Un ataque maestro de crédito es un acto delictivo en el que alguien obtiene y utiliza ilegalmente la información de la tarjeta de crédito de otra persona. Los ataques maestros de crédito están aumentando en Japón y tienen un impacto significativo tanto en las empresas como en los titulares de tarjetas. Debido a esto, es necesario adoptar medidas para evitar ataques maestros de crédito.

En este artículo explicamos qué son los ataques maestros de crédito, los daños que pueden causar y las contramedidas que pueden utilizar las empresas y los titulares de tarjetas para evitarlos.

¿De qué trata este artículo?

• ¿Qué es un ataque maestro de crédito?
  
• ¿Cómo afectan los ataques maestros de crédito a las empresas japonesas?　
  
• ¿Cómo pueden las empresas japonesas prevenir los ataques maestros de crédito?
  
• ¿Cómo afectan los ataques a los titulares de tarjetas de crédito?
  
• ¿Cómo pueden los titulares de tarjetas prevenir los ataques maestros de crédito?
  
• Preguntas frecuentes sobre los ataques maestros de crédito
  
• Lo que hay que saber sobre los ataques maestros de crédito
  

¿Qué es un ataque maestro de crédito?

Un ataque maestro de crédito es un método de fraude con tarjetas de crédito que utiliza la consistencia de los dígitos de los números de las tarjetas de crédito para obtener ilegalmente los números de las tarjetas. En un ataque maestro de crédito, el atacante utiliza un programa o software que genera automáticamente números aleatorios. A continuación, se comprueban estos números para identificar los números de tarjeta y los códigos de seguridad válidos.

Los atacantes utilizan las páginas de pago de los sitios de comercio electrónico para determinar si estos números generados por la máquina son o no números de tarjeta de crédito válidos. Si una página de pago acepta un pago con tarjeta de crédito utilizando estos números, el número de tarjeta y el código de seguridad se consideran válidos. Entonces corren el riesgo de ser utilizados de forma fraudulenta en otros sitios de comercio electrónico.

Vamos a ver una explicación detallada de los métodos específicos utilizados en un ataque maestro de crédito:

La técnica del maestro de crédito

Un ataque maestro de crédito implica la generación automática de números en función de la regularidad del número de tarjeta de crédito.

De acuerdo con la norma internacional de la Organización Internacional de Normalización/Comisión Electrotécnica Internacional (ISO/IEC) 7812, los números de tarjeta de crédito se componen de:

• Un número de identificación del emisor (IIN): A veces también se le llama número de identificación bancaria (BIN) e incluye los primeros seis dígitos.

• Un número de cuenta de miembro: Los dígitos del séptimo al penúltimo forman este número.

• Un dígito de control: Este es el último dígito.

Utilizando un algoritmo especial, el dígito de control determina si el número de tarjeta es correcto. El emisor de la tarjeta de crédito determina el IIN. Esta es información pública que cualquiera puede verificar. Por ejemplo, a las tarjetas de crédito Rakuten se les asigna el IIN «3584-03» y a las tarjetas de crédito EPOS Visa se les asigna el IIN «4897-83».

Después de establecer un punto de partida a través de algunas conjeturas, los números son generados automáticamente por un ordenador. El número final se calcula probando repetidamente combinaciones del código de seguridad y la fecha de caducidad, además del IIN, el número de cuenta del miembro y el dígito de control.

Daños causados por ataques maestros de crédito

Según la Asociación Japonesa de Crédito al Consumo, el importe total de los daños causados por el uso no autorizado de tarjetas de crédito en Japón entre enero y diciembre de 2023 fue de 54.100 millones de yenes, la cantidad más alta jamás registrada. En comparación con los 43.700 millones de yenes en daños totales de 2022, esto representa un aumento de más de 10.000 millones de yenes en un solo año.

Si desglosamos en categorías el volumen de daños causados por el uso fraudulento de tarjetas de crédito, la cantidad total de daños causados por el robo de números en 2023 fue de 50.500 millones de yenes. Esto representa el 93,3 % del importe total de los daños causados por el uso fraudulento de las tarjetas de crédito.

