El fraude en e-commerce se está convirtiendo en una amenaza cada vez mayor en todo el mundo. Uno de los principales impulsores es la naturaleza de tarjeta no presente (CNP) de las compras online, que crea una enorme superficie de ataque para cualquiera que quiera aprovecharse de ella. Se prevé que el valor del fraude global en e-commerce crezca de unos 56.000 millones de $ en 2025 a 131.000 millones de $ en 2030. Para hacer frente a esta amenaza, una prevención de fraude en e-commerce eficaz combina controles superpuestos en los que cada uno detecta lo que a los demás se les escapa.

A continuación, exploraremos los tipos de fraude comunes que afectan a los minoristas online, cómo funciona la detección en tiempo real a nivel de transacción y cómo crear una estrategia de prevención en capas que pueda detectar a los estafadores sin rechazar a los clientes legítimos.

De un vistazo

• El fraude en e-commerce abarca múltiples tipos, como el fraude con CNP, el fraude amistoso y la apropiación de cuenta. Cada uno requiere diferentes controles para su detección y prevención.

• La detección de fraude en tiempo real asigna una puntuación de riesgo a partir de las señales del dispositivo, los datos de comportamiento y las características del pedido. Esa puntuación determina si el sistema automatizado aprueba, bloquea o revisa una transacción.

• Una estrategia de prevención en capas combina modelos de machine learning con reglas personalizadas y controles de verificación en el proceso de compra para lograr la cobertura más amplia con la menor fricción para los clientes legítimos.

¿Qué es el fraude en el e-commerce?

El fraude de e-commerce es cualquier intento de completar una transacción online usando información robada, falsa o manipulada para obtener bienes, servicios o dinero sin autorización legítima. A diferencia del fraude en persona, no hay ninguna tarjeta que robar físicamente ni ninguna cara que identificar; eso hace que el canal online sea más atractivo para los estafadores.

¿Cuáles son los tipos comunes de fraude en el e-commerce?

Estos son algunos tipos comunes de fraude en el e-commerce:

• Fraude CNP: Alguien utiliza las credenciales robadas de una tarjeta para realizar un pedido. El titular de la tarjeta a menudo disputa el cargo con su banco, y la empresa pierde los productos, los ingresos y, por lo general, también una comisión por contracargo.

• Fraude amistoso: Un cliente legítimo realiza una compra, recibe el artículo y disputa el cargo de todos modos. Alega que no estaba autorizado, que el artículo nunca llegó o que no coincidía con la descripción. Sin pruebas sólidas, como la confirmación de entrega, los registros de protocolo de Internet (IP) y las huellas digitales de los dispositivos, las empresas pueden perder estas disputas.

• Usurpación de cuenta: Un actor fraudulento obtiene acceso a la cuenta de un cliente existente (a menudo mediante el relleno de credenciales usando pares filtrados de nombres de usuario y contraseñas), luego cambia la dirección de envío y realiza pedidos utilizando el método de pago almacenado. Dado que la cuenta tiene un historial de compras legítimo, estos pedidos suelen superar los controles básicos de fraude sin dar ninguna señal de advertencia.

• Abuso de devoluciones: Los clientes se aprovechan de políticas de devolución permisivas para obtener reembolsos por artículos que ya han utilizado, o bien devuelven productos dañados o diferentes. El fraude de reembolso afecta a los márgenes de la misma manera que otros tipos de fraude, pero a menudo se trata como un problema operativo.

• Abuso de promociones y cupones: Los actores fraudulentos crean múltiples cuentas para reclamar repetidamente descuentos para nuevos clientes, bonificaciones por referidos o códigos promocionales. Esto es especialmente común con los productos digitales o de suscripción, donde no hay un límite físico a la cantidad de veces que el abuso se puede repetir.

¿Qué prácticas recomendadas para la prevención de fraude en e-commerce deberían seguir los minoristas online?

Los programas eficaces de prevención de fraude combinan señales de detección, medidas de seguridad en el proceso de compra y políticas internas. La monitorización de transacciones debe vigilar las siguientes señales que, en su conjunto, indican la probabilidad de fraude:

• Patrones inusuales: Múltiples pedidos desde la misma dirección IP, número de tarjeta o dispositivo en un breve periodo de tiempo suelen indicar fraude automatizado o ataques de carding (es decir, los estafadores prueban números de tarjetas robadas con pequeñas transacciones antes de hacer otras más grandes).

