Los tipos más comunes de fraude en pagos online y cómo prevenirlos

A medida que crece el ecommerce, los delincuentes también siguen el rastro del dinero.

Los proveedores de pagos, los comercios y las plataformas de ecommerce se encuentran en una carrera constante contra los estafadores, que desarrollan métodos cada vez más sofisticados para engañar y defraudar.

Por ejemplo, los ataques con bots —que utilizan agentes automatizados para imitar comportamientos humanos maliciosos, y las granjas de clics, que emplean a grandes grupos de trabajadores mal remunerados con un efecto similar— permiten a los delincuentes escalar sus ataques. Para los comercios, esto puede sentirse como una partida interminable de “golpea al topo”.

Aun así, los comercios deben utilizar todos los recursos a su alcance para combatir el fraude en pagos. No hacerlo no solo puede generar pérdidas económicas, sino también dañar su reputación.

Como líder global en pagos, Checkout.com está comprometido con ayudar a los comercios a navegar un panorama de fraude en constante evolución. Por eso nos enorgullece patrocinar el curso Fraud Essentials del Merchant Risk Council (MRC), un recurso bajo demanda diseñado para dotar a las empresas de los conocimientos y herramientas necesarios para combatir el fraude de forma eficaz.

Curso gratuito para miembros del MRC. Inscríbete hoy en el curso Fraud Essentials. Patrocinado por Checkout.com.

Ahora que ya sabes cómo aceptar pagos online, también necesitas conocer los tipos más comunes de fraude en pagos y cómo prevenirlos.

‍

¿Qué es el fraude en pagos?

El fraude en pagos consiste en utilizar credenciales de pago de forma indebida para obtener dinero, bienes o servicios.

Puede incluir prácticas engañosas, como usar los datos de pago de otra persona o aprovechar políticas de reembolso para obtener beneficios económicos.

¿Qué tan grande es el problema del fraude en pagos online?

El fraude en pagos online es un problema importante para cualquiera que compre o venda por internet. Según la Autoridad Bancaria Europea, el fraude en pagos ascendió a 4.300 millones de euros en 2022. Y, según un informe reciente de Juniper Research, el fraude en pagos online superará los 362.000 millones de dólares a nivel global entre 2023 y 2028. El mismo informe prevé que solo en 2028 las pérdidas para los comercios alcanzarán los 91.000 millones de dólares.

Las transacciones sin tarjeta presente, como los pagos realizados online o por teléfono, están más expuestas al fraude que los pagos presenciales. ¿Por qué? Porque en el entorno online es más difícil saber si el cliente es legítimo o si se trata de un estafador utilizando datos robados.

Actividades fraudulentas como el robo de identidad, el phishing y la toma de control de cuentas son cada vez más complejas y difíciles de detectar, especialmente cuando los delincuentes consiguen acceder a cuentas reales de compradores.

Aunque el fraude en pagos puede darse de muchas formas, suele dirigirse a empresas, entidades financieras y consumidores que compran online. Los delincuentes pueden usar técnicas sofisticadas para robar datos de tarjetas, información bancaria, contraseñas y mucho más, aprovechando vulnerabilidades en las medidas de seguridad.

Un software sólido de detección de fraude puede ser de gran ayuda. Pero aun así, es importante entender cómo se manifiesta el fraude y qué formas puede adoptar. Veamos un resumen de los principales tipos de fraude en pagos.

Fraude de terceros: uso de datos de pago robados

Uno de los tipos más comunes de fraude en pagos consiste en robar los datos de pago de una persona para realizar compras en su nombre. Los delincuentes pueden hacerlo para adquirir productos de alta demanda, como dispositivos electrónicos o artículos de moda de alto valor, que luego pueden revender fácilmente.

Según la Autoridad Bancaria Europea, alrededor de dos tercios del fraude remoto con tarjetas se debe al robo de datos de tarjeta. En la primera mitad de 2023, este tipo de fraude representó el 64% del volumen de fraude con tarjeta iniciado de forma remota.

Existen varias formas de obtener esta información personal:

- Estafas de phishing: los estafadores utilizan correos electrónicos, mensajes de texto, llamadas telefónicas o mensajes en redes sociales para engañar a las personas y conseguir que compartan información personal o hagan clic en enlaces que instalan malware en sus dispositivos.

