El carding es la práctica ilegal de obtener, traficar o usar información de tarjetas de crédito sin autorización, a menudo para comprar tarjetas de regalo o tarjetas prepagas. El carding contribuye al robo de identidad, a las pérdidas financieras de las personas y las empresas, y a una amplia gama de otros delitos cibernéticos.

Se prevé que las pérdidas por fraude con tarjeta de crédito en todo el mundo superarán los USD 43 mil millones en 2026. Para combatir el carding, las organizaciones emplean medidas de seguridad como tokenización, cifrado, autenticación multifactor y sistemas de supervisión antifraude. En esta guía se tratará lo que las empresas deben saber sobre el carding, incluido cómo funciona y cómo protegerse.

¿Qué contiene este artículo?

• Cómo funciona el carding
  
• Cómo pueden protegerse las empresas del carding
  
• Cómo la dark web habilita el carding
  
• Cómo afecta el carding a las empresas y a los clientes
  
• Breve historia del carding
  
• Cómo puede ayudar Stripe Radar
  

Cómo funciona el carding

Robo de información de la tarjeta

El proceso de carding comienza con los ladrones de tarjetas, conocidos como "carders", que roban información de la tarjeta de crédito a través de métodos como el phishing, el skimming, la filtración de datos o el registro de pulsaciones de teclas.

Estas son algunas formas comunes en que los carders pueden robar información de tarjetas:

• Phishing: Los carders utilizan correos electrónicos, sitios web o mensajes confusos para engañar a las personas y que revelen la información de su tarjeta de crédito. Para lograr esto, los carders a menudo se hacen pasar por empresas o servicios legítimos.

• Skimming: Los carders instalan dispositivos llamados skimmers en cajeros automáticos, surtidores de gasolineras o terminales de puntos de venta (POS) para capturar información de tarjetas de crédito físicas.

• Hackeo: Los ciberdelincuentes utilizan malware, ransomware o acceso no autorizado para infiltrarse en sistemas informáticos o bases de datos y robar información de tarjetas de crédito.

• Registro de pulsación de teclas: El software o hardware registra las pulsaciones de teclas en el dispositivo de la víctima para capturar información de la tarjeta de crédito y otros datos confidenciales.

• Inyección SQL: Los carders insertan código SQL malicioso en la base de datos de un sitio web para extraer información confidencial, incluidos datos de la tarjeta de crédito.

• Shoulder surfing: Los actores fraudulentos observan a las personas que ingresan la información de su tarjeta de crédito en cajeros automáticos o mostradores de pago y roban la información.

• Formjacking: Los carders comprometen los formularios en línea en sitios web legítimos para capturar la información de la tarjeta de crédito de los usuarios.

• Aplicaciones y sitios web falsos: Los actores fraudulentos crean aplicaciones o sitios web falsos que parecen legítimos y engañan a los usuarios para que proporcionen la información de su tarjeta de crédito.

• Ataques de fuerza bruta: Los ciberdelincuentes utilizan software automatizado para adivinar los números de las tarjetas de crédito, a menudo probando diferentes combinaciones de números hasta que encuentran los válidos.

Cuando los carders roban información de las tarjetas de crédito, a menudo la venden en mercados clandestinos donde los compradores pueden comprar números de tarjetas, fechas de vencimiento, códigos de valor de verificación de la tarjeta (CVV) y direcciones de facturación de las tarjetas robadas.

Prueba de la validez de la tarjeta

Después de comprar información de tarjetas de crédito robadas, los delincuentes utilizan bots de carding para validar la información. Estos bots automatizan el proceso de realizar pequeñas transacciones en sitios web de comercio electrónico para comprobar si la tarjeta está activa y puede utilizarse sin activar alertas de fraude.

Realización de transacciones fraudulentas

Después de validar la legitimidad de una tarjeta, los estafadores utilizan la información para hacer compras no autorizadas. A menudo compran artículos de alto valor o tarjetas de regalo, que pueden revenderse por dinero en efectivo o usarse para fines personales. Los bots de carding permiten a los actores fraudulentos automatizar y escalar este proceso, dirigiéndose a múltiples sitios web y realizando muchas transacciones en un corto período de tiempo.

