Ataque BIN

Un ataque BIN (BIN attack) es una técnica de fraude de pagos por fuerza bruta: los defraudadores parten de un BIN conocido, el número de identificación bancaria que forman los primeros seis u ocho dígitos de una tarjeta, generan con él posibles números de tarjeta y los envían como pequeños intentos de autorización para averiguar qué números, fechas de vencimiento y códigos de seguridad corresponden a cuentas activas.

El ataque no necesita una filtración de datos previa. Los números se generan a partir del rango de numeración del emisor, no se roban, por lo que a menudo los tarjetahabientes resultan afectados sin haber expuesto su tarjeta en ningún lugar. La empresa cuyo checkout o formulario de pago se utiliza para las pruebas asume buena parte del costo: comisiones por autorización, un aumento repentino de rechazos y un mayor escrutinio por parte de su adquirente.

Cómo funciona un ataque BIN

El BIN, cuyo nombre formal es número de identificación del emisor (IIN, por sus siglas en inglés), identifica la institución que emitió la tarjeta y, a menudo, el producto al que pertenece. Desde su revisión de 2017, la norma ISO/IEC 7812-1 establece que el IIN tiene ocho dígitos en lugar de seis.

Los dígitos restantes siguen una estructura conocida y terminan en un dígito verificador, por lo que se pueden generar automáticamente largas listas de números estructuralmente válidos. Solo una autorización confirma si detrás de un número hay una cuenta real. Por eso, los defraudadores prueban los números generados en cualquier formulario que dispare una autorización (un checkout en línea, una página de donaciones, una prueba gratuita, el paso de vinculación de una tarjeta), por lo general mediante scripts o bots, a menudo con solicitudes de monto bajo o de monto cero, y van rotando fechas de vencimiento y códigos CVV entre intentos. Los mensajes de rechazo pueden revelar qué dato falló, lo que acota la siguiente ronda. Los datos que superan la prueba se usan para compras fraudulentas con tarjeta no presente o se revenden.

Ataque BIN, card testing y card cracking

Los tres términos se superponen y a menudo se usan como sinónimos. En un uso habitual, el card testing comprueba si los datos de tarjetas obtenidos por otra vía siguen siendo válidos; el card cracking obtiene por fuerza bruta los datos que faltan de una tarjeta de la que solo se conoce una parte, y el ataque BIN genera los propios números de tarjeta a partir del rango de un emisor. Emisores, adquirentes y proveedores no siempre trazan estos límites de la misma manera.

Cómo rastrean los ataques BIN las redes de tarjetas y los emisores

Las redes de tarjetas tratan la enumeración como una categoría de riesgo independiente. El Visa Acquirer Monitoring Program (VAMP) la supervisa cada mes junto con el fraude y las disputas. Según los umbrales de la ficha informativa del programa publicada por Visa en 2025, un comercio supera el umbral de enumeración cuando, en un mismo mes, las transacciones identificadas como enumeración representan al menos el 20% de todos los intentos de autorización y suman como mínimo 300,000. Los emisores ven la otra cara de la misma actividad: una ráfaga de intentos contra un mismo rango BIN, distribuida entre muchos comercios.

Cómo se detectan los ataques BIN

Los controles a nivel de tarjeta detectan poco, porque cada número generado aparece una o dos veces y luego desaparece. La detección se apoya en datos agregados. Entre las señales que se usan con frecuencia están:

• picos de intentos de autorización dentro de un mismo rango BIN

• números de tarjeta secuenciales o casi secuenciales

• una proporción inusual de rechazos por número de tarjeta inválido o CVV incorrecto

• concentraciones de montos bajos idénticos

Los ataques BIN suelen estar automatizados, y la automatización deja rastros fuera de los datos de pago. Muchas tarjetas enviadas desde un mismo dispositivo, sesión o rango de IP, una cadencia regular entre intentos propia de un script, navegadores headless, emuladores, máquinas virtuales y configuraciones de dispositivo que cambian de un intento a otro apuntan a herramientas automatizadas más que a clientes reales. Los controles de velocidad (velocity checks) basados en el dispositivo y la sesión, y no solo en la tarjeta, son una forma habitual de detectar este patrón.

Respuestas habituales

Entre las respuestas habituales están:

1. Limitar la frecuencia de solicitudes (rate limiting) en los endpoints de autorización y de vinculación de tarjetas.

2. Agregar una verificación adicional (challenge) cuando se sospecha automatización (consulte mitigación de bots).

3. Aplicar 3-D Secure cuando el mercado y el producto lo permitan.

4. Exigir la verificación del CVV y de la dirección (AVS) cuando esté disponible.

5. Notificar al adquirente o al emisor.

Bloquear temporalmente un rango BIN detiene el ataque con rapidez, pero también deja fuera a clientes legítimos de ese emisor, así que el costo en falsos rechazos debe sopesarse frente al volumen del ataque.