Fraude con tarjeta no presente (card not present fraud)

El fraude con tarjeta no presente (card not present fraud, o fraude CNP) es el uso no autorizado de credenciales de tarjeta robadas en una transacción en la que la tarjeta física nunca se presenta: en línea, dentro de una app, por teléfono o por correo. Como no se lee ningún chip ni se ingresa un PIN en una terminal, el pago se autoriza únicamente con datos: número de tarjeta, fecha de vencimiento, CVV y cualquier señal de contexto que el comercio y el emisor logren reunir.

Una transacción con tarjeta no presente no es sospechosa por naturaleza. Es el modo habitual de operación del comercio electrónico, los cobros recurrentes, el checkout BNPL y el desembolso de crédito digital. El fraude CNP es, simplemente, lo que ocurre cuando la credencial es legítima y quien la usa no lo es, y el canal de pago no puede demostrar ni una cosa ni la otra.

Qué diferencia a la tarjeta presente de la tarjeta no presente

En una transacción con tarjeta presente, el chip ejecuta una autenticación criptográfica en la terminal. La tarjeta demuestra que es la tarjeta. Falsificar ese mecanismo resulta caro, y por eso la migración a EMV desplazó al fraude organizado hacia los canales remotos en lugar de eliminarlo.

En el caso de la tarjeta no presente, esa prueba desaparece. Al emisor solo le queda inferir la legitimidad a partir de datos estáticos que se filtran de forma constante por brechas de seguridad, phishing y reventa en la dark web. Cada capa de autenticación agregada desde entonces – AVS, verificación de CVV, 3D Secure, códigos de un solo uso – es un intento de reconstruir con contexto la prueba que falta, en lugar de obtenerla mediante criptografía en el punto de venta.

Dónde empieza el fraude con tarjeta no presente

La transacción es el último paso, no el primero. Los conjuntos de credenciales robadas suelen validarse antes de gastarse: el card testing ejecuta intentos de bajo monto contra comercios con controles débiles, para confirmar qué números siguen activos antes de usar o revender los que funcionan. Para cuando aparece la pérdida, la tarjeta ya suele haber sido probada.

La segunda vía es la autenticación misma. La ingeniería social dirigida a obtener códigos de un solo uso le permite al defraudador registrar los datos de la tarjeta robada en una billetera digital o superar directamente un reto de autenticación. Una vez entregado el código, el pago llega autenticado al emisor. La autenticación reforzada del cliente se da por cumplida. La transacción puede verse más limpia que una legítima realizada desde un navegador desconocido y, a esas alturas, la decisión ya está perdida.

Cómo prevenir el fraude con tarjeta no presente

La verificación de credenciales sigue siendo necesaria, pero ya no basta por sí sola. La prevención del fraude CNP depende de evaluar el entorno desde el que se origina una transacción, no solo los datos que la acompañan:

• Contexto de sesión y dispositivo. Emuladores, máquinas virtuales, herramientas de acceso remoto, configuraciones de navegador aleatorizadas y conexiones rotativas pueden observarse antes de la autorización. Un dispositivo sin historial que acaba de solicitar el registro de una tarjeta en una billetera no se parece en nada a un cliente recurrente.
• Correlación entre intentos. Un dispositivo nuevo no es fraude. Decenas de intentos con distintas tarjetas desde una misma configuración de dispositivo, o una misma tarjeta en decenas de dispositivos, sí son una red de fraude. El card testing solo es visible a nivel agregado.
• Velocidad y comportamiento, no solo monto. La cadencia de tecleo, el copiar y pegar en campos sensibles y una navegación demasiado lineal para un humano se pueden medir sin agregar fricción para los usuarios legítimos.
• Autenticado no significa legítimo. Cualquier modelo de detección de fraude CNP que trate un reto 3D Secure superado como definitivo seguirá aprobando transacciones obtenidas por ingeniería social. Las señales de dispositivo y de comportamiento les ofrecen a los equipos de riesgo una segunda lectura independiente. La inteligencia de dispositivo sustenta esta capa sin depender de identificadores directos del usuario, algo relevante en mercados regidos por el GDPR, la LGPD, la Ley DPDP y regímenes comparables, y en carteras donde la cobertura de los burós es desigual.

FAQ

¿Qué es una transacción con tarjeta no presente?

Una transacción con tarjeta no presente es cualquier pago que se completa sin que una terminal lea la tarjeta física: pagos en línea, compras dentro de apps, pedidos telefónicos y ventas por correo. El comercio envía los datos de la tarjeta en lugar de un criptograma autenticado por chip, de modo que la autorización depende solo de datos y contexto.

¿Cuál es la diferencia entre el fraude con tarjeta presente y con tarjeta no presente?

El fraude con tarjeta presente requiere la posesión física de una tarjeta o de una copia falsificada y está limitado por la geografía. El fraude con tarjeta no presente necesita únicamente los datos de la credencial, escala sin restricciones físicas y puede ejecutarse desde cualquier lugar contra cualquier comercio remoto.

¿Basta con el CVV para prevenir el fraude con tarjeta no presente?

No. El CVV confirma que el código ingresado coincide con los registros del emisor, pero los conjuntos de datos filtrados u obtenidos por phishing suelen incluirlo. El CVV filtra intentos oportunistas y no hace nada frente a credenciales ya validadas, por eso la detección de fraude CNP por capas es la práctica estándar.

¿Cómo se puede prevenir el fraude con tarjeta no presente?

Combinando la verificación de credenciales con una evaluación a nivel de sesión: señales de dispositivo y entorno, anomalías de comportamiento, análisis de conexión y correlación entre intentos. La prevención funciona mejor antes de la autorización, en el inicio de sesión y en el registro de tarjetas en billeteras, y no solo en la transacción.