- Hackeo: un delincuente accede por la fuerza a una red o cuenta segura y roba información sensible.

- Ingeniería social: los estafadores se ganan la confianza de una persona y la convencen para que entregue información personal, ya sea por teléfono, en redes sociales o en persona.

- Skimming de tarjetas: un delincuente coloca un pequeño dispositivo en un lector de tarjetas para robar los datos de pago cuando se utiliza la tarjeta.

- Búsqueda en la basura: un actor malicioso puede revisar documentos desechados para encontrar información personal que le permita acceder a cuentas de compra o datos de pago.

- Compra en la dark web: quienes roban datos de tarjetas no siempre son quienes realizan las compras fraudulentas. Algunos delincuentes roban estos datos y luego los venden a otros en la dark web.

La pérdida para el cliente es evidente, pero ¿qué ocurre con las empresas? En primer lugar, probablemente tendrás que reembolsar la compra y asumir costes adicionales, como una comisión por contracargo. Si el estafador compró un producto físico, es poco probable que puedas recuperarlo, lo que supone otra pérdida material.

También podrías enfrentarte a sanciones económicas importantes por parte de las redes de tarjetas si tus niveles de contracargos y fraude superan ciertos límites.

Además, podrías sufrir daños reputacionales si el cliente te considera responsable de no haber protegido su información personal. En el mejor de los casos, esto puede disuadir a nuevos clientes o clientes recurrentes. En el peor, puede derivar en demandas y multas por incumplimiento normativo.

Cómo proteger tu negocio frente a pagos con tarjetas robadas

Si quieres rechazar pagos no autorizados, cuando un delincuente utiliza la tarjeta de una víctima sin que esta lo sepa, necesitas confirmar la identidad del cliente. Esto se conoce como autenticación y, en el Espacio Económico Europeo, es un requisito para todos los pagos sin tarjeta presente.

Estas son las formas más comunes de hacerlo:

- 3D Secure (3DS): un protocolo de seguridad desarrollado por EMVCo mediante el cual el comercio comparte de forma segura datos relacionados con el pago con el emisor. Esto incluye recopilar datos del método de pago y del dispositivo del cliente, y enviarlos al emisor para verificar si coinciden con la información que este tiene registrada.

- Autenticación de dos factores: el cliente debe completar un paso adicional para confirmar el pago, como introducir un código de seguridad de un solo uso recibido por SMS o iniciar sesión en su aplicación bancaria.

- Confirmación con un solo toque: si el cliente utiliza un dispositivo compatible, puede confirmar el pago fácilmente mediante biometría, como reconocimiento facial o huella dactilar. Un ejemplo sería Google Secure Payment Authentication.

- Card testing

El fraude de card testing consiste en realizar compras de bajo valor para comprobar si unos datos de tarjeta robados pueden utilizarse. Por tanto, es una forma de fraude de terceros: un delincuente utiliza datos de pago a los que no debería tener acceso.

Estos pagos pueden dar lugar a una autorización fraudulenta o a un rechazo. Ambos escenarios suponen un riesgo para tus ingresos, tu reputación y tus tasas de bloqueo por fraude. También podrías incurrir en contracargos y multas.

El card testing puede pasar desapercibido, ya que las transacciones de bajo importe son habituales en ciertos sectores, como los videojuegos móviles, la entrega de comida o los bienes digitales de bajo coste. Sin embargo, puede tener un impacto significativo en tu negocio, ya que los delincuentes utilizan bots y automatización para aumentar la escala de sus ataques.
‍

Ejemplo

Un pequeño comercio que vendía cursos digitales sufrió un ataque masivo en el que un bot compró un millón de cursos utilizando tarjetas de crédito robadas. El comercio recibió el dinero, pero pronto enfrentó graves problemas, ya que las transacciones eran fraudulentas. Los titulares legítimos detectaron los cargos en sus tarjetas y comenzaron a solicitar la devolución de los fondos a través de sus emisores.

El impacto del card testing en los comercios

Cada solicitud de contracargo conlleva una comisión para el comercio. Por eso, un ataque masivo puede volverse costoso muy rápidamente.

