. Los datos procedentes de programas de robo de información, la enumeración IA y las plataformas de «pruebas como servicio» reducen las barreras para los atacantes más rápido de lo que se actualizan la mayoría de los controles internos. La ventaja defensiva, por tanto, radica en la velocidad a la que tu sistema aprende y responde en comparación con la velocidad a la que se adaptan los atacantes.

Si esta guía te ayuda a reducir las deficiencias en el ciclo posterior a la autorización, habrá cumplido su función. Consigue prevención Chargeflow prevención .