Fraude con tarjetas robadas en tu tienda online: señales y qué revisar antes de enviar

Pedido de un cliente nuevo, importe alto, envío urgente a una dirección que no es la de facturación. Pagado con tarjeta, sin incidencias. Lo preparas, sale, y a las pocas semanas llega un contracargo: el titular de la tarjeta no reconoce la compra. Has perdido el producto, el dinero, los portes y, encima, pagas la comisión del contracargo.

El fraude con tarjetas robadas no se ve en el momento del pago, porque el pago funciona. Se ve en los detalles del pedido, y por eso la revisión tiene que hacerse antes de enviar, que es el último momento en que todavía puedes no perder nada.

Cómo funciona este fraude

• Datos robados. Los números de tarjeta salen de filtraciones, de phishing o de skimmers instalados en el checkout de otras tiendas, y se venden en lotes.
• Pruebas de tarjetas. Antes de usarlas, el defraudador comprueba cuáles funcionan con pagos pequeños y repetidos en tiendas con poca protección. Si ves decenas de intentos fallidos de importes bajos en poco tiempo, te están usando como banco de pruebas.
• Compra de productos fáciles de revender. Electrónica, perfumes, tarjetas regalo, recambios caros, ropa de marca. Lo que se convierte rápido en dinero.
• Envío a una dirección de paso. Puntos de recogida, consignas o personas que reenvían el paquete.

Qué te cubre 3D Secure y qué no

Desde la directiva europea de servicios de pago (PSD2), los pagos con tarjeta en Europa exigen autenticación reforzada del titular, que en las tiendas online se hace con 3D Secure: el banco del cliente le pide confirmar en su app o con un código. Cuando un pago se ha autenticado así, la responsabilidad por un contracargo de fraude pasa en general al banco emisor de la tarjeta, no a ti.

Pero hay matices importantes:

• Las exenciones. La pasarela puede pedir que un pago no pase por la autenticación (importes bajos, análisis de riesgo). Es más cómodo para el cliente, pero si ese pago resulta fraudulento, la responsabilidad suele volver a ti.
• Solo cubre el fraude. Un contracargo por «producto no recibido» o «no es lo que se describía» no se gana con 3D Secure, sino con pruebas de entrega y de lo que vendiste.
• No cubre al titular que miente. Si el propio titular compra y luego dice que no fue él, 3D Secure es tu mejor prueba, pero tendrás que presentarla.

Las señales que delatan un pedido fraudulento

Ninguna señal por separado demuestra nada: un cliente legítimo puede regalar algo a otra ciudad. Lo que cuenta es la acumulación.

La rutina antes de enviar

1. Fija un umbral. Por encima de cierto importe, o con dos o más señales de la tabla, el pedido no sale sin que alguien lo mire.
2. Mira el pago en el panel de la pasarela: que exista, que el importe coincida y si se autenticó con 3D Secure.
3. Busca al cliente en tus pedidos anteriores por email, teléfono y dirección.
4. Llama al teléfono del pedido. Una llamada breve para confirmar la entrega resuelve muchas dudas: el cliente legítimo contesta y lo agradece.
5. Si sigues dudando, reembolsa en lugar de enviar. Un reembolso antes de enviar te cuesta poco; un contracargo después del envío te cuesta el producto, el dinero y la comisión.
6. No cambies la dirección de un pedido sospechoso después del pago. Si el cliente insiste, cancela y que vuelva a comprar.

Cuando te usan para probar tarjetas

Una oleada de pagos pequeños fallidos no te cuesta producto, pero sí comisiones, puede hacer que tu pasarela te revise la cuenta y mancha tus estadísticas. Las medidas que funcionan son limitar intentos de pago por cliente y por conexión, activar las reglas antifraude que ofrezca tu pasarela y filtrar el tráfico automatizado antes de que llegue al checkout.

Y el fraude que viene de dentro de tu tienda

Hay otro fraude que no tiene que ver con el cliente: que alguien haya modificado tu módulo de pago para cobrar en su cuenta, o haya metido un skimmer en tu checkout para robar las tarjetas de tus clientes. Las dos cosas necesitan escribir en tu servidor, y la vía de entrada más común son los módulos sin actualizar y las contraseñas de acceso robadas. Mantener PrestaShop, PHP y los módulos al día no es un trámite: es la diferencia entre ser víctima del fraude o su herramienta.

Checklist

• Umbral de revisión manual por importe y por número de señales.
• 3D Secure activo, y exenciones revisadas para importes altos.
• Comprobación en el panel de la pasarela antes de enviar los pedidos marcados.
• Llamada de confirmación en caso de duda.
• Reembolso preventivo antes que envío dudoso.
• Límite de intentos de pago y reglas antifraude de la pasarela activadas.

Cómo resolverlo en PrestaShop

Ninguno de estos dos módulos puntúa el riesgo de un cliente: eso lo hacen las reglas de tu pasarela y tu rutina de revisión. Lo que sí hacen es cubrir el fraude que entra por tu propia tienda. RKR Order Guard comprueba el número de operación de cada pedido según la pasarela, avisa en la ficha del pedido —donde está quien va a enviarlo— cuando un cobro no parece legítimo y vigila la huella de los ficheros de tus módulos de pago; además evita que una notificación doble te deje dos pedidos y dos cobros. RKR Security Alert te avisa por Telegram de entradas al back-office desde IP nuevas, de cambios en las pasarelas de pago y en los empleados, y escanea los ficheros en busca de skimmers y puertas traseras.