Evasión de la detección

Los carders utilizan una serie de herramientas y tácticas para evadir la detección mientras cometen fraude. A menudo dependen de proxys y VPN para ocultar sus verdaderas ubicaciones, lo que dificulta que las plataformas de comercio electrónico marquen actividades sospechosas. Los carders también utilizan bots aleatorios para imitar el comportamiento humano y evitar detectar fraudes, mientras que las redes de bots distribuidos distribuyen la actividad para evitar llamar la atención. Además, los carders convierten rápidamente los productos robados en efectivo revendiéndolos en línea o a través de redes locales, lo que complica aún más los esfuerzos por rastrear sus acciones.

Cómo se pueden proteger las empresas contra el carding

Los sofisticados sistemas de detección de fraude utilizan inteligencia artificial para identificar patrones y comportamientos de compra inusuales. A continuación, te mostramos formas en que las empresas pueden utilizar estas tecnologías y otras prácticas para protegerse.

• Sistema de verificación de direcciones (AVS): AVS compara la dirección de facturación proporcionada por el usuario con la registrada en el emisor de la tarjeta. Es una herramienta básica pero eficaz para prevenir el fraude.

• Análisis del comportamiento: Analiza el comportamiento de los usuarios en tu plataforma para identificar anomalías como transacciones rápidas, intentos repetidos con diferentes números de tarjeta o patrones de geolocalización inusuales.

• Puntuación dinámica de riesgos y MFA: Asigna puntuaciones de riesgo a las transacciones establecidas en función de varios factores, como la huella digital del dispositivo, la dirección IP, la geolocalización IP y los datos históricos. Las transacciones de mayor riesgo pueden activar la autenticación multifactor (MFA).

• Valor de verificación de la tarjeta (CVV): Exigir a los clientes que ingresen su CVV ayuda a confirmar que el comprador posee físicamente la tarjeta, lo que reduce el riesgo de uso no autorizado solo por números de tarjetas robadas.

• Tokenización: Convierte la información confidencial de la tarjeta de crédito en tokens seguros para uso interno, lo que minimiza la exposición de los datos sin procesar de la tarjeta y reduce el riesgo de robo.

• Cifrado de extremo a extremo: cifrar la información confidencial desde el punto de captura hasta el almacenamiento y el procesamiento reduce el riesgo de interceptación y acceso no autorizado.

• Almacenamiento seguro de datos: Almacena la información de la tarjeta de crédito en bases de datos encriptadas con acceso restringido. Implementa el control de acceso basado en roles (RBAC) y asegúrate de que solo el personal autorizado pueda acceder a los datos confidenciales.

• Monitoreo de transacciones en tiempo real: Supervisa las transacciones en tiempo real para identificar actividades potencialmente fraudulentas. Envía alertas automáticas a los equipos de seguridad para una investigación inmediata.

• Equipos de respuesta ante incidentes: Establece equipos dedicados a la respuesta ante incidentes con protocolos claros para manejar incidentes de carding.

• Intercambio de inteligencia sobre amenazas: Participa en programas de intercambio de inteligencia de amenazas para mantenerte informado sobre las nuevas tendencias y técnicas de carding.

• Colaboración con las fuerzas y cuerpos de cumplimiento de la ley: Establece relaciones con los organismos encargados de hacer cumplir la ley especializados en delitos cibernéticos para ayudar en las investigaciones y la eliminación de las operaciones de carding.

• Alternativas a CAPTCHA: Utiliza soluciones avanzadas de CAPTCHA o alternativas como reCAPTCHA v3 que no requieran interacción del usuario pero que puedan detectar comportamientos similares a los de los bots.

• Límite de frecuencia y aceleración: Implementa la limitación de velocidad o comprobaciones de velocidad para restringir la cantidad de transacciones o intentos desde una sola dirección IP o usuario dentro de un período de tiempo específico.