Los ataques maestros de crédito suelen entrar en la categoría de robo de números, pero no todos los ataques que implican el robo de números utilizan técnicas de maestro de crédito. Sin embargo, de acuerdo con las tendencias recientes, las actividades fraudulentas que involucran el robo de números de tarjetas de crédito, incluidas las técnicas maestras de crédito, se vuelven más complejas y sofisticadas cada año. Existe la preocupación de que las pérdidas sigan aumentando.

¿Cómo afectan los ataques maestros de crédito a las empresas japonesas?

A continuación te explicamos cómo afectan estos ataques a las empresas japonesas:

Aumento de los gastos de procesamiento debido al gran número de solicitudes de autorización

La autorización de tarjeta (es decir, el proceso de obtener un crédito o recibir la aprobación de un crédito) permite a las empresas consultar con la empresa de la tarjeta de crédito si el cliente tiene fondos o crédito suficientes para pagar una transacción. La empresa debe pagar a la empresa de la tarjeta de crédito una tasa de procesamiento por cada autorización, que suele oscilar entre 1 y 5 yenes.

Si un sitio de comercio electrónico es objeto de un ataque maestro de crédito, normalmente se le cobrará una gran cantidad de tarifas de autorización a medida que se envíen los números de tarjeta para su autorización. Aunque la tarifa por cada intento de autorización es pequeña, el coste de las autorizaciones puede ascender rápidamente a una gran cantidad.

Aunque las tarjetas de crédito no se usen de manera fraudulenta directamente en ese sitio, la empresa aún puede sufrir daños debido a una gran cantidad de autorizaciones y sus costes asociados.

Pérdida de oportunidades de venta y quejas de los clientes

Durante un ataque maestro de crédito, se realiza un gran número de intentos de acceso en una sola ubicación. Esto puede sobrecargar el sistema, ralentizando el procesamiento de pagos y pedidos y, en algunos casos, impidiendo que los clientes legítimos accedan al sitio de comercio electrónico. Y lo que es más problemático, los pagos con tarjeta de crédito pueden no estar disponibles temporalmente como resultado.

Si esta situación ocurre en un sitio de comercio electrónico, es probable que los clientes se sientan incómodos, que sospechen y que acaben por dejar de usar el sitio. Esto puede dar como resultado una pérdida de oportunidades de ventas para el negocio. Además, el sitio se verá inundado de consultas y quejas de clientes reales preocupados preguntando si sus pedidos y pagos se procesaron correctamente.

Suspensión de pagos con tarjeta de crédito

Las compañías de tarjetas de crédito monitorean constantemente las condiciones de pago. Por esta razón, las compañías de tarjetas de crédito pueden suspender temporalmente los pagos de los sitios de comercio electrónico que han sido objeto de un ataque maestro de crédito.

La técnica maestra de crédito utiliza un gran número de números aleatorios que entran en conflicto entre sí. Esto da lugar a la gran cantidad de solicitudes de autorización mencionadas anteriormente, que pueden marcarse como fraudulentas. Como resultado, el proveedor de tarjetas de crédito puede considerar necesario detener por completo los pagos con tarjeta de crédito en un sitio determinado. Y mientras estos pagos estén suspendidos, es imposible proporcionar servicios de pago con tarjeta de crédito a clientes legítimos.

Pérdida de confianza del cliente y propagación de los daños y perjuicios

Como se mencionó anteriormente, es posible que los pagos con tarjeta de crédito no estén disponibles durante un tiempo. Si el sitio de comercio electrónico deja de funcionar mientras el cliente realiza un pedido, es posible que perciba el sitio como inseguro o incapaz de procesar pagos seguros.

Si un cliente consulta con la empresa, es posible que reciba una respuesta como: «Se han suspendido temporalmente los pagos con tarjeta de crédito debido a actividad no autorizada procedente de fuera de la empresa». Un mensaje como este puede aumentar el malestar o la desconfianza del cliente.

