Qué es el fraude mediante pruebas de tarjetas (card testing)

El card testing, o fraude por pruebas de tarjetas, es una técnica en la que los ciberdelincuentes usan el formulario de pago de un negocio para comprobar qué números de tarjeta robados siguen activos, antes de usarlos para comprar en serio o venderlos en foros clandestinos. No buscan comprar tu producto: usan tu checkout como una herramienta gratuita para validar tarjetas.

Para hacerlo, lanzan cientos o miles de intentos de pago automatizados con bots, normalmente de importes muy bajos (a veces de 0€ o 1€), en un espacio de minutos. Las tarjetas que consiguen pasar la autorización quedan marcadas como "válidas" y se usan después para fraudes mayores, mientras que tu negocio se queda con una lista de intentos fallidos, algunos cargos de comisión y, en el peor de los casos, alguna venta real hecha con una tarjeta robada.

Cómo saber si estás sufriendo un ataque de card testing

Las señales más habituales son:

• Un pico repentino de transacciones pequeñas, muchas de ellas rechazadas, concentradas en pocos minutos.
• Múltiples intentos con tarjetas distintas desde la misma IP o el mismo dispositivo, algo que un cliente real casi nunca hace.
• Una subida notable de la tasa de rechazo en tu panel de pagos, sin que haya cambiado nada en tu web.
• Avisos del proveedor de pagos sobre actividad sospechosa o un aumento repentino del volumen de transacciones fallidas.
• Compras de importe mínimo o simbólico, poco habituales para tu tipo de producto o servicio.

Si detectas varias de estas señales a la vez, es muy probable que tu checkout esté siendo usado, en ese momento, para validar tarjetas robadas.

Por qué el card testing afecta a tu negocio aunque no compres nada de valor

Aunque los intentos sean de importes pequeños o queden rechazados, este tipo de fraude tiene un coste real:

• Comisiones por cada intento, ya que muchos proveedores de pago cobran una pequeña tarifa por cada transacción procesada, se apruebe o no.
• Riesgo de que tu cuenta de pagos quede marcada como de alto riesgo, si tu ratio de transacciones fallidas o fraudulentas se dispara.
• Datos de analítica contaminados, con picos de tráfico y "ventas" que no son reales y que distorsionan tus métricas.
• Posibles chargebacks posteriores, si alguno de los intentos consigue completarse con una tarjeta robada y el titular legítimo lo reclama más adelante.

Cómo detectar y frenar el card testing en tu negocio

1. Aplica límites de velocidad (velocity checks)

Establece un número máximo de intentos de pago permitidos desde una misma IP, dispositivo o tarjeta en un periodo corto de tiempo. Es la medida más efectiva contra los ataques automatizados, porque rompe directamente la economía del ataque: si un bot solo puede probar unas pocas tarjetas por minuto, deja de ser rentable para el atacante.

2. Activa la verificación 3D Secure

Este protocolo añade una capa de confirmación por parte del banco emisor (por ejemplo, un código enviado al móvil del titular) que la mayoría de los bots de card testing no pueden superar. Además de bloquear el fraude, traslada la responsabilidad de una posible disputa al banco emisor en muchos casos.

3. Trata los desajustes de CVV y dirección como bloqueo, no como aviso

Si el código de seguridad (CVV) o la dirección de facturación no coinciden, lo más seguro es rechazar directamente el pago en lugar de dejarlo pasar con una simple advertencia interna.

4. Limita o desactiva las autorizaciones de importe cero o mínimo

Los intentos de 0€ o de un importe simbólico son una de las herramientas favoritas para validar tarjetas sin levantar sospechas. Si tu negocio no necesita este tipo de operación, plantéate bloquearla directamente.

5. Añade fricción solo cuando hay señales de riesgo

Un CAPTCHA o una verificación extra en cada compra puede espantar a clientes reales. Lo más eficaz es aplicar esa fricción de forma dinámica: solo cuando se detecta un patrón sospechoso (muchos intentos seguidos, importes atípicos, dispositivos repetidos), manteniendo el checkout ágil para el resto de compradores.

6. Revisa tu panel de transacciones con regularidad

Cuanto antes detectes un pico anómalo de intentos fallidos, antes podrás bloquear la fuente del ataque y evitar que derive en fraude real o en chargebacks semanas después.

Cómo ayuda Nuc Pay a proteger tus cobros

Con Nuc Pay, cada transacción queda registrada y vinculada a su factura de forma automática, lo que facilita detectar rápidamente patrones extraños, como una acumulación de intentos fallidos o importes atípicos que no encajan con tu actividad habitual. Tener toda la información de cobros centralizada en un mismo sistema, en lugar de repartida entre varias herramientas, es el primer paso para poder reaccionar a tiempo ante este tipo de fraude.

Preguntas frecuentes

¿El card testing solo afecta a tiendas online grandes?
No. Cualquier negocio con un formulario de pago accesible públicamente, incluidas pymes y autónomos con tienda online o enlace de pago, puede ser objetivo, porque los bots atacan de forma automatizada y masiva, sin elegir negocio por tamaño.

¿Puedo recuperar el dinero de las transacciones fraudulentas que sí se completaron?
Es complicado. Si una tarjeta robada se usó para comprar de verdad, lo habitual es que el titular legítimo acabe reclamando un chargeback cuando detecte el cargo, y el negocio pierde tanto el importe como la comisión asociada a la disputa.

¿La verificación 3D Secure ralentiza el proceso de compra para clientes reales?
Añade un paso adicional, pero suele ser rápido (un código o una confirmación en la app del banco) y, aplicado de forma inteligente, tiene un impacto mínimo en la conversión comparado con el coste de sufrir fraude.

¿Cómo sé si el pico de ventas que veo es real o es un ataque de card testing?
La pista más clara es la proporción de rechazos: un pico de ventas real suele tener una tasa de aprobación normal, mientras que un ataque de card testing genera un porcentaje muy alto de transacciones rechazadas en muy poco tiempo.

‍