Además, una tasa elevada de pagos fraudulentos puede generar multas por parte de las marcas de tarjetas. Si sigues aceptando demasiados pagos fraudulentos, estas marcas podrían impedirte aceptar pagos en el futuro.

‍

Cómo prevenir el card testing

La mejor forma de prevenir el card testing es aplicar autenticación basada en riesgo. Esto puede implicar pedir al cliente que demuestre que realmente es quien está realizando el pago.

También puedes utilizar medidas de seguridad como las verificaciones AVS —Address Verification System— y CVV —Card Verification Value—.

Muchos estafadores que realizan card testing no tienen datos CVV válidos, por lo que exigir esta validación puede bloquear sus intentos. Las tarjetas robadas también suelen carecer de información completa sobre dirección y código postal. Los estafadores intentarán realizar transacciones con datos aleatorios o incompletos, lo que puede generar una discrepancia en la verificación AVS.

Sin embargo, una solicitud manual de autenticación suele añadir pasos al proceso de pago y puede generar frustración o abandono del carrito entre clientes legítimos.

Por eso, la forma de abordar el card testing dependerá del modelo de negocio y del sector de cada empresa.

Los sistemas de detección de fraude, que analizan la velocidad de las transacciones, inconsistencias geográficas y otras anomalías, pueden detener estos ataques y proteger al comercio frente a pérdidas económicas y daños reputacionales. También conviene considerar el valor medio de pedido y marcar transacciones que estén muy por debajo de ese umbral.

Tu proveedor de servicios de pago puede ayudarte a analizar tus pagos e implementar bloqueos basados en reglas, adaptados a tu negocio. Además, un PSP puede comprobar si las mismas credenciales de pago se están utilizando en otros puntos de su red y detectar automáticamente actividades sospechosas, como demasiadas transacciones en un mismo periodo o cambios de ubicación imposibles.

Toma de control de cuentas e ingeniería social

Otro tipo importante de fraude es la toma de control de cuentas, que afecta aproximadamente a uno de cada cuatro comercios online —un 26%—. Un delincuente puede crear o comprar malware que roba credenciales de inicio de sesión y engañar al usuario para que lo descargue en su dispositivo. Después, el delincuente puede acceder a la cuenta desde su propio dispositivo. Los sistemas de detección de fraude suelen identificar este tipo de actividad, ya que presenta un nuevo patrón de acceso: nuevo dispositivo, nueva dirección IP y comportamiento inusual de la cuenta.

Últimamente, las estafas de toma de control de cuentas —ATO— son cada vez más sofisticadas.

Si una cuenta valiosa resulta difícil de vulnerar mediante medios tecnológicos, los estafadores pueden recurrir a la presión psicológica para convencer a los titulares de transferir fondos o facilitar acceso mediante la divulgación de datos sensibles.

La ingeniería social se refiere a cualquier táctica de manipulación interpersonal utilizada para acceder a datos sensibles, como contraseñas o datos de pago. Puede incluir correos electrónicos, llamadas y sitios web falsificados que parecen legítimos, pero que en realidad han sido creados por ciberdelincuentes.

‍

Ejemplo

En Checkout.com hemos interceptado solicitudes fraudulentas para modificar los datos bancarios de comercios. Aplicamos un riguroso proceso de autenticación multifactor para proteger las cuentas de los comercios frente a cambios no autorizados en los datos de pago.

Un malware especializado puede enviar una notificación al estafador cuando inicias sesión en una de tus cuentas. Entonces, el delincuente toma el control de la sesión sin que el usuario se dé cuenta. Esto se conoce como “ataque de superposición remota”. El usuario puede ver una pantalla de carga o una página de error mientras el actor fraudulento realiza actividades delictivas, como transferir fondos a su propia cuenta.

Este tipo de ataque es más difícil de detectar para los sistemas antifraude, porque el inicio de sesión lo realizó el propio usuario, por lo que no parece sospechoso.

‍

Cómo combatir la toma de control de cuentas y la ingeniería social

Implementa métodos de autenticación robustos, como autenticación de dos factores o multifactor, para modificar datos de pago de clientes e información sensible de cuentas.

Limita el acceso a datos sensibles de clientes, tanto desde el punto de vista tecnológico como desde los permisos humanos.

Forma a tus empleados para identificar señales de intentos de toma de control de cuentas, como la creación de un sentido de urgencia para obtener acceso.

