El “card testing” es un tipo de fraude en el que alguien usa tu tienda online para comprobar si un lote de tarjetas robadas funciona, no para comprarte de verdad. Se detecta por patrones concretos: varios intentos de pago seguidos, importes pequeños o repetidos, mismo producto en cantidades raras, y datos de facturación que no encajan con la IP desde la que se conecta el comprador. La buena noticia es que casi nunca implica que tu web esté hackeada.
Cómo reconocer un intento de card testing
Los patrones se repiten mucho entre tiendas pequeñas. Estas son las señales que más deberían hacerte mirar dos veces un pedido:
- Cantidad inusual del mismo producto: 3, 5 o 10 unidades del mismo artículo, algo que un cliente real casi nunca hace en una primera compra.
- Dirección de facturación y IP de conexión en países distintos: un pedido facturado en España pero conectado desde una IP de otro continente es una bandera roja clásica.
- Nombre genérico y correo de webmail recién creado: sin histórico, sin teléfono, sin coincidencia con ningún cliente anterior.
- Pago rechazado sin reintentos con otra tarjeta: quien prueba tarjetas robadas no insiste con la suya propia si falla; pasa a la siguiente tarjeta de la lista, normalmente en otra tienda.
- Ocurre una vez y no vuelve a repetirse: a diferencia de un ataque sostenido, el card testing suele ser un intento puntual y aislado por tienda.
Qué hacer si detectas un caso
Si el pago fue rechazado por la pasarela (Stripe, Redsys, PayPal…), lo habitual es que no haya ningún cargo real ni coste para ti más allá del tiempo de revisarlo. Aun así, conviene:
- Confirmar que no se completó el cobro revisando el estado del pedido y de la pasarela de pago.
- No cancelar cuentas ni bloquear nada por impulso — verifica primero, especialmente si tienes automatizaciones (onboarding, bienvenida) que podrían dispararse con un pedido nuevo.
- Revisar si el sistema antifraude de tu pasarela (Stripe Radar y equivalentes) está activo — suele bloquear la mayoría de estos intentos automáticamente.
- Considerar limitar la cantidad comprable en productos que no tienen sentido en múltiples unidades, como una suscripción o licencia por sitio.
Cómo prevenir que vuelva a pasar
No hace falta convertir el checkout en un examen para el cliente. Con esto basta en la mayoría de tiendas pequeñas:
- Mantener activo el filtro antifraude de la pasarela de pago.
- Marcar como “venta individual” los productos que no tienen sentido en cantidad múltiple.
- Un CAPTCHA discreto en el checkout si empiezan a repetirse los intentos.
- Un mantenimiento activo de la web y la tienda que incluya revisión periódica de pedidos y seguridad, no solo actualizaciones.
Preguntas frecuentes
¿Un intento de card testing significa que me han hackeado la web?
No necesariamente. El fraude con tarjetas robadas normalmente no explota una vulnerabilidad de tu web: usa tu checkout como si fuera un cliente más, simplemente para probar tarjetas. Es un problema de fraude, no de seguridad del servidor, aunque conviene revisar ambas cosas por separado.
¿Me pueden cobrar algo si el pago aparece como “fallido”?
Si la pasarela de pago rechazó el cargo, no hay dinero moviéndose