Además, si un ataque maestro de crédito tiene éxito, los atacantes de este tipo pueden considerar que el sitio tiene poca seguridad. Por lo tanto, el sitio podría seguir siendo el objetivo en el futuro. Además, si un tercero malintencionado obtiene información válida de la tarjeta de crédito del sitio de comercio electrónico de una empresa, la información personal de los clientes se ha visto comprometida. Los datos de sus tarjetas también pueden utilizarse de forma fraudulenta en otros lugares, lo que podría perjudicar aún más a los clientes.

¿Cómo pueden las empresas de Japón evitar los ataques maestros de crédito?

Estos son los pasos que las empresas pueden tomar para protegerse contra los ataques maestros de crédito y reducir la probabilidad de verse afectadas:

3D Secure

3D Secure es un sistema de autenticación que tiene como objetivo evitar el uso no autorizado de tarjetas de crédito al realizar pagos en sitios de comercio electrónico. Las contraseñas de un solo uso y la autenticación biométrica se están convirtiendo en la norma, y se utilizan para confirmar que la persona que introduce la información de la tarjeta de crédito es la propietaria legítima de la tarjeta.

Por ejemplo, en 3D Secure 2.0 (también conocido como «EMV 3-D Secure») es posible evitar el uso no autorizado, como el robo de información de tarjetas de crédito. El sistema realiza una evaluación de riesgos basada en datos detallados, como la información del dispositivo del cliente, la región de acceso y la hora del día. Sin embargo, 3D Secure 2.0 por sí sola no es suficiente para prevenir completamente el fraude, por lo que es necesario implementar otras medidas de prevención más allá de 3D Secure 2.0.

Herramientas de contramedidas de bots

El uso de herramientas de detección de bots es otra forma de evitar el acceso automatizado no autorizado, incluidos los ataques maestros de crédito. El reCAPTCHA de Google es una conocida herramienta de detección de bots, además de un servicio de seguridad que cualquier empresa puede adoptar.

reCAPTCHA v2 cuenta con dos tipos de pruebas. Uno requiere que el cliente marque una casilla para confirmar que no es un robot, y el otro requiere que los clientes seleccionen las imágenes correctas de un conjunto de varias imágenes. Por ejemplo, las instrucciones pueden decir algo así: «Por favor, seleccione las imágenes que incluyen un paso de peatones». A menudo se ven al enviar un formulario de consulta en un sitio web o al iniciar sesión en una cuenta.

Además, la última versión, reCAPTCHA v3, utiliza el aprendizaje automático para analizar los patrones de actividad web de los clientes y determinar automáticamente si un humano o un bot está accediendo al sitio. Si bien reCAPTCHA v3 no requiere la entrada del cliente como reCAPTCHA v2, proporciona una seguridad superior.

Sistemas de detección de fraude

Un sistema de detección de fraude identifica el uso fraudulento basándose en la información y el comportamiento de pagos anteriores. Estos son algunos de los datos que busca:

• Una dirección no válida o ficticia

• El nombre del titular de la tarjeta no coincide

• Pedidos realizados desde diferentes terminales

• Pagos repetidos con diferentes números de tarjeta

Con un sistema de detección de fraude, las empresas pueden prevenir más eficazmente los daños a los sitios de comercio electrónico, detectando y bloqueando automáticamente las transacciones fraudulentas que no se pueden verificar con 3D Secure. Los sistemas de detección de fraude tampoco exigen que los titulares de tarjetas legítimos pasen por pasos adicionales para efectuar pagos, como solicitar una autenticación adicional. Esto puede conducir a una mejor experiencia de compra para los clientes.

Stripe ayuda a las empresas a optimizar su entorno de pagos online haciendo frente a la creciente amenaza de fraude a escala mundial. Stripe Radar, la herramienta de prevención de fraude patentada de Stripe, usa machine learning para adaptarse a los patrones de fraude en constante cambio, lo que permite adoptar medidas de prevención más avanzadas. Debido a que se puede incorporar al flujo de pago sin tiempo ni costes adicionales para desarrollar de forma independiente un sistema de detección de fraude, el uso del sistema se puede iniciar de forma fácil y fluida.

Límites en la entrada de datos de tarjetas

Establecer un límite en la cantidad de veces que un cliente puede introducir la información de su tarjeta de crédito en la pantalla de pago puede evitar ataques maestros de crédito a gran escala.

