El fraude con tarjeta no presente (CNP) es una de las amenazas de más rápido crecimiento en los pagos digitales. Conforme aumentan las transacciones en línea y se expanden los canales de pago en tiempo real a nivel mundial, los estafadores tienen más oportunidades que nunca de explotar credenciales de tarjetas robadas sin tocar una tarjeta física. El fraude CNP es particularmente difícil de detectar porque ni la tarjeta ni el titular están físicamente presentes para verificar la transacción en el punto de venta.
En el informe «Fraude y riesgo en la era de los pagos globales» de SEON, el 56 % de los profesionales del sector de pagos afirma que las pérdidas por fraude superan el crecimiento de ingresos, y el 62 % identifica el monitoreo de transacciones en tiempo real como su medida de defensa más importante. El fraude CNP es un factor determinante en ambas presiones.
Este artículo explora las transacciones CNP, cómo los delincuentes las explotan y qué medidas permiten proteger tu negocio.
¿Qué es una transacción CNP (sin presencia de tarjeta)?
Una transacción sin presencia física de la tarjeta es un pago realizado con tarjeta de crédito o débito donde la tarjeta nunca toca un terminal de pago. En su lugar, se autoriza la transacción usando solo los datos de la tarjeta: el número, la fecha de caducidad, el CVV y la dirección de facturación.
Las transacciones CNP son esenciales en el comercio digital. Impulsan los pagos de comercio electrónico, la facturación de suscripciones, los pedidos por teléfono y la banca online. Pero esa misma comodidad las hace vulnerables: sin la presencia física de la tarjeta o del titular, es difícil verificar que quien inicia la transacción es quien dice ser.
Transacciones con tarjeta presente vs. sin tarjeta presente
Entender esta distinción es clave para evaluar el riesgo de fraude:
- Las transacciones con tarjeta presente (CP) requieren que la tarjeta física interactúe con un terminal mediante inserción del chip, paso de la banda magnética o pago sin contacto. La tarjeta y el titular se verifican físicamente en el punto de venta.
- Las transacciones sin presencia de tarjeta (CNP) se basan únicamente en credenciales introducidas manualmente. Sin verificación física, la responsabilidad del fraude recae normalmente en el comerciante o el proveedor de pagos, no en el emisor de la tarjeta.
Esta brecha de responsabilidad es lo que hace que el fraude CNP resulte desproporcionadamente costoso para las empresas en comparación con el fraude con tarjeta presente.
Ejemplos de transacciones sin tarjeta presente
Las transacciones CNP ocurren en muchos contextos de pago distintos:
- Comercio electrónico: el cliente introduce los datos de la tarjeta durante el pago en línea y recibe los productos por entrega a domicilio o recogida en tienda.
- Pedidos por teléfono: un cliente comparte los datos de su tarjeta con un agente de ventas por teléfono.
- Pedidos por correo: los datos de la tarjeta se envían en un formulario de pedido en papel por correo postal.
- Facturación en línea: un cliente empresarial paga una factura introduciendo los datos de su tarjeta en un portal de pagos.
- Tarjeta registrada: un cliente autoriza a un comerciante a almacenar los datos de su tarjeta para pagos recurrentes o facturación a plazos, sin necesidad de volver a introducir sus datos en cada transacción.
- Banca online: un titular de tarjeta utiliza las credenciales de su tarjeta para autenticarse y realizar transacciones a través de un portal financiero.
Fraude sin tarjeta presente
El fraude CNP se produce cuando datos de tarjetas robados, falsificados o no autorizados se utilizan para iniciar una transacción sin el consentimiento del titular legítimo. Es una de las dos formas principales de fraude con tarjetas de pago, junto con el fraude con tarjeta presente, y resulta mucho más difícil de detectar porque ni la tarjeta ni el titular están presentes para verificar la transacción.
A medida que más comercios adoptan modelos de pago centrados en lo digital, el fraude CNP crece como porcentaje del total de pérdidas por fraude con tarjeta. Los estafadores obtienen datos de tarjeta a través de filtraciones de datos, ataques de phishing, compras en la dark web e ingeniería social, y los usan para realizar compras antes de que el titular se dé cuenta.
Fraude sin presencia de tarjeta
- Phishing: los delincuentes crean sitios web falsos o envían mensajes engañosos para obtener datos de pago, que luego usan en transacciones CNP no autorizadas.
- Fraude de contracargo: un estafador usa credenciales robadas para hacer una compra. El titular legítimo de la tarjeta impugna la transacción, generando un contracargo. El comerciante pierde tanto los productos como el pago.
- Fraude amistoso: un titular legítimo de tarjeta realiza una compra CNP, recibe los bienes o servicios y luego presenta un contracargo falso alegando que el artículo nunca llegó o que no autorizó la transacción.
