El fraude en el proceso de compra se refiere a las tácticas engañosas o no autorizadas que se usan para robar bienes o servicios durante el proceso de transacción. La detección debe realizarse antes de la confirmación del pedido, lo que significa evaluar el riesgo en tiempo real con datos incompletos.

Las pérdidas por fraude global con tarjetas sumaron un total de USD 33,410 millones en 2024, lo que muestra la necesidad de tener sistemas de prevención de fraude. A continuación, explicamos cómo funciona el fraude en el proceso de compra, cómo los sistemas de puntuación de riesgo de fraude evalúan el riesgo en el punto de pago y cómo integrar la detección en tu flujo de compra sin degradar la conversión.

Conclusiones clave

• El fraude en el proceso de compra se dirige específicamente al momento de la transacción. La puntuación de riesgo en tiempo real antes de la autorización es una línea de defensa eficaz.

• Los motores de reglas y los modelos de machine learning funcionan mejor en combinación, con reglas que detectan patrones de fraude conocidos y modelos que identifican patrones nuevos.

• La calibración de la fricción (aplicar pasos de verificación solo donde las señales de riesgo los justifiquen) es una parte importante de una prevención de fraude eficaz.

¿Qué es el fraude en el proceso de compra?

El fraude en el proceso de compra es el uso no autorizado o abusivo de un flujo de pago para completar transacciones que el titular de la cuenta o el titular de tarjeta nunca aprobaron. Ocurre en el momento en que los datos robados de la tarjeta, los scripts de prueba automatizados y las cuentas comprometidas convergen en el flujo de compra.

¿Cuáles son los escenarios comunes de fraude en el proceso de compra?

El fraude en el proceso de compra se concentra en algunos patrones bien definidos. Cada uno tiene una firma de comportamiento distinta en los datos de la transacción.

Vulnerabilidades del proceso de compra para invitados

El proceso de compra para invitados elimina la capa de la cuenta de la transacción. No hay historial de compras, ni dirección guardada, ni línea base de comportamiento, que es lo que lo hace atractivo para los estafadores.

Los procesos de compra legítimos para invitados aún tienden a parecer normales a nivel de sesión: los clientes navegan, agregan artículos y pasan una cantidad razonable de tiempo en la página. Las transacciones fraudulentas en el proceso de compra para invitados a menudo no lo hacen: la duración de la sesión es corta y la navegación es mínima. Esas señales no son determinantes por sí solas, pero en combinación, elevan la puntuación de riesgo rápidamente.

Prueba de tarjetas durante el proceso de compra

La prueba de tarjetas es un juego de volumen. Los delincuentes que adquieren datos de tarjetas robadas de forma masiva necesitan saber qué tarjetas aún están activas antes de poder monetizarlas. Los flujos de compra, especialmente los de artículos de bajo valor o bienes digitales, son campos de prueba convenientes.

La firma de comportamiento es difícil de ignorar: intentos rápidos de transacciones secuenciales, montos pequeños o en números redondos, altas tasas de rechazo y una velocidad de sesión que ningún ser humano podría replicar. Los scripts de prueba modernos se han vuelto más sofisticados al rotar las direcciones del protocolo de Internet (IP) y espaciar los intentos a lo largo de ventanas más amplias para mantenerse por debajo de los umbrales de velocidad simples, razón por la cual es importante la detección en capas.

Apropiación de cuentas en la etapa de pago

El fraude por apropiación de cuenta no siempre aparece en el inicio de sesión. A menudo aparece en el proceso de compra, cuando un delincuente que ya está dentro de una cuenta legítima realiza cambios que no encajan con su historial: agrega una nueva dirección de envío y la usa de inmediato, ingresa un número de tarjeta desde un dispositivo que nunca antes tocó esta cuenta o cambia una dirección de facturación con un envío acelerado. De forma individual, cualquiera de estas acciones podría ser legítima. Juntas, dentro de una sola sesión, son una fuerte señal de que la persona que realiza el proceso de compra no es el titular de la cuenta.

¿Cómo funciona la puntuación de riesgo de fraude en el flujo de compra?

Cuando un cliente envía un pago, un sistema de puntuación de riesgo de fraude extrae las señales disponibles y produce una puntuación de riesgo.