• Huella digital del dispositivo: Identifica las características únicas del dispositivo para detectar la actividad automatizada de los bots. Esto puede ayudar a evitar que los bots de tarjetas prueben una gran cantidad de datos de tarjetas de crédito robadas.

• Alertas y notificaciones de fraude: Envía alertas a los clientes cuando se detecte actividad sospechosa para que puedan confirmar o denegar transacciones rápidamente.

• Capacitación del cliente: Informa a los clientes sobre los riesgos del carding y las prácticas recomendadas para proteger la información de sus tarjetas de crédito. Esto puede ayudar a reducir la probabilidad de éxito de los ataques de phishing o ingeniería social.

Cómo la dark web habilita el carding

La dark web admite transacciones anónimas que las autoridades policiales tienen dificultades para rastrear o interrumpir. La mayoría de los pagos utilizan criptomonedas como bitcoin, que enmascaran las identidades de compradores y vendedores.

Los marketplaces dependen del cifrado, los servicios ocultos y la infraestructura distribuida para proteger a los usuarios y mantenerse en línea a pesar de los esfuerzos de eliminación. Incluso cuando se cierran sitios, las comunidades dinámicas, como los foros de carding, suelen reaparecer con nuevos nombres, lo que dificulta su eliminación absoluta.

Los marketplaces de la dark web son plataformas centrales para llevar a cabo transacciones comerciales con bienes y servicios ilegales, en particular relacionados con fraude financiero. Ofrecen datos de tarjetas de crédito robadas, a menudo organizadas por detalles específicos como tipo o país, así como herramientas de carding como bots y malware que ayudan a automatizar el fraude. Estos marketplaces también brindan servicios relacionados como validación de tarjetas de crédito, asistencia para retirar efectivo y creación de identificaciones falsas.

Las comunidades de la dark web son centros de conocimiento donde carders experimentados comparten técnicas, guías y consejos con los recién llegados. Estas plataformas también permiten establecer contactos y colaboración, lo que les permite a los usuarios coordinar operaciones de fraude más sofisticadas.

Cómo afecta el carding a las empresas y a los clientes

Consecuencias comerciales

• Pérdidas financieras: Cuando se producen transacciones fraudulentas, las empresas a menudo asumen el costo de los contracargos y reembolsos. Esto puede afectar sus resultados, especialmente en el caso de las pequeñas y medianas empresas (pymes).

• Daño reputacional: Los incidentes de carding pueden dañar la reputación de una empresa. Los clientes que sufren fraude en la plataforma de una empresa pueden perder la confianza en ella y dejar comentarios negativos.

• Costos operativos: Para combatir el carding, las empresas deben invertir en medidas de seguridad, sistemas de detección de fraudes y soporte al cliente para gestionar los problemas relacionados con el fraude. Estos costos pueden ser sustanciales.

• Mayor escrutinio: Las altas tasas de fraude pueden llevar a un mayor escrutinio por parte de los procesadores de pagos, lo que puede resultar en comisiones más altas, requisitos más estrictos o incluso la cancelación de las cuentas de los comerciantes.

• Riesgos de cumplimiento de la normativa: Las empresas están obligadas a cumplir con normativas como el Estándar de Seguridad de Datos del sector de las tarjetas de pago (PCI DSS). El incumplimiento de la normativa debido a incidentes de carding puede dar lugar a multas y consecuencias legales.

Consecuencias para el cliente

• Cuentas comprometidas: Los clientes a quienes se les roba la información de tarjeta de crédito pueden encontrar cargos no autorizados en sus cuentas. Luego deben dedicar tiempo y esfuerzo para trabajar con sus bancos y compañías de tarjetas de crédito a fin de revertir los cargos fraudulentos y restaurar sus cuentas, lo que puede ser un proceso largo y frustrante.

• Robo de identidad: El carding puede conducir a un robo de identidad más amplio, en el que los delincuentes utilizan la información de tarjetas de crédito robadas para abrir nuevas cuentas, solicitar préstamos o cometer otras formas de fraude.