Sin embargo, si el límite es demasiado estricto, puede bloquear el uso de la tarjeta si el titular legítimo introduce por error información incorrecta demasiadas veces. Un límite demasiado estricto puede aumentar el riesgo de abandono del carrito de compras y disminuir la satisfacción del cliente.

¿Cómo afectan los ataques maestros de crédito a los titulares de tarjetas?

Estos son algunos ejemplos de los daños que puede sufrir el titular de una tarjeta como consecuencia de un ataque maestro de crédito:

Uso fraudulento no detectado de la tarjeta

Si la información de la tarjeta de crédito generada en un ataque maestro de crédito se considera válida, es probable que sea utilizada por un tercero malintencionado. A medida que los atacantes que realizan ataques maestros de crédito adoptan métodos más sofisticados, muchos optan por mantener el importe gastado tan bajo que no sea detectado de inmediato como un uso fraudulento por parte del cliente.

Reemisión de la tarjeta

Si se producen varias transacciones fraudulentas con la tarjeta de crédito, la entidad emisora podría decidir cancelar la tarjeta. Como explicaremos más adelante, si un titular de tarjeta de crédito detecta por su cuenta un ataque maestro de crédito, debe ponerse en contacto con la entidad emisora y solicitar la cancelación de la tarjeta. En cualquier caso, será necesario volver a emitir la tarjeta y no se podrá utilizar hasta que esto ocurra.

¿Cómo pueden los titulares de tarjetas prevenir los ataques maestros de crédito?

Cuando una tarjeta de crédito se utiliza de forma fraudulenta en un ataque maestro de crédito, supone una carga financiera y psicológica para el cliente. Esto es lo que los titulares de tarjetas pueden hacer para reducir el riesgo de ser víctimas y lo que deben hacer si la información de su tarjeta de crédito se utiliza en un ataque maestro de crédito:

Prevención de ataques maestros de crédito

Revisar los extractos de las tarjetas de forma minuciosa y con regularidad

Si el titular de una tarjeta revisa su extracto bancario con regularidad, es más probable que note pagos que no recuerda haber hecho. Por ejemplo, en comparación con alguien que solo revisa su estado de cuenta una vez al mes, alguien que revisa su estado de cuenta después de cada tarde de compras o comida tendrá más probabilidades de saber si un pago es inusual o no.

Usar un servicio de notificación de uso

Un servicio de notificación de uso permite al titular de una tarjeta recibir notificaciones por correo electrónico, mensaje de texto o notificación push cada vez que se utiliza una tarjeta de crédito. Una vez que se utiliza la tarjeta, se le notifica en tiempo real el importe, la fecha, la hora, el nombre de la empresa y otros datos. Si recibe una notificación cuando no usó la tarjeta, sabrá de inmediato que se trata de un fraude y podrán tomar las medidas adecuadas.

Establecer restricciones en el uso de tarjetas

Establecer un límite para cada tipo de situación de uso puede aportar cierta tranquilidad a los clientes de tarjetas de crédito. También es importante establecer límites individuales para cada situación. Por ejemplo, si el titular de la tarjeta nunca viaja fuera de Japón, puede establecer el límite al mínimo. También puede configurar la tarjeta para evitar transacciones individuales de alto valor, de modo que sea menos probable que se conviertan en un objetivo para el fraude en las compras en línea.

Recuperarse de un ataque maestro de crédito

A veces, estos ataques son inevitables, incluso si la empresa y el titular de la tarjeta toman todas las medidas posibles para prevenir el fraude. Esto es lo que puede hacer un titular de tarjeta si es víctima de un ataque maestro de crédito:

Ponerse en contacto con la empresa emisora de la tarjeta de crédito para suspender la tarjeta

En el momento en que el titular de la tarjeta note cualquier uso no autorizado, debe comunicarse con la compañía de la tarjeta de crédito de inmediato y solicitar que se suspenda la tarjeta. Si se descubre un uso no autorizado, puede solicitar un reembolso rechazando el pago a través de un proceso llamado contracargo.