Establece un sistema de reporte para marcar correos, mensajes de texto y comunicaciones sospechosas ante el equipo de seguridad de la información de tu empresa.

Colabora con un PSP global, como Checkout.com, que pueda aprovechar su red internacional para detectar y prevenir el fraude utilizando insights de distintas regiones, industrias y emisores.

‍

Fraude asistido por la víctima

Este tipo de fraude ocurre cuando una persona es manipulada para autorizar una transacción sin darse cuenta de que está siendo estafada. Normalmente, el estafador utiliza tácticas psicológicas para engañar a la víctima y hacer que envíe un pago, es decir, ingeniería social. También puede conocerse como fraude de pago autorizado o Authorized Push Payment (APP), porque la víctima realiza un pago real.

Puede adoptar distintas formas, como estafas románticas, falsas oportunidades de inversión o la suplantación de una entidad de confianza, como un banco, una plataforma de pagos, una empresa de reparto u otro negocio legítimo.

Los comercios fintech deben estar especialmente atentos a las señales de este tipo de fraude, ya que los clientes pueden perder cantidades significativas de dinero. Aunque tu plataforma no siempre sea responsable de reembolsar los fondos perdidos, este tipo de fraude puede afectar la satisfacción del cliente y la reputación de tu marca. Por la misma razón, los comercios de ecommerce, las empresas de logística, las compañías de reparto y las plataformas de inversión deben asegurarse de que su estrategia antifraude ayude a prevenir el fraude asistido por la víctima.

‍

Cómo combatir el fraude asistido por la víctima

Supervisa cambios repentinos o materialmente inusuales en la actividad transaccional de los clientes.

Para pagos sospechosos, activa pasos adicionales en el flujo de pago, como confirmar el motivo de la transacción.

Educa a tus clientes sobre estafas actuales que conozcas y que involucren a tu marca. Puedes hacerlo mediante banners en tu web, emails y notificaciones en la app.

Comunica claramente los derechos de los clientes respecto a reembolsos o reversión de transacciones. Esto ayuda a que entiendan que, en la mayoría de los casos, los pagos autorizados no pueden recuperarse.

‍

Fraude de primera parte: cuando el cliente realiza una reclamación indebida

Cuando una persona utiliza sus propios datos personales para realizar una reclamación financiera fraudulenta, se conoce como fraude de primera parte.

Uno de los problemas más difíciles para los comercios que venden bienes o servicios online ocurre cuando un cliente afirma que merece recuperar su dinero por una compra legítima. Esto se conoce como “fraude amistoso”.

Es especialmente común en productos o servicios de suscripción, ya que los clientes pueden olvidar cancelar una suscripción después de un periodo de prueba y luego disputar el pago a través de su emisor.

El fraude por contracargo es un tipo de fraude amistoso y, por tanto, también una forma de fraude de primera parte. Ocurre cuando un consumidor disputa un cargo realizado con su tarjeta, lo que obliga al comercio a pagar una comisión para procesar la disputa y, potencialmente, devolver el valor de la compra al cliente.

Un cliente que comete fraude por contracargo puede afirmar falsamente que:

No autorizó una transacción, es decir, que un estafador debió haber usado su tarjeta.

Nunca recibió los bienes o servicios que pidió, aunque sí los haya recibido.

Pese a su nombre, el fraude amistoso debe tomarse muy en serio: el 39% de los comercios lo experimenta a nivel global. Si no cuentas con los protocolos adecuados, puede afectar seriamente la rentabilidad.

Como los contracargos a menudo se inician a partir de reclamaciones legítimas de clientes, el fraude por contracargo puede ser difícil de detectar y prevenir. En resumen, puede ser complicado demostrar que un cliente actúa de mala fe.

‍

El impacto del fraude amistoso en los comercios

Los contracargos pueden resultar costosos para los comercios, ya que pueden implicar pérdida de ingresos, comisiones por contracargo y mayores costes de procesamiento en el futuro. Según Mastercard, los comercios asumen más del 75% del impacto financiero de los contracargos.

Los clientes que cometen fraude por contracargo pueden alegar que sus datos de pago fueron utilizados de forma fraudulenta. Esto puede hacer que el pago se marque como fraudulento, una métrica importante que los comercios deben controlar. Las redes de tarjetas penalizan a los comercios con altos niveles de fraude mediante comisiones más altas y menores tasas de autorización.

