Guías
Prevención del fraude en pagos para comercios online: tipos, herramientas y métricas
La prevención del fraude en pagos online consiste en frenar el card testing, las compras con tarjetas robadas, la toma de cuentas y el fraude amistoso sin rechazar a clientes legítimos. Funciona por capas: controles de cuenta y velocidad, huella del dispositivo y puntuación de riesgo, 3D Secure en pedidos de riesgo, CVV y dirección en la autorización y pruebas después. Mida juntos fraude, disputas y rechazos falsos.
En resumen
| Fraude en pagos en el EEE, 2024 | 4200 millones de euros, frente a 3500 millones en 2023 (ABE y BCE, diciembre de 2025) |
|---|---|
| Fraude con tarjeta fuera del EEE | 17 veces mayor cuando el beneficiario está fuera del EEE, donde a menudo no se aplica la SCA |
| Umbral VAMP de Visa para comercios, Europa | Denuncias de fraude más disputas del 1,5 % de las transacciones con tarjeta no presente liquidadas desde abril de 2026, a partir de 1500 eventos al mes |
| Mastercard Excessive Chargeback Merchant | Ratio de contracargos del 1,5 % y al menos 100 contracargos en un mes |
| Tasas de fraude de referencia de la TRA en PSD2 | 0,13 % hasta 100 €, 0,06 % hasta 250 € y 0,01 % hasta 500 € en pagos con tarjeta a distancia |
| Reembolso del fraude APP en el Reino Unido | Reembolso obligatorio de hasta 85 000 £ por reclamación desde el 7 de octubre de 2024 |
¿Qué tipos de fraude en pagos afectan a los comercios online?
El fraude online sigue al dinero y al control más débil. La ABE y el BCE contabilizaron 4200 millones de euros de fraude en pagos en el EEE en 2024, con el fraude con tarjeta concentrado en los pagos con tarjeta no presente y en los pagos a comercios de fuera del EEE. Los comercios asumen el coste de la mayor parte del fraude con tarjeta a través de contracargos, comisiones y mercancía perdida.
Cada tipo de la tabla deja señales distintas y requiere una defensa diferente, por lo que un único conjunto de reglas o una sola herramienta rara vez cubre todos.
| Tipo de fraude | Cómo funciona | Señal típica | Defensa principal |
|---|---|---|---|
| Card testing | Los bots prueban números de tarjetas robadas con pagos pequeños | Muchos intentos de bajo importe, alta tasa de rechazo | Límites de velocidad, detección de bots, CAPTCHA |
| Fraude con tarjeta robada (CNP) | Un defraudador compra con datos reales de una tarjeta | Dispositivo nuevo, país o dirección que no coinciden | Puntuación de riesgo, 3D Secure |
| Toma de control de cuentas | Se usan credenciales robadas para pedir o cambiar los datos de cobro | Dispositivo nuevo, restablecimiento de contraseña, dirección modificada | Controles de riesgo en el inicio de sesión, autenticación adicional |
| Fraude amistoso | El titular legítimo disputa una compra que hizo él mismo | Cliente recurrente, pedido entregado, disputa posterior | Descriptores claros, prueba de entrega, evidencias |
| Fraude de triangulación | Una tienda falsa revende su mercancía pagada con tarjetas robadas | Dirección de envío distinta del titular, patrones de reventa | Vinculación de direcciones y dispositivos, revisión |
| Fraude MOTO | Tarjetas robadas en pedidos por teléfono o correo | Entrega urgente, importe alto, sin SCA | Llamada de verificación, controles de CVV y dirección |
| Estafas APP y de reembolso | Se engaña a clientes o empleados para que envíen dinero | Datos bancarios modificados, peticiones urgentes | Verificación del beneficiario, controles de pagos salientes |
¿Qué es el fraude amistoso y es ilegal el fraude de contracargos?
El fraude amistoso, también llamado fraude de contracargos o fraude de primera parte, se produce cuando el titular que realizó una compra la disputa ante su banco como no autorizada o no recibida. Algunos casos son una confusión honesta por un descriptor desconocido o por la compra de un familiar; otros son deliberados. Presentar a sabiendas un contracargo falso para quedarse con la mercancía y el dinero es una forma de fraude y puede perseguirse, pero en la práctica los comercios lo combaten mediante el proceso de disputas.
3D Secure no detiene el fraude amistoso, porque el titular real puede autenticarse. Ayudan un descriptor en el extracto que los compradores reconozcan, los correos de confirmación de pedido, la prueba de entrega y una vía sencilla de reembolso. En las disputas de Visa, Compelling Evidence 3.0 permite responder a una reclamación de fraude con dos transacciones anteriores no disputadas, realizadas entre 120 y 365 días antes con la misma tarjeta y datos coincidentes de dispositivo o IP.