• Dismilitudes en el envío y la facturación: Un pedido en el que las direcciones de facturación y de envío están en países diferentes o en el que el correo electrónico no coincide con el que figura en los archivos de esa tarjeta aumenta la probabilidad de fraude.

• Señales del dispositivo y del navegador: La huella digital del dispositivo captura atributos como la configuración del navegador, la resolución de la pantalla y las fuentes instaladas. Un dispositivo previamente asociado a un pedido fraudulento es un fuerte indicador de riesgo, con independencia de la tarjeta que esté usando en ese momento.

• Características del pedido: Los pedidos de alto valor que se hacen inmediatamente después de crear una cuenta, las unidades múltiples del mismo artículo de alta reventa y el envío urgente a un destino en el que no tiene sentido logístico son situaciones que merecen una inspección más minuciosa.

En el proceso de compra, las comprobaciones de verificación adicionales pueden darte una mejor idea de quién completa la transacción. Entre ellas, se incluyen las siguientes:

• Servicio de verificación de la dirección (AVS): Comprueba si la dirección de facturación que introduce un cliente coincide con la que tiene registrada el emisor de la tarjeta. Una coincidencia total no garantiza la legitimidad, pero una dismilitud puede ser una señal de riesgo importante.

• Comprobación del valor de verificación de la tarjeta (CVV): Esto confirma que la persona que hace el pedido tiene acceso físico a la tarjeta, no solo al número de esta. Exigir el CVV en el proceso de compra es una práctica habitual.

• 3D Secure (3DS): Esto añade un paso de autenticación en el que el titular de la tarjeta verifica su identidad directamente con el emisor de esta, a menudo mediante un código de un solo uso o una solicitud biométrica. Cuando la autenticación 3DS se realiza correctamente, la responsabilidad por contracargo suele pasar de la empresa al emisor de la tarjeta.

Las reglas automatizadas te permiten establecer límites estrictos en torno al comportamiento de las transacciones: puedes bloquear todos los pedidos que se envíen a una región de alto riesgo específica, exigir revisión manual por encima de un determinado valor de pedido o rechazar cualquier transacción en la que el AVS falle y el pedido supere un umbral establecido. El reto estriba en que las reglas son estáticas por defecto. Las tácticas de fraude cambian y las reglas que funcionaban de forma eficaz hace seis meses podrían generar hoy falsos rechazos. Las tasas de bloqueo y las tasas de falsos positivos requieren revisión periódica.

¿Cómo se detectan los pedidos fraudulentos en tiempo real?

Cuando un cliente hace un pedido, el proceso de detección de fraude se inicia incluso antes de que la petición de autorización de pago llegue a la red de tarjetas. Así es como funciona:

• Captura de datos: El sistema del proceso de compra recopila señales del dispositivo, la dirección IP y el comportamiento de la sesión (p. ej., el tiempo en la página, la cadencia de escritura, cómo se rellenaron los campos del formulario) junto con los propios detalles del pedido.

• Evaluación de reglas: El pedido se comprueba con bloqueos basados en reglas, como límites de velocidad de transacción, países bloqueados y restricciones de tarjetas basadas en el número de identificación bancaria (BIN). Los pedidos en los que se produce un bloqueo estricto se detienen aquí.

• Puntuación de riesgo: Un modelo evalúa todo el conjunto de señales y genera una puntuación ponderando diferentes señales en función de qué combinaciones han precedido históricamente a los contracargos y disputas.

• Decisión: En función de la puntuación y de los umbrales configurados, el pedido se aprueba automáticamente, se marca para revisión humana o es rechazado. Un equipo antifraude trabaja en la cola de revisión para evaluar manualmente los casos límite.

• Bucle de retroalimentación: Cuando un pedido marcado se revisa y aprueba o es rechazado manualmente, ese resultado se retroalimenta al modelo y mejora la precisión de la puntuación futura.

¿Cuál es la diferencia entre las técnicas y las herramientas de prevención de fraude en e-commerce?

Las técnicas de prevención de fraude en e-commerce son enfoques analíticos que se usan para identificar el fraude. El software relacionado puede desplegar estas técnicas a escala.

Estas son algunas técnicas comunes:

• Comprobaciones de velocidad: Marcan una frecuencia de transacciones inusual en un periodo determinado. Esto es útil para detectar ataques de «carding», en los que los estafadores prueban lotes de números de tarjetas robadas en rápida sucesión.

• Biometría conductual: Analiza cómo un usuario interactúa con un formulario (p. ej., el movimiento del ratón, la velocidad de pulsación, los patrones de autocompletado) para distinguir a los humanos de los bots que intentan automatizar el proceso de compra.