‍

Cómo prevenir el fraude amistoso

La mejor forma de prevenir el fraude por contracargo es ofrecer canales de atención al cliente que permitan resolver disputas antes de que el cliente presente una reclamación oficial ante su emisor. Debes comunicar claramente tus políticas de reembolso y mantener procedimientos fiables para gestionar disputas de pago. También es importante documentar todas las transacciones e interacciones con clientes, especialmente conservando pruebas de autenticación del cliente, para poder usarlas como evidencia en caso de disputa.

También conviene exigir firmas al recibir productos, proporcionar información de seguimiento de envíos y comunicar claramente las políticas de devolución y reembolso.

Para clientes conocidos por haber cometido fraude amistoso, puedes añadirlos a una lista de rechazo en tu motor de riesgo para bloquear automáticamente futuros intentos de compra.

Puedes aprender a reducir los contracargos con las estrategias incluidas en el curso Fraud Essentials del MRC.

‍

Fraude postcompra: fraude de reembolso y fraude de devoluciones

Otro tipo de fraude de primera parte es el fraude de reembolso. También se conoce como abuso de políticas de reembolso y ocurre cuando un cliente explota una política de devolución para obtener un beneficio indebido. Es el tipo de fraude más común entre los comercios online a nivel global, afectando a casi la mitad de ellos (un 47%).

Por ejemplo, un cliente puede alegar que los bienes o servicios recibidos no se correspondían con la descripción o tenían algún defecto, y exigir un reembolso, aunque lo recibido estuviera en buenas condiciones.

Si no puedes demostrar que los bienes o servicios fueron entregados correctamente o que cumplían razonablemente con las expectativas del cliente, puede que tengas que emitir el reembolso.

El fraude de devoluciones es algo distinto: un cliente puede solicitar un reembolso y luego devolver una caja vacía o un artículo de menor valor que el comprado. El cliente recupera su dinero, pero conserva el producto que debía devolver. También puede usar el artículo y devolverlo dañado, algo especialmente común en el sector de la moda online, donde un cliente puede usar una prenda para un evento especial y luego devolverla al comercio. En consecuencia, el comercio puede perder tanto el valor de la transacción como, posiblemente, el valor del producto devuelto.

‍

Fraude en marketplaces

El fraude en marketplaces es un término amplio que engloba cualquier fraude cometido en un marketplace online, como Amazon, eBay o Etsy. Puede adoptar muchas formas, entre ellas:

Publicidad engañosa: cobrar por productos populares, como bolsos de diseñador o dispositivos electrónicos, que resultan ser falsos o simplemente nunca llegan.

Traspaso de cuentas: un estafador puede comprar una cuenta de vendedor existente con buena reputación y utilizarla para cometer fraudes.

Colusión: un comprador y un vendedor pueden colaborar para abusar del marketplace y obtener beneficios económicos o materiales.

Ejemplo

Por ejemplo, un estafador realiza una compra a un vendedor falso. Luego, el comprador reclama que su pedido nunca llegó y el vendedor desaparece. El comprador solicita un reembolso al marketplace, que lo concede en virtud de su política de protección al comprador.

El impacto del fraude en marketplaces para los comercios

Estas estafas pueden generar grandes problemas para los propietarios de marketplaces. Si un cliente reclama por una compra y el vendedor deja de responder, el marketplace puede verse obligado a reembolsar el importe para preservar la confianza del cliente y proteger la reputación de la plataforma.

Distintos tipos de comercios también pueden verse afectados por estas estafas. Por ejemplo, la reputación de tu marca puede verse dañada si un estafador suplanta tu identidad o se hace pasar por un revendedor legítimo de tus productos o servicios para engañar a tus clientes.

‍

Cómo prevenir el fraude en marketplaces

Dado el enorme volumen de transacciones que se producen cada día en los marketplaces, este tipo de fraude puede ser difícil de combatir. La mejor primera línea de defensa es aplicar criterios estrictos de onboarding para nuevos vendedores, incluyendo verificaciones de identidad exhaustivas, revisión de su historial, evaluación de su situación financiera y crediticia, así como del cumplimiento de cualquier normativa relevante.