¿Qué herramientas de prevención del fraude debe usar un comercio online?
Ninguna herramienta cubre todos los tipos de fraude y cada una añade coste o fricción. La pregunta útil es qué ve cada herramienta y cuándo actúa: antes del pedido, antes de la autorización, durante la autenticación o después de la venta.
Las puntuaciones de aprendizaje automático combinan muchas señales débiles, mientras que las reglas codifican lo que ya sabe de su negocio. La mayoría de los comercios necesitan ambas: reglas para los límites estrictos y los bloqueos explicables, y puntuación para la zona gris intermedia.
- Reglas: bloquear o revisar por país, importe, producto, método de envío o correo, tarjeta y dispositivo en lista de bloqueo
- Controles de velocidad: limitar los intentos por tarjeta, dispositivo, dirección IP, correo y cuenta en minutos y días
- Huella del dispositivo: reconocer dispositivos recurrentes, emuladores, proxies y muchas cuentas en un mismo dispositivo
- Puntuación de riesgo con aprendizaje automático: una puntuación por pago a partir del comportamiento, el historial y los datos de red
- 3D Secure 2: autenticación por el emisor, con traslado de la responsabilidad por fraude en los pagos autenticados
- Verificación de CVV y de dirección (AVS): comprobaciones del emisor en la autorización; el AVS está disponible sobre todo para tarjetas del Reino Unido, Estados Unidos y Canadá
- Revisión manual y retención del envío: para pedidos de importe alto o dudosos antes de que la mercancía salga del almacén
¿Qué métricas de fraude debe seguir?
La tasa de fraude por sí sola premia rechazar a todo el mundo. Siga la tasa junto con la ratio de disputas que vigilan las redes de tarjetas y los rechazos falsos que usted provoca, porque un buen cliente al que se rechaza cuesta todo el margen y, a menudo, también sus pedidos siguientes.
El Acquirer Monitoring Program de Visa cuenta juntas las denuncias de fraude y las disputas, y su umbral para comercios en Europa se redujo al 1,5 % en abril de 2026. Superar los umbrales de las redes supone multas, comisiones más altas del adquirente y, al final, perder la aceptación de tarjetas.
| Métrica | Cómo se calcula | Valor de referencia |
|---|---|---|
| Tasa de fraude por valor | Volumen fraudulento dividido entre el volumen total con tarjeta | Tramos TRA de PSD2 de 0,13 %, 0,06 % y 0,01 % para los PSP |
| Ratio VAMP de Visa | Denuncias de fraude más disputas divididas entre las transacciones CNP liquidadas | Umbral del 1,5 % para comercios en Europa desde abril de 2026 |
| Ratio de contracargos de Mastercard | Contracargos divididos entre las transacciones del mes anterior | 1,5 % y 100 contracargos para Excessive Chargeback Merchant |
| Tasa de rechazos falsos | Pedidos buenos rechazados o cancelados divididos entre todos los pedidos buenos | Fije su propia referencia; revise muestras cada mes |
| Tasa de desafío 3DS | Autenticaciones desafiadas divididas entre todas las autenticaciones | Compare por país del emisor y tramo de importe |
| Tasa de revisión manual | Pedidos enviados a revisión divididos entre todos los pedidos | Manténgala lo bastante baja para revisar antes de su hora límite de envío |
¿Cómo es un enfoque de prevención del fraude por capas?
Cada capa detecta lo que la anterior dejó pasar y permite reservar la fricción para los pedidos que la necesitan. Los pagos de bajo riesgo pasan rápido, los de riesgo medio reciben autenticación y los de riesgo alto se bloquean o se revisan.
Coloque cada control lo antes posible: bloquear un bot de card testing en el registro cuesta menos que pagar comisiones de autorización por miles de intentos rechazados.
| Capa | Cuándo actúa | Controles | Fricción para el comprador |
|---|---|---|---|
| 1. Cuenta | Registro e inicio de sesión | Detección de bots, riesgo de inicio de sesión, paso adicional en dispositivos nuevos | Ninguna para la mayoría de usuarios |
| 2. Checkout | Antes del pago | Límites de velocidad, huella del dispositivo, listas de bloqueo | Ninguna |
| 3. Puntuación de riesgo | Antes de la autorización | Reglas más puntuación de aprendizaje automático | Ninguna |
| 4. Autenticación | Riesgo medio y alto | Desafío 3D Secure 2 o exención | Desafío para una parte de los pedidos |
| 5. Autorización | En el emisor | CVV, AVS, modelos de riesgo del emisor | Solo el rechazo |
| 6. Tras la venta | Envío y disputas | Retenciones, prueba de entrega, evidencias, reembolsos | Retraso en los pedidos revisados |
¿Cómo se conecta la puntuación de riesgo con el enrutamiento de pagos?