Las entradas normalmente incluyen:

• Señales a nivel de tarjeta: Número de identificación bancaria (BIN), país, tipo de tarjeta, si la tarjeta ha aparecido antes y si la dirección de facturación coincide con la que el banco emisor tiene en sus archivos a través de una comprobación del servicio de verificación de direcciones (AVS).

• Señales del dispositivo y de la sesión: huella del dispositivo, características del navegador, geolocalización de IP y si la IP está asociada a un proxy conocido o a una red privada virtual (VPN).

• Características del pedido: tipo de partida (los bienes digitales suelen tener tasas de fraude más altas que los bienes físicos), valor del pedido en relación con el historial de la cuenta y si la dirección de envío coincide con la de facturación.

• Señales de comportamiento: tiempo en la página, ruta de navegación y qué tan rápido pasó el cliente de la página de destino a la confirmación de compra.

¿Cómo funciona la detección de fraude en el proceso de compra en tiempo real?

La detección en tiempo real combina motores de reglas y modelos de comportamiento para evaluar el riesgo en el momento de la transacción. Los dos enfoques tienen ventajas diferentes.

Motores de reglas

Las reglas manejan una lógica determinista: si una transacción coincide con un patrón negativo conocido, se bloquea. Son rápidos y transparentes, y puedes ver exactamente por qué se bloqueó una transacción, lo que importa para la resolución de disputas y la investigación de falsos positivos. La desventaja es la inflexibilidad. Una regla escrita para detectar un patrón de fraude probablemente no detectará una variante a menos que escribas otra regla, lo que significa que las reglas requieren un mantenimiento continuo a medida que cambian los patrones de ataque.

Modelos de machine learning

Los modelos de machine learning se encargan de la evaluación probabilística. Evalúan combinaciones de señales contra patrones aprendidos de millones de transacciones anteriores y asignan una puntuación de probabilidad en lugar de un indicador binario. Generalizan bien los nuevos patrones de fraude sin requerir que definas manualmente cada escenario de riesgo. La desventaja es la opacidad, donde el resultado de un modelo de «probabilidad de fraude del 94 %» requiere una interpretación que no es necesaria para un bloqueo basado en reglas.

Análisis de comportamiento

Las señales de comportamiento añaden una capa que generalmente es más difícil de falsificar que los puntos de datos estáticos. Los eventos de copiar y pegar en los campos de pago indican entradas automatizadas o relleno de credenciales (donde los atacantes usan credenciales de inicio de sesión robadas de filtraciones de datos no relacionadas para apoderarse de las cuentas). Completar un formulario de forma inusualmente rápida, los movimientos erráticos del mouse y cambiar de pestaña durante el proceso de compra contribuyen a la puntuación de riesgo en formas que requieren imitar la interacción humana en tiempo real para evadirlas.

Juntos, estos sistemas producen puntuaciones de riesgo con la resolución suficiente para tomar decisiones matizadas. Las transacciones dudosas deben enrutarse a la revisión en lugar de rechazarse de plano.

¿Cómo se integra la puntuación de riesgo de fraude en el proceso de compra?

La integración se lleva a cabo en el nivel de la interfaz de programación de aplicaciones (API), entre el envío del pago y la autorización. Tu página de confirmación de compra recopila los detalles de pago, tu back-end los envía a tu sistema de puntuación de riesgo de fraude junto con los datos de sesión y de pedido, el sistema de puntuación de riesgo devuelve una puntuación de riesgo y una acción recomendada, y la lógica de tu proceso de compra enruta la transacción en consecuencia.

A continuación, se detalla cómo funciona cada paso:

• Pasa los datos correctos: los sistemas de puntuación de riesgo de fraude son tan buenos como las señales que reciben. Si no pasas datos de la huella del dispositivo, la dirección IP y los metadatos de la sesión junto con los detalles de pago, dejas sin usar tus entradas de mayor nivel. Muchas API de puntuación de riesgo de fraude incluyen una biblioteca cliente de JavaScript que recopila datos del dispositivo y de la sesión automáticamente.