También debes monitorizar las tasas de fraude por vendedor. De este modo, puedes asignar reglas de fraude más precisas y umbrales más estrictos a los vendedores de mayor riesgo, dificultando que participen en actividades fraudulentas. Un software de detección de fraude puede ayudarte a hacerlo.

Más información: ¿Qué es un merchant of record?

Beneficios de una estrategia de protección frente al fraude

- La protección contra el fraude es esencial para prevenir pérdidas económicas y daños reputacionales, así como para mantener seguros los datos de tus clientes.

- Reducir el riesgo de pérdidas económicas

- El fraude en pagos puede generar pérdidas significativas mediante contracargos, reembolsos o pérdida de productos. Además, existe el riesgo de multas y mayores costes de procesamiento si una proporción excesiva de tu volumen de pagos se marca como fraudulenta. Las herramientas de protección contra el fraude, como la detección de fraude y los métodos de autenticación, ayudan a las empresas a evitar estas pérdidas.

- Proteger los datos de los clientes

- Mantener seguros los datos de tus clientes no solo es importante para ganar su confianza y fidelidad, sino que también es un requisito regulatorio en muchos sectores y regiones. Tienes la responsabilidad de garantizar que tus sistemas de seguridad sean sólidos y de contar con herramientas de protección frente al fraude que reduzcan el riesgo de filtraciones de datos, robo de identidad y otros incidentes.

- Generar confianza y fidelidad

- El daño reputacional puede afectar seriamente tus ingresos. Aunque no sea la única razón para proteger los datos de los clientes, sí es una consideración clave. Cuanto más seguro sea comprar en tu plataforma, mayor será la confianza y fidelidad de tus clientes, y más protegida estará tu empresa frente a daños reputacionales. Implementar medidas avanzadas de protección contra el fraude hará que tu plataforma sea lo más segura posible para los consumidores, dándoles una razón menos para comprar en otro lugar.

- Mantener el cumplimiento normativo

- Ciertas regulaciones sectoriales y regionales exigen mantener un determinado nivel de seguridad de datos, bajo riesgo de multas y sanciones. A menudo, los delincuentes aprovechan debilidades en los sistemas para cometer fraude, lo que puede dejar al descubierto incumplimientos si se han tomado atajos. Una protección avanzada contra el fraude ayuda a cubrir todos los frentes de cumplimiento, garantizando que haces todo lo posible para proteger los datos de los clientes y tus activos financieros.

Prevén el fraude en pagos con Checkout.com

¿Necesitas ayuda para combatir el fraude? Fraud Detection Pro es una solución de nivel empresarial diseñada para abordar el fraude en pagos online, equilibrando el riesgo y maximizando los ingresos.

Fraud Detection Pro combina inteligencia artificial y reglas para prevenir el fraude. La IA actúa como primera línea de defensa, identificando patrones de comportamiento legítimo y fraudulento a partir de grandes volúmenes de datos. Checkout.com procesa miles de millones de transacciones a nivel global e incorpora múltiples señales en cada transacción, como datos de email, dispositivo e IP.

Aunque la IA es muy valiosa para reconocer patrones, no es una solución infalible. Tiene puntos ciegos, como la identificación de casos límite o la respuesta ante tipos de fraude que no ha encontrado antes. Ahí es donde entran las reglas. Hay escenarios en los que necesitas bloquear, aceptar o enviar una transacción a verificación adicional, y las reglas te dan el control granular necesario para hacerlo.

Además, durante un ataque de fraude en tiempo real, debes actuar rápido para minimizar el impacto en tu negocio, y las reglas son la herramienta ideal para este tipo de situaciones.

Fraud Detection Pro cuenta con un motor de reglas altamente personalizable, con el que puedes crear reglas a partir de una amplia variedad de tipos y propiedades, incluyendo tus propios datos y puntuaciones de machine learning. Los segmentos personalizados te permiten aplicar estrategias de riesgo específicas a distintos grupos según su perfil, como nuevos clientes o productos de alto riesgo.

Fraud Detection Pro te ofrece potentes herramientas de analítica, reporting y testing antifraude para maximizar el rendimiento y evolucionar continuamente tu estrategia, manteniéndote siempre un paso por delante del fraude.

‍