• Angustia emocional: Descubrir cargos no autorizados y lidiar con las secuelas del carding puede causar angustia emocional y ansiedad a los clientes.

• Impacto en la calificación crediticia: En algunos casos, el fraude relacionado con las tarjetas puede afectar la calificación crediticia de un cliente, especialmente si el fraude conduce a la falta o al incumplimiento de pagos.

Una breve historia del carding

Primeros días y el auge de Internet

Inicialmente, el carding implicaba principalmente métodos físicos para obtener información de la tarjeta de crédito. Los actores fraudulentos robaban billeteras o bolsos para obtener acceso a las tarjetas de crédito, o colocaban dispositivos en cajeros automáticos o terminales de sistema POS que capturaban la información de la tarjeta durante las pasadas. La existencia de skimmers fue reportada alrededor de 2002.

A medida que Internet se expandió, el carding se trasladó a él, lo que dio lugar a nuevas técnicas como el phishing y el hackeo de las bases de datos de las empresas para robar grandes volúmenes de información de tarjetas de crédito. Si bien el phishing ha existido desde la década del 1990, se volvió más común a principios de la década de 2000 a medida que Internet se hizo más popular.

Surgen nuevas tecnologías

La automatización y el software avanzado condujeron a técnicas de carding más sofisticadas. Los bots de carding han automatizado el proceso de prueba y validación de tarjetas, lo que les permite a los actores fraudulentos hacer crecer sus operaciones y cometer fraude más rápido. Los carders también han comenzado a utilizar redes distribuidas de bots para probar grandes volúmenes de datos de tarjetas de crédito robadas, lo que reduce el riesgo de detección ya que distribuye la actividad a través de múltiples ubicaciones y direcciones IP.

A medida que el carding se volvió más sofisticado, las medidas de seguridad también evolucionaron. La tecnología de chip y PIN se convirtió en un estándar en la década de 2010 para dificultar la clonación de tarjetas físicas, lo que obligó a los carders a depender más de los métodos en línea. Las plataformas de comercio electrónico comenzaron a implementar sistemas de detección de fraude basados en inteligencia artificial y machine learning para identificar patrones y transacciones sospechosos. Se introdujeron los CAPTCHA y la autenticación multifactor para evitar que los bots automatizados explotaran los sistemas en línea.

Los carders continúan adaptándose a las nuevas medidas de seguridad y tecnologías con sus propias innovaciones. Las nuevas técnicas incluyen el formjacking, fraude sintético de identidad (creación de identidades falsas a través de los datos robados para abrir cuentas de crédito) y la apropiación de cuentas (uso de información de tarjetas robadas para obtener acceso no autorizado a cuentas existentes).

Cómo puede ayudarte Stripe Radar

Stripe Radar entrena modelos de IA para detectar y prevenir fraude, utilizando datos de la red internacional de Stripe. Actualiza continuamente estos modelos establecidos en función de las últimas tendencias de fraude y protege a tu empresa mientras el fraude evoluciona.

Stripe también ofrece Radar para Equipos de Fraude, que permite a los usuarios agregar reglas personalizadas para abordar escenarios de fraude específicos de sus empresas y acceder a información avanzada sobre fraude.

Radar puede ayudar a tu empresa de la siguiente manera:

• Previene pérdidas por fraude: Stripe procesa más de 1 billón de dólares en pagos al año. Este crecimiento permite a Radar detectar y prevenir el fraude con precisión y te ahorra dinero.
  
• Aumenta los ingresos: los modelos de IA de Radar se entrenan con datos reales de disputas, información de clientes, datos de navegación y más. Esto permite a Radar identificar transacciones de riesgo y reducir falsos positivos, lo que aumenta tus ingresos.
  
• Ahorra tiempo: Radar está integrado en Stripe y no necesita líneas de código para su configuración. También puedes controlar el rendimiento de tu fraude, escribir reglas y mucho más en una sola plataforma, lo que aumenta la eficiencia.
  

Obtén más información sobre Stripe Radar o empiézalo a usar hoy mismo.