• Configura los umbrales de riesgo de forma deliberada: los umbrales predeterminados generalmente no están calibrados para tu empresa. Un umbral apropiado para un marketplace de gran volumen y bajo margen difiere de uno adecuado para un proceso de compra B2B de bajo volumen y alto valor. Establece los umbrales en función de tus objetivos de tasa de fraude y la tolerancia a los falsos positivos, luego, ajústalos con datos de transacciones reales.

• Crea una cola de revisión en lugar de una lista de bloqueos: las transacciones que superan tu umbral de bloqueo se bloquean automáticamente, pero aquellas que se encuentran en un rango medio (sospechosas pero no concluyentes) deben enrutarse a una cola para que las revisen personas. Bloquear automáticamente transacciones dudosas aumenta las tasas de falsos positivos y favorece el abandono; aprobarlas de forma automática aumenta las pérdidas por fraude.

• Controla la conversión durante el proceso de compra junto con los resultados de fraude: si tu tasa de bloqueo sube, pero las pérdidas por fraude no disminuyen en la misma proporción, es probable que tus reglas estén generando falsos positivos. Si las pérdidas por fraude aumentan a pesar de las altas tasas de bloqueo, tus umbrales podrían estar mal configurados o los estafadores han aprendido a mantenerse por debajo de ellos.

¿Cuáles son las prácticas recomendadas para la prevención de fraude en el proceso de compra?

Hay algunas prácticas de mantenimiento que pueden ayudarte a mantener tu sistema de prevención de fraude funcionando con eficacia sin bloquear las transacciones legítimas:

• Mantén las reglas actualizadas: los patrones de fraude cambian, y una regla ajustada al comportamiento de prueba de tarjetas del trimestre pasado podría omitir la variante de este trimestre. Revisa tus tasas de bloqueo y revisión con frecuencia. Actualiza las reglas cuando veas nuevos patrones en transacciones rechazadas o en disputa.

• Establece capas de comprobaciones de velocidad en varios identificadores: las reglas de velocidad que solo verifican las direcciones IP son fáciles de evadir. Coloca capas en toda la huella del dispositivo, la dirección de correo electrónico y el BIN de la tarjeta, ya que un estafador que rote las IP seguirá activando una regla de velocidad por dispositivo o por correo electrónico.

• Ingresa las señales posteriores a la transacción en la puntuación de riesgo: los patrones de contracargos, el abuso de reembolsos y las tasas de excepción de entrega muestran fraudes que no se detectaron en el proceso de compra. Úsalos para actualizar tus reglas y tu configuración de puntuación de riesgo de fraude, ya que la puntuación de riesgo de fraude mejora con los bucles de retroalimentación.

• Segmenta los umbrales por tipo de pedido: los bienes digitales, las tarjetas de regalo y los pedidos de envío acelerado tienden a tener tasas de fraude más altas. Aplica umbrales más estrictos a estos tipos de pedidos en lugar de tener una puntuación de riesgo uniforme en todo tu catálogo.

Cómo puede ayudar Stripe Radar

Stripe Radar utiliza modelos de IA para detectar y prevenir fraudes. Estos modelos, entrenados con datos de la red global de Stripe, se actualizan continuamente en función de las últimas tendencias de fraude, lo cual mantiene a tu empresa protegida a medida que evoluciona.

Stripe también ofrece Radar para Equipos de Fraude, que permite a los usuarios agregar reglas personalizadas que abordan escenarios de fraude específicos de sus empresas y acceder a información avanzada sobre fraude.
Radar puede ayudar a tu empresa a lograr lo siguiente:

• Prevenir pérdidas por fraude: Stripe procesa más de $1 billón en pagos al año. Este crecimiento permite que Radar detecte y prevenga el fraude con precisión y ahorre dinero.

• Aumentar los ingresos: los modelos de IA de Radar se entrenan con datos reales de disputas, información de clientes, datos de navegación y más. Esto permite que Radar identifique transacciones de riesgo y reduzca falsos positivos, lo que aumenta tus ingresos.

• Ahorrar tiempo: Radar se integra en Stripe y no necesita líneas de código para su configuración. También puedes controlar el rendimiento del fraude, escribir reglas y mucho más en una sola plataforma, lo que aumenta la eficiencia.

Obtén más información sobre Stripe Radar o empieza a utilizarlo hoy.