Una puntuación de riesgo es más útil cuando cambia lo que ocurre con el pago, no solo si se bloquea. Las puntuaciones bajas pueden enviarse con una solicitud de exención TRA para mantener el checkout sin fricción, las medias pasan por 3D Secure y las altas se bloquean o se retienen para revisión. Con varios adquirentes, la puntuación también puede decidir qué conexión procesa el pago, por ejemplo enviando las cestas de alto riesgo a la cuenta con mejor configuración de autenticación.
El enrutamiento también crea riesgo de fraude. Reintentar un pago rechazado con un segundo proveedor ayuda con los rechazos técnicos y blandos, pero reintentar rechazos definitivos o un posible card testing extiende el ataque a todas sus cuentas y eleva las ratios de disputas en todas partes. Las reglas de reintento deben comprobar primero el motivo del rechazo y la puntuación de riesgo.
¿Cómo se añaden controles antifraude con OrsunPay?
OrsunPay es un proveedor de servicios técnicos que funciona sobre las cuentas de PSP del propio comercio, por lo que siguen aplicándose las herramientas antifraude y las normas de responsabilidad de cada contrato con un PSP. Los informes reúnen los resultados de pago de los proveedores conectados; el enrutamiento inteligente basado en riesgo y una integración con RiskCogs para la puntuación de dispositivos y transacciones están previstos y no están disponibles hoy.
Cómo configurar una prevención del fraude en pagos por capas
- Mida su situación de partida Exporte tres meses de pagos, disputas y rechazos, y calcule la tasa de fraude, la ratio de disputas y la tasa de aprobación por país, método y tramo de importe.
- Frene primero los ataques automatizados Añada detección de bots y límites de velocidad por tarjeta, dispositivo, dirección IP y correo para bloquear el card testing antes de que llegue a la autorización.
- Puntúe cada pago Use el motor de riesgo de su PSP o una herramienta de puntuación aparte, y escriba reglas para los límites estrictos que ya conoce.
- Vincule las puntuaciones a acciones Defina tramos para pasar con exención, autenticar con 3D Secure, revisar y bloquear, y pruebe los umbrales con pedidos pasados.
- Prepárese para las disputas Corrija su descriptor en el extracto, conserve la prueba de entrega y los datos del dispositivo, y reembolse los errores evidentes antes de que se conviertan en contracargos.
- Revise cada mes Compruebe juntos fraude, disputas y rechazos falsos y ajuste las reglas, ya que los patrones de fraude cambian tras cada modificación que usted haga.
Preguntas frecuentes
¿Qué es el fraude amistoso?
El fraude amistoso es un contracargo presentado por el titular legítimo de la tarjeta por una compra que hizo o autorizó, alegando que no estaba autorizada o no se recibió. Representa una parte importante de las disputas por fraude porque 3D Secure y las puntuaciones de fraude no pueden detener al titular real.
¿Es ilegal el fraude de contracargos?
Disputar a sabiendas una compra legítima para recuperar el dinero y quedarse con la mercancía es fraude y puede perseguirse. Los comercios suelen responder mediante el proceso de disputas de las redes con evidencias, y pueden rechazar pedidos futuros de ese cliente.
¿Qué es el fraude MOTO?
El fraude MOTO usa datos robados de tarjetas en pedidos por correo o teléfono. Estos pagos quedan fuera de la autenticación reforzada de cliente, por lo que los comercios dependen de llamadas de verificación, controles de CVV y dirección y una revisión cuidadosa de los pedidos urgentes o de importe alto.
¿Cómo puedo frenar el fraude en mi ecommerce sin perder buenos clientes?
Use fricción basada en el riesgo: deje pasar los pagos de bajo riesgo, autentique con 3D Secure los de riesgo medio y bloquee o revise solo los pedidos de riesgo alto. Mida los rechazos falsos junto con el fraude, para que endurecer las reglas no cueste en silencio más ingresos que el fraude que evita.
¿Qué tasa de fraude es buena para una tienda online?
Mantenga las ratios de fraude y de disputas muy por debajo de los umbrales del 1,5 % de Visa y Mastercard. Si quiere que los adquirentes soliciten exenciones TRA, necesita una cartera mucho más baja, ya que PSD2 fija tasas de referencia de entre el 0,01 % y el 0,13 % para los PSP.
¿Qué es el card testing?
El card testing consiste en que los defraudadores usan bots para comprobar números de tarjetas robadas con pagos pequeños en un sitio web. Provoca comisiones de autorización, un aumento de la tasa de rechazo y disputas por fraude posteriores, y se frena con límites de velocidad, detección de bots y CAPTCHA en el checkout.