Usar el sistema de compensación

Después de que una tarjeta de crédito ha sido suspendida, los titulares de la tarjeta pueden usar el sistema de compensación de la compañía de la tarjeta de crédito. Los detalles de la compensación son diferentes para cada empresa, pero si se ha confirmado el uso no autorizado, pueden usar el sistema de compensación como medida de ayuda al consumidor. Por lo tanto, los titulares de tarjetas deben verificar los detalles del sistema de compensación con anticipación. Esto puede ayudarles a actuar con calma en caso de un ataque maestro de crédito.

Preguntas frecuentes sobre los ataques maestros de crédito

¿Cuándo se actualiza el extracto de una tarjeta de crédito?

En términos de tiempo, cuando la tienda envía los datos de uso a la compañía de la tarjeta de crédito, estos se reflejan en el estado de cuenta. Por ejemplo, si la tienda envía datos de uso inmediatamente después de un pago con tarjeta de crédito, generalmente tarda entre dos y tres días desde el momento del pago hasta el momento en que aparece en el estado de cuenta. Sin embargo, el tiempo de transmisión de datos varía según la tienda. En algunos casos, un cargo puede tardar varias semanas o meses en aparecer en un extracto bancario.

Si el titular de una tarjeta utiliza una tarjeta de crédito para pagar un producto, la información de la transacción no aparecerá en el extracto de inmediato.

¿Es posible que solo se pueda hacer un uso indebido del número de la tarjeta de crédito?

Las tarjetas de crédito incluyen varios datos que pueden utilizarse indebidamente, como el código de seguridad y la fecha de caducidad. A algunas personas les puede preocupar que su número de tarjeta haya sido revelado a un tercero y que se haya hecho un uso indebido. Sin embargo, en general, si solo se filtra uno de estos detalles, las posibilidades de un uso no autorizado exitoso son bajas.

Esto se debe a que, para comprar por Internet en un sitio de comercio electrónico o para registrarse en servicios digitales por Internet, es necesario que el titular de la tarjeta introduzca el número de tarjeta, el código de seguridad y la fecha de caducidad. En otras palabras, no es posible realizar un pago con tarjeta de crédito en línea solo con el número de tarjeta.

Sin embargo, si el código de seguridad y la fecha de caducidad se filtran junto con el número de tarjeta, sí podría utilizarse de forma fraudulenta. Por esta razón, cada vez que el titular de una tarjeta realiza un pago con tarjeta de crédito, ya sea en persona o no, debe tener cuidado con lo que pueden ver las personas que lo rodean. Deben evitar comprar en línea en lugares con un gran número de personas, ya que alguien podría intentar mirar la pantalla de pago y obtener sus datos.

¿Cuándo será obligatorio 3D Secure para tarjetas de crédito?

Como parte de las medidas para prevenir el uso no autorizado de tarjetas de crédito, 3D Secure 2.0 será obligatorio para los sitios de comercio electrónico en Japón a finales de marzo de 2025. A medida que el uso de 3D Secure se haga obligatorio, es importante que todas las empresas involucradas en el sector de las tarjetas de crédito alienten a las empresas de comercio electrónico a participar.

Lo que hay que saber sobre los ataques maestros de crédito

En este artículo examinamos los métodos de ataque y la cantidad monetaria de daño en los ataques maestros de crédito, así como el daño y las contramedidas tanto para las empresas como para los clientes.

Los ataques maestros de crédito implican técnicas maliciosas que permiten ataques aleatorios mediante el uso de la generación automática de números basada en máquinas como una forma de obtener información de tarjetas de crédito de forma fraudulenta. Para defenderte de los atacantes que quieran utilizar la técnica maestra de crédito, es muy importante utilizar 3D Secure y fortalecer el nivel de seguridad del sitio de comercio electrónico de tu empresa. Puedes hacerlo implementando la detección de fraude y creando un sitio donde los clientes puedan disfrutar de las compras con toda tranquilidad.

Por parte de los clientes, los titulares de tarjetas de crédito también deben tener especial cuidado al usar sus tarjetas, revisar sus estados de cuenta con regularidad y tener cuidado al almacenar y administrar sus datos personales.