- Fraude de triangulación: un delincuente crea una tienda online falsa y usa datos de tarjetas robadas para hacer pedidos a comerciantes legítimos. Los titulares reales de las tarjetas solicitan contracargos, y los comerciantes legítimos cargan con las pérdidas.
- Prueba de tarjetas: los estafadores realizan pequeñas transacciones CNP para verificar si las credenciales de tarjetas robadas están activas antes de usarlas en compras de mayor valor. Sin reglas de velocidad, estas microtransacciones pasan desapercibidas.
- Fraude en la solicitud de tarjetas de pago: los delincuentes utilizan identidades robadas o falsas para solicitar nuevas tarjetas de pago, que luego se utilizan en transacciones CNP. Se proyecta que el fraude de identidad sintética alcanzará los 23 000 millones de dólares en pérdidas anuales para 2030.
Cómo funciona el fraude CNP
El fraude CNP sigue patrones predecibles, aunque los métodos para obtener credenciales varían constantemente:
- Robo de credenciales: los estafadores obtienen datos de tarjetas mediante phishing, filtraciones de datos, skimming o comprando «fullz» en la dark web, perfiles completos que incluyen nombre, dirección, número de tarjeta, CVV y, a veces, PIN.
- Validación de credenciales: pequeñas transacciones de prueba confirman que la tarjeta está activa y las credenciales son correctas.
- Aprovechamiento: se utilizan credenciales válidas para realizar compras de mayor valor, a menudo de productos fácilmente revendibles, tarjetas regalo o productos digitales difíciles de rastrear.
- Retirada de efectivo: Los productos se revenden, las tarjetas regalo se convierten en efectivo o los fondos se transfieren a través de cuentas de mulas antes de que se detecte el fraude.
El margen de tiempo entre el robo de credenciales y su detección suele ser muy reducido, por lo que el monitoreo en tiempo real es fundamental. En el informe «Fraude y riesgo en la era de los pagos globales» de SEON, el 62 % de las entidades de pago consideran que el monitoreo de transacciones en tiempo real es su defensa más eficaz contra este tipo de fraude.
Prevenir el fraude con tarjetas no presentes
La responsabilidad suele recaer en el comerciante, el proveedor de servicios de pago o el banco de la víctima. Por eso es fundamental proteger tu negocio contra el fraude CNP. Las soluciones modernas te ayudan a distinguir entre clientes legítimos y estafadores.
Cumplimiento PCI DSS sin fricción
El Consejo de Normas de Seguridad PCI establece los requisitos básicos de seguridad de datos para cualquier organización que procese pagos con tarjeta. Las obligaciones clave incluyen cifrar los datos de titulares de tarjetas en tránsito y en reposo, restringir el acceso solo al personal autorizado, mantener un rastro de auditoría de todos los accesos a datos de tarjetas y realizar pruebas periódicas de sistemas y procesos para detectar vulnerabilidades. El cumplimiento no previene el fraude, pero el incumplimiento multiplica tu exposición y riesgo regulatorio.
Recopila y enriquece datos de clientes en cada punto de contacto
Cuantas más señales recopiles durante el registro, el inicio de sesión y el pago, mejor podrás distinguir usuarios legítimos de estafadores. Más allá de las credenciales de tarjeta, recopila direcciones de correo electrónico, números de teléfono, identificadores de dispositivos, direcciones IP e información de facturación. El enriquecimiento de datos coteja estos datos con fuentes externas, perfiles de redes sociales, datos de operadores de telefonía y bases de datos de reputación de IP para detectar inconsistencias sin crear fricción para tus clientes genuinos.
Supervisa las transacciones en tiempo real y detecta comportamientos inusuales
Los estafadores actúan rápido y dejan patrones identificables: transacciones sucesivas en cortos intervalos, múltiples tarjetas desde el mismo dispositivo, discrepancias entre dirección de facturación y envío, compras de alto valor desde cuentas nuevas. El monitoreo de transacciones en tiempo real compara cada pago contra los patrones de comportamiento establecidos y detecta las anomalías cuando suceden, no después.
Reglas de velocidad
Las reglas de velocidad registran la frecuencia y combinación de eventos en un intervalo de tiempo definido. Por ejemplo: múltiples transacciones con la misma tarjeta en cuestión de minutos, uso de varias tarjetas diferentes desde la misma dirección IP o una cuenta nueva que realiza un pedido de alto valor con envío urgente. Estos patrones son indicadores claros de fraude CNP y actividades de prueba de tarjetas, y pueden activar una revisión automática o el bloqueo.
