# Protégete de las pruebas de tarjetas Obtén más información sobre esta actividad fraudulenta y cómo protegerte de ella. La prueba de tarjetas es un tipo de actividad fraudulenta que consiste en tratar de determinar si los datos de una tarjeta robada son válidos para hacer compras. Un estafador podría comprar datos de tarjetas de crédito robadas y luego intentar validarla o hacer compras con esas tarjetas para determinar cuáles siguen siendo válidas. Otros términos comunes para la prueba de tarjetas son «carding», «prueba de cuentas», «enumeración» y «comprobación de tarjetas». Las actividades fraudulentas, como la prueba de tarjetas, son parte inevitable del comercio en línea. Sin embargo, las consecuencias de la prueba de tarjetas repercuten en todo el ecosistema de pago, así que los comerciantes, las redes de tarjetas y Stripe comparten la responsabilidad a la hora de prevenir esta actividad. En Stripe, tratamos constantemente de mejorar nuestras herramientas y sistemas para detectar y disminuir el fraude, pero debes estar siempre atento. ## Cómo funciona la prueba de tarjetas Quienes prueban tarjetas usan tanto la configuración de la tarjeta como los pagos para determinar si los datos de la tarjeta robada o enumerada que tienen son válidos o no. Con el fin de validar rápidamente muchos números de tarjetas, los estafadores utilizan scripts para probar una gran cantidad de información de tarjetas a la vez y recopilar respuestas de 3DS o del emisor para validar qué datos de tarjeta son válidos. Una vez que identifican las tarjetas válidas, pueden usarlas en los comercios o revender las tarjetas confirmadas en la dark web. - **Configuración de la tarjeta**: este es un método preferido por los estafadores porque la validación y las autorizaciones de la tarjeta durante la configuración de la tarjeta normalmente no aparecen en los extractos bancarios de los titulares de tarjeta. Esto reduce la probabilidad de que los titulares noten y denuncien la actividad fraudulenta. - **Pagos**: las personas que prueban tarjetas crean pagos por montos pequeños, que es menos probable que los titulares de tarjeta detecten y denuncien como fraudulentos. ## Consecuencias de la prueba de tarjetas La prueba de tarjetas tiene muchos resultados negativos y algunos se agravan con el tiempo si las pruebas continúan: - **Disputas**: muchos tipos de pruebas de tarjetas implican pagos, algunos de los cuales se efectúan correctamente. Los clientes detectan los pagos realizados correctamente y los denuncian por fraude, lo cual se traduce en [alertas preventivas de fraude](https://docs.stripe.com/disputes/measuring.md#early-fraud-warnings) o incluso a [disputas por fraude](https://docs.stripe.com/disputes.md) que te cuestan tiempo y dinero. - **Tasas de rechazo más altas**: la prueba de tarjetas asocia una gran cantidad de pagos rechazados a tu empresa. Una tasa de rechazo elevada podría perjudicar la reputación de tu empresa ante los emisores de tarjetas y las redes de tarjeta y, por ende, todas tus transacciones parecerán más riesgosas. Esto puede provocar una mayor tasa de rechazo para los pagos legítimos, incluso después de que hayan cesado las pruebas de tarjetas. - **Comisiones adicionales**: las pruebas de tarjetas pueden generar comisiones adicionales, como las comisiones por autorización para los planes de tarifas personalizadas y las comisiones por disputas. - **Saturación de la infraestructura**: las pruebas de tarjetas suelen generar muchas solicitudes y operaciones en la red. Este tráfico adicional puede sobrecargar tu infraestructura e interferir en la actividad legítima. - **Deterioro del ecosistema**: la prueba de tarjetas afecta negativamente a todo el sistema financiero, de manera que tanto Stripe como nuestros socios financieros queremos ayudarte a detenerlas. Una gran cantidad de pruebas de tarjetas que dan como resultado alertas preventivas de fraude o disputas pueden, por ejemplo, reclutarte en [programas de monitoreo de tarjetas](https://docs.stripe.com/disputes/monitoring-programs.md). - **Reducción de la calidad de los datos para que tu empresa funcione**: los ingresos por pruebas de tarjetas pueden parecer buenos clientes nuevos en tus datos, por lo que te resultará difícil tener una visión clara del crecimiento real de tu negocio. ## Lista de verificación de pruebas de tarjetas activa Si estos estafadores han tenido acceso