Muchos de mis clientes ya han pasado por el dolor de estos ataques, pero me gustaría compartir un poco más sobre ellos para todos.
Una de las amenazas más comunes para las tiendas en línea es el ataque con tarjetas, también conocido como card testing o carding. Incluso las tiendas pequeñas son atacadas, y los bots no discriminan. De hecho, parece que las tiendas pequeñas pueden ser atacadas con más frecuencia, porque se asume que tendrán conocimientos y recursos limitados para enfrentar el problema.
¿Qué es un ataque con tarjetas?
Un ataque con tarjetas ocurre cuando los delincuentes usan listas de números de tarjetas de crédito robadas y las prueban en tu proceso de pago para ver cuáles todavía funcionan. No están tratando de comprarte algo significativo: tu tienda es simplemente un terreno de pruebas conveniente y automatizado.
Si una tarjeta pasa con éxito las verificaciones de “¿es válida?” de tu pasarela de pagos, el atacante ahora sabe que esa tarjeta sigue “viva” y la usará más adelante para compras fraudulentas más grandes en otros lugares.
Cómo funcionan los ataques con tarjetas
Los ataques con tarjetas suelen ser automatizados. Los bots envían cientos o miles de transacciones a través de tu checkout en un corto período de tiempo.
Dependiendo de tu procesador de pagos, esto puede verse así:
- Pagos fallidos repetidos
- Muchos intentos de $1.00 o $0.01 (o los productos de menor precio disponibles)
- Una avalancha de pedidos rechazados, a menudo con nombres y direcciones de facturación que no coinciden
- Intentos rápidos desde la misma dirección IP, rangos de VPN o proxies extranjeros
- Intentos que parecen normales pero nunca completan el proceso de pago
Estos bots funcionan las 24 horas del día y atacan tiendas, especialmente aquellas sin capas de seguridad adicionales.
Por qué lo hacen los atacantes
El objetivo no es robar de tu tienda. El objetivo es verificar tarjetas de crédito robadas.
Si encuentran una tarjeta que:
- No está vencida
- Tiene un CVV válido
- Pasa la pasarela de pagos
- Parece una compra pequeña normal
…entonces la marcan como “buena” y la venden, o la usan para una compra más grande en otro lugar.
Nunca ves ese fraude posterior, pero te quedas con:
- Cargos por comisiones de tu procesador de pagos
- Posibles aumentos de tarifas (Stripe es especialmente estricto)
- Riesgo de ser marcado como de alto riesgo
- Mayor potencial de disputas y contracargos
- Una experiencia de checkout degradada para los clientes legítimos
Durante las festividades, el volumen de pruebas puede aumentar porque los delincuentes esperan datos frescos de tarjetas robadas.
Qué debes vigilar
Si tienes una tienda en línea —especialmente con WooCommerce—, estate atento a estas señales de alerta:
- Un aumento repentino de transacciones fallidas
¿Un 99 % de rechazos? Eso no es normal. - Pedidos con formato extraño
Nombres aleatorios, correos electrónicos basura, códigos postales que no coinciden. - Muchos intentos por montos muy pequeños
Compras de prueba de $1.00, $2.00 o $5.00. A veces empiezan con un intento un poco mayor (digamos $30) y luego bajan para ver si tienen más éxito. - Advertencias de Stripe o de tu procesador de pagos
Stripe suele señalar tasas altas de fallos o actividad inusual. - Comportamiento inusual en el checkout
Intentos usando pasarelas alternativas, monedas inusuales o reintentos rápidos. - Picos de CPU o del servidor
Los bots golpeando las páginas de checkout pueden causar caídas de rendimiento.
Cómo reducir los ataques con tarjetas
Las principales defensas contra los ataques con tarjetas son:
- Activar un CAPTCHA en el checkout (Cloudflare Turnstile o Google reCAPTCHA v3)
- Activar “3D Secure / SCA” donde esté disponible —aunque rara vez veo que los procesadores ofrezcan esta opción, al menos en EE. UU.
- Limitar los intentos de pago fallidos con plugins o configuraciones de la pasarela
- Bloquear rangos de IP o países de alto riesgo (Cloudflare, Wordfence) —aunque los hackers “competentes” cambian constantemente de dirección IP
- Usar las reglas de “Radar” de Stripe (incluso las gratuitas ayudan)
- Evitar ofrecer varias pasarelas de pago de forma innecesaria
Todas estas medidas reducen drásticamente la actividad de los bots, y la mayoría son gratuitas.
En resumen
Los ataques con tarjetas no son personales, y no tienes que ser una marca grande para ser atacado. A los bots les gustan los sitios más pequeños porque suelen tener menos protecciones. El tráfico de las festividades también les da cobertura: es más difícil notar anomalías cuando también hay clientes reales activos.
Si tienes algún problema, puedo revisarlo para ver si se puede hacer algo más. A veces, la única opción es esperar a que pasen estos ataques, ya que no “se ven” diferentes de cualquier otra compra, al menos para el software del sitio.