Solicita verificación del CVV
Los códigos de verificación de tarjeta (CVV) rara vez se ven comprometidos en filtraciones de datos y no se almacenan en las bandas magnéticas. Esto significa que los estafadores pueden tener el número de la tarjeta sin el CVV. Exigir el CVV en todas las transacciones CNP crea una barrera efectiva. También ofrece a los comerciantes protección frente a la responsabilidad civil en caso de disputas.
Usa la verificación de direcciones (AVS)
El AVS compara la dirección de facturación que introduces en una transacción CNP con la que tiene registrada el emisor de la tarjeta. Las discrepancias marcan las transacciones potencialmente fraudulentas para revisión o rechazo automático. El AVS es especialmente eficaz para detectar el uso de credenciales robadas: si el estafador desconoce la dirección registrada del titular, la transacción se expone.
Implementa 3DS y autenticación multifactorial
3-Domain Secure (3DS) y otros métodos de autenticación fuerte del cliente (SCA) exigen a los titulares de tarjetas que verifiquen su identidad mediante un paso adicional, como una contraseña de un solo uso enviada a su teléfono o una confirmación de biometría. Aunque esto añade cierta fricción al proceso de pago, reduce significativamente el fraude CNP y traslada la responsabilidad al emisor de la tarjeta en la mayoría de las disputas.
Crear puntuaciones de riesgo personalizadas
La puntuación de riesgo agrega señales procedentes de la inteligencia del dispositivo, el análisis conductual, el enriquecimiento de datos y el historial de transacciones en una única puntuación de riesgo para cada transacción. Las transacciones de bajo riesgo se procesan sin fricción. Las transacciones de mayor riesgo activan una autenticación adicional. Esta protección por capas equilibra la prevención del fraude con la experiencia del cliente.
Disputar contracargos con datos enriquecidos
El fraude amistoso cuando el titular de una tarjeta realiza una compra legítima y luego la impugna falsamente es un problema importante y en crecimiento. Los comerciantes que documentan transacciones con detalle, capturan huellas digitales de dispositivos, registran confirmaciones de entrega y analizan datos de comportamiento están mejor posicionados para ganar disputas por contracargo y recuperar ingresos perdidos.
Cómo SEON previene el fraude CNP
El análisis de huellas digitales de SEON enriquece direcciones de correo electrónico, números de teléfono e IP en tiempo real para detectar identidades débiles o sospechosas antes de aprobar una transacción.
La inteligencia del dispositivo detecta emuladores, VPN y suplantación de dispositivos, que se utilizan habitualmente en el fraude CNP.
La evaluación de pagos con IA supervisa y puntúa cada transacción en función de patrones de comportamiento, detectando anomalías cuando ocurren. Explora el monitoreo de transacciones y las soluciones de prevención del fraude de identidad de SEON para entender cómo esta protección por capas detiene el fraude CNP.
Traducido y revisado por el equipo hispanohablante de SEON.
Preguntas frecuentes sobre fraude sin tarjeta presente
El fraude con tarjeta no presente ocurre cuando se utilizan datos de tarjetas de pago robadas o no autorizadas para realizar una transacción sin que la tarjeta física esté presente. Es más común en pagos online, por teléfono y por correo, donde la verificación se basa en la introducción de datos en lugar de en la interacción física con un terminal.
En la mayoría de los casos, la responsabilidad por el fraude CNP recae en el comerciante que procesó la transacción, no en el emisor de la tarjeta. Esto ocurre porque el comerciante aceptó el pago sin verificar físicamente la tarjeta ni la identidad del titular. La autenticación 3DS puede trasladar la responsabilidad al emisor de la tarjeta en determinados casos de disputa.
El fraude con tarjeta presente implica el uso o la clonación de la tarjeta física en un terminal de punto de venta. El fraude CNP utiliza únicamente la información de las credenciales de la tarjeta, sin necesidad de la tarjeta física. El fraude CNP es más difícil de detectar y más complicado de disputar para los comerciantes, ya que no hay verificación física en el momento de la transacción.
La detección eficaz del fraude CNP combina el monitoreo de transacciones en tiempo real, la inteligencia del dispositivo, el análisis de IP, el análisis conductual y las reglas de velocidad para identificar anomalías. El enriquecimiento de datos puede revelar inconsistencias sin añadir fricción para los clientes legítimos.
Las empresas que procesan transacciones CNP deben cumplir con las normas PCI DSS, que establecen requisitos para el almacenamiento, transmisión y protección de datos de tarjetas. El incumplimiento aumenta tanto la exposición al fraude como el riesgo normativo. En mercados regulados, el fraude CNP también puede generar obligaciones AML si los patrones de transacción sugieren lavado de dinero o fraude organizado.