a tu integración, te recomendamos que tomes las siguientes medidas de inmediato: - [Identificar](https://docs.stripe.com/disputes/prevention/card-testing.md#identify-card-testing) la actividad de prueba de tarjetas. - [Reembolsar](https://docs.stripe.com/refunds.md) pagos fraudulentos para evitar disputas. - [Usa una integración recomendada por Stripe](https://docs.stripe.com/disputes/prevention/card-testing.md#optimize-integration) o agrega [medidas de mitigación](https://docs.stripe.com/disputes/prevention/card-testing.md#control-implementation) para suprimir la prueba de tarjetas. - Controla tu integración para asegurarte de que las medidas de mitigación sean eficaces. ## Identificar las pruebas de tarjetas Puedes identificar la mayor parte de la actividad de prueba de tarjetas por un aumento significativo en las autorizaciones y los pagos fallidos. La mayoría de los ataques son obvios en tu Dashboard de Stripe. Los síntomas más comunes a los que hay que prestar atención son los siguientes: - **Aumento repentino en los pagos rechazados o bloqueados.** Puedes ver las tendencias en [la página de inicio del Dashboard](https://dashboard.stripe.com/dashboard), en la vista de lista de [transacciones](https://dashboard.stripe.com/payments) y puedes examinar los motivos de bloqueo en la página de datos de pago. - **Aumento repentino en las solicitudes con errores 402**. Puedes ver el aumento de volumen en la página de [Desarrolladores](https://dashboard.stripe.com/developers), examinar los errores 402 en la página de [registros fallidos](https://dashboard.stripe.com/logs?error_type=card_error) o recibir notificaciones de webhooks y respuestas de la API, en particular con un [resultado de «generic_decline»](https://docs.stripe.com/declines/codes.md). - **Aumento repentino en los pagos sospechosos** con importes bajos de transacciones, a menudo con nombres de clientes y correos electrónicos sin sentido. Para evitar disputas, recomendamos reembolsar estas transacciones sospechosas si superan las defensas existentes. ## Prevenir la prueba de tarjetas Quienes prueban tarjetas emplean una amplia variedad de técnicas para dificultar el bloqueo de su actividad. En consecuencia, las simples reglas o filtros de cortafuegos basados en una sola heurística, como las direcciones IP, no suelen alcanzar como única medida para evitar la prueba de tarjetas por sí solos. Los estafadores pueden usar tu clave publicable y usarla para reintentar una gran cantidad de pagos en tu sitio web. Dispones de dos estrategias de mitigación principales para este tipo de ataques: - **Usa una integración recomendada por Stripe**: elige una integración recomendada por Stripe para aprovechar la protección contra pruebas de tarjetas que sabemos que funciona. - **Implementación de controles**: invierte en un conjunto de controles que impida que quienes realizan pruebas de tarjetas ataquen los puntos de conexión vulnerables. Además de implementar estrategias de mitigación, debes asegurarte de mantener tus claves seguras y de no publicar tu clave secreta. Cuando tus credenciales se filtran o sufren un robo, los estafadores pueden crear pagos y configurar tarjetas usando tu clave secreta. > Si no eres desarrollador o si usas un plugin o una plataforma, la prevención y la mitigación de la prueba de tarjetas suelen requerir cambios de código. Muéstrale esta documentación al desarrollador o al proveedor que creó el código y trabajen en conjunto para prevenir la prueba de tarjetas. ### Usar una integración recomendada por Stripe Si usas la versión más reciente de Payment Element o Checkout de Stripe, tenemos muchos controles automáticos y manuales para mitigar la prueba de tarjetas, como limitadores de frecuencia, modelos de IA, activadores de CAPTCHA y revisiones continuas, entre otros. Si detectamos que estás sufriendo un ataque de prueba de tarjetas, elegimos de forma dinámica intervenciones para reprimir el ataque lo más posible y, a la vez, permitir que los usuarios legítimos hagan transacciones en tu cuenta con un impacto mínimo. Verás que estos pagos están marcados como `Blocked by Stripe`. *Sin embargo, el funcionamiento correcto de los controles de Stripe depende de tu integración y de los factores de riesgo que nos envíes*. Stripe usa muchos factores de riesgo para distinguir entre prueba de tarjetas y pagos legítimos. Si bien algunos de estos factores de