• Modelos de machine learning: Se entrenan con datos históricos de transacciones para identificar patrones que preceden al fraude, incluidos patrones demasiado sutiles para que las reglas los detecten. Cuantos más datos de transacciones se utilicen para entrenar un modelo de machine learning, mejor será la capacidad para distinguir los casos límite genuinos del fraude.

• Análisis de red: Identifica señales compartidas entre cuentas (p. ej., el mismo dispositivo, la misma dirección IP, el mismo dominio de correo electrónico) para detectar redes de fraude que operan en varias cuentas simultáneamente.

Stripe Radar aplica modelos de machine learning entrenados con datos de transacciones de toda la red de Stripe. Puesto que Radar observa patrones en millones de empresas, puede identificar señales de riesgo que ninguna empresa tendría datos suficientes para detectar por sí sola. Un número de tarjeta que ha aparecido en una transacción fraudulenta en otra parte de la red es una señal valiosa, aunque sea la primera vez que lo veas.

¿Cómo se crea una estrategia de prevención de fraude en e-commerce por capas?

Una estrategia por capas significa que ningún punto único de fallo deja pasar el fraude. Cada capa detecta lo que las demás pasan por alto.

Esto es lo que debería incluir una estrategia por capas:

• Verificación de cuenta y de identidad: Antes de que alguien pueda hacer un pedido, confirma que es quien dice ser. La verificación del correo electrónico al crear la cuenta, los requisitos de contraseñas seguras y la autenticación 3DS añaden controles básicos de identidad que reducen el riesgo de apropiación de cuentas.

• Señales a nivel del proceso de compra: Las comprobaciones de CVV, AVS y la huella digital del dispositivo pueden detectar una gran parte de los intentos de fraude con tarjeta no presente antes de que se completen. Procesar transacciones sin estos controles deja lagunas obvias.

• Puntuación de riesgo: La puntuación en tiempo real evalúa el contexto completo del pedido. Aquí es donde una herramienta como Stripe Radar añade más valor, ya que el modelo se basa en señales de toda la red que la verificación a nivel de proceso de compra no puede ver por sí sola.

• Reglas personalizadas: Las reglas específicas de la empresa ajustan el modelo base a tu contexto. Una empresa de bienes digitales se enfrenta a patrones de fraude diferentes a los de un minorista de bienes físicos, y las reglas te permiten codificar ese conocimiento directamente en tu toma de decisiones.

• Monitorización posterior a la transacción: Las tasas de contracargos, los patrones de disputas y las anomalías en la gestión logística también son señales. La monitorización de métricas posteriores detecta el fraude que ha eludido las capas anteriores y proporciona información para ajustar las reglas y los umbrales con el tiempo.

• Devoluciones y controles de políticas: Las empresas que sufren a menudo fraudes en las devoluciones pueden mitigar el abuso exigiendo fotos de los artículos devueltos, emitiendo crédito de la tienda en lugar de reembolsos a las cuentas marcadas o implementando plazos de devolución proporcionales al valor del pedido. Y pueden hacerlo sin perjudicar significativamente la experiencia de los clientes honestos.

Cómo puede ayudarte Stripe Radar

Stripe Radar usa modelos de IA para detectar y prevenir el fraude, entrenados con datos de la red mundial de Stripe. Actualiza continuamente estos modelos en función de las últimas tendencias de fraude, para que tu empresa permanezca protegida a medida que el fraude evoluciona.

Stripe también ofrece Radar for Fraud Teams que permite a los usuarios añadir reglas personalizadas para hacer frente a situaciones de fraude específicas de sus empresas y acceder a información avanzada sobre fraudes.

Estos son algunos de los beneficios de trabajar con Radar:

• Prevenir las pérdidas por fraude: Stripe procesa más de un billón de dólares en pagos anualmente. Esta escala permite de manera única que Radar detecte y prevenga el fraude de forma precisa y te ahorre dinero.

• Aumentar los ingresos: Los modelos de IA de Radar se entrenan con datos de disputas reales, información del cliente, datos de navegación, etc. Esto permite a Radar identificar transacciones de riesgo y reducir los falsos positivos, lo que aumenta tus ingresos.

• Ahorrar tiempo: Radar está integrado en Stripe y requiere cero líneas de código para configurarlo. También puedes monitorizar el rendimiento frente al fraude, escribir reglas y mucho más en una única plataforma, lo que aumenta la eficiencia.

Obtén más información sobre Stripe Radar o empieza hoy mismo.