riesgo se computan automáticamente, muchos otras dependen de la información provista por tu integración. Por lo general, cuanto más datos proporciona tu integración, mejor es la prevención de la prueba de tarjetas. Sugerimos usar una de las [integraciones recomendadas](https://docs.stripe.com/payments/online-payments.md#compare-features-and-availability) de Stripe para aprovechar la protección automatizada basada en [CAPTCHA](https://www.hcaptcha.com/). Las soluciones modernas de CAPTCHA aplican múltiples factores de riesgo para aumentar la fricción por comportamientos de alto riesgo, a la vez que parecen invisibles para los usuarios legítimos de tu servicio. Si deseas deshabilitar nuestra integración de CAPTCHA, comunícate con el [soporte de Stripe](https://support.stripe.com/contact/login). El uso de una de nuestras integraciones de pago recomendadas te permite aprovechar al máximo la prevención de pruebas de tarjetas de Stripe. Si no puedes utilizar una integración recomendada, incluye la mayor cantidad de datos posible o implementa tus propios controles. Aunque los controles de prueba de tarjetas están separados de la protección de Radar contra disputas por fraude, se benefician [de los mismos factores de riesgo que utiliza Radar](https://docs.stripe.com/radar/optimize-risk-factors.md). La inclusión de la siguiente información con tus pagos puede afectar de manera significativa el funcionamiento de los modelos de prueba de tarjetas de Stripe. Nuestras integraciones recomendadas te permiten recopilar esta información, mientras que las integraciones directas pueden requerir que estos datos se incluyan de forma explícita. - [Detección avanzada de fraudes](https://docs.stripe.com/disputes/prevention/advanced-fraud-detection.md) (Máximo impacto) - Dirección IP - Correo electrónico del cliente - Nombre del cliente - Dirección de facturación ### Implementación del control Agregar restricciones a los puntos de conexión específicos te ayudará a suprimir y prevenir la prueba de tarjetas. Las restricciones que implementes pueden hacer que la prueba de tarjetas sea inviable y tener poco o ningún efecto en el tráfico legítimo. Normalmente, estos estafadores apuntan a puntos de conexión que les permitan hacer alguna de las siguientes operaciones: - Guardar tarjetas. - Efectúa un pago. Las medidas de seguridad específicas que agregues a tu integración varían según tu situación y las necesidades de tu empresa. A continuación, describimos varios enfoques comunes. ### Implementa CAPTCHA Estos estafadores suelen usar secuencias de comandos automáticas que CAPTCHA puede bloquear. Las secuencias de comandos son especialmente eficaces si no utilizas una de las integraciones recomendadas que admiten CAPTCHA. Las soluciones modernas de CAPTCHA ofrecen opciones de CAPTCHA visibles e invisibles, en función de tus necesidades. Si sumaste un CAPTCHA a tu integración, pero no se detuvo la prueba de tarjetas, verifica lo siguiente: - Asegúrate de que el CAPTCHA exija validación en todas las solicitudes que habiliten validaciones de tarjetas o pagos con Stripe. - Revisa la documentación de CAPTCHA para asegurarte de que la hayas implementado correctamente del lado del servidor. - Si usas una solución de CAPTCHA que da puntuación, ajusta el límite de bloqueo de solicitudes. - Prueba otra solución de CAPTCHA, por ejemplo, pasa de un CAPTCHA invisible a uno visible o usa una solución de CAPTCHA totalmente diferente. ### Limita el acceso a tu formulario de pago Cuanto más fácil sea para los estafadores llegar a tu formulario de pago (por ejemplo, usando el proceso de compra como invitado), más fácil será que ejecuten ataques de prueba de tarjetas. Puedes reducir tu exposición a los probadores de tarjetas exigiendo el inicio de sesión o la validación de la sesión antes de que puedan realizar un pago. Algunas de [las protecciones contra los ataques de falsificación de solicitudes entre sitios (CSRF)](https://owasp.org/www-project-cheat-sheets/cheatsheets/Cross-Site_Request_Forgery_Prevention_Cheat_Sheet.html) también son eficaces contra algunos tipos de pruebas de tarjetas, como los tokens CSRF. ### Agregar límites de intentos de solicitud En algunos casos, puedes reducir la prueba de tarjetas agregando límites de frecuencia de creación de redes (por ejemplo, en el front-end de tu tienda web). Adapta estos límites de frecuencia para detener el tipo específico de prueba de tarjetas que sufre tu empresa. Por ejemplo, si los estafadores usan tu integración para validar tarjetas asociándolas a nuevos clientes, un impedimento eficaz podría ser limitar la cantidad de clientes nuevos que se puedan crear desde una sola dirección IP en un día. Además de los límites de velocidad de la red, puedes agregar límites de velocidad a tus pagos y al flujo de compra del carrito para [detectar y prevenir comportamientos inusuales](https://docs.stripe.com/disputes/prevention/card-testing.md#prevent-unusual-behavior), incluso después del inicio de sesión o registro. ### Detectar y prevenir comportamientos inusuales Usa el Dashboard, los [webhooks](https://docs.stripe.com/webhooks.md) o el monitoreo continuo con [Stripe Sigma o Data Pipelines](https://stripe.com/guides/improve-fraud-management-with-radar-for-fraud-teams-and-stripe-data) para realizar un seguimiento de las anomalías en tu tráfico. Puedes comparar la actividad de prueba de tarjetas con el tráfico legítimo típico y, luego, crear filtros que limiten o eviten solo la actividad de prueba de tarjetas. Por ejemplo, podrías introducir cambios en tu sistema con los siguientes objetivos: - Limitar la cantidad de tarjetas que se pueden agregar a una cuenta - Limitar la cantidad de clientes que se pueden crear con una misma dirección IP - Limitar la cantidad de compras que se pueden realizar con el mismo producto - Limitar la cantidad de clientes del mismo tipo que se pueden crear - Filtrar las solicitudes de determinados agentes de usuario u otros parámetros Para hacerlo, puedes usar las [reglas personalizadas](https://docs.stripe.com/radar/rules/reference.md#velocity-rules) en Radar, si [tu plan](https://docs.stripe.com/radar/how-radar-works.md#compare-plans) admite esta funcionalidad. ### Usar medidas de mitigación combinadas A veces, conviene combinar diversos enfoques para reducir la prueba de tarjetas con el fin de maximizar el impacto en la actividad fraudulenta sin afectar el tráfico legítimo. Por ejemplo, puedes combinar un CAPTCHA y límites de intentos de solicitud. De esta manera, el primer intento de pago desde una dirección IP se realizará correctamente y sin restricciones, pero a las siguientes solicitudes que lleguen de la misma dirección IP en las próximas horas se les exigirá una verificación CAPTCHA para su aprobación. ### Reintentar con cuidado Los reintentos excesivos (reclamación) de pagos pueden parecer una prueba de tarjetas si ocurren en picos extremos con una tasa de éxito baja. La reclamación de pagos y los ataques reales de prueba de tarjetas pueden tener efectos similares en tu empresa, e incluso los emisores pueden endurecer su postura de riesgo. Asegúrate de no seguir reintentando en tarjetas configuradas para clientes fraudulentos después de un ataque de prueba de tarjetas, ya que esto repite el ataque original. [Smart Retries](https://docs.stripe.com/billing/revenue-recovery/smart-retries.md#non-retryable-decline-codes) de Stripe ya tienen esto en consideración. ### Personaliza la protección en función de tu aceptación del riesgo Además de implementar medidas de mitigación, quizá te convenga afinar aún más tu protección con Radar. Incluye reglas integradas de bloqueo en función de [cheques bancarios](https://docs.stripe.com/radar/rules.md#traditional-bank-checks), como los cheques de *CVC* (The card verification code (CVC) or card verification value (CVV) is a three- or four-digit number printed directly on a card used to verify the entered card number). Si comprendes el comportamiento de tus clientes y quieres personalizar en detalle la velocidad de los pagos, puedes crear [reglas personalizadas](https://docs.stripe.com/radar/rules/reference.md#velocity-rules) en Radar, si [tu plan](https://docs.stripe.com/radar/how-radar-works.md#compare-plans) admite esta funcionalidad. Puedes encontrar ejemplos en la [Guía de aspectos básicos de Radar](https://stripe.com/guides/radar-rules-101#rules-that-help-prevent-card-testing-or-card-cashing). ## See also - [Detección avanzada de fraudes](https://docs.stripe.com/disputes/prevention/advanced-fraud-detection.md) - [Optimiza tu integración de Radar](https://docs.stripe.com/radar/optimize-risk-factors.md) - [Cómo proteger tus claves](https://docs.stripe.com/keys-best-practices.md) - [Guía de aspectos básicos de Radar](https://stripe.com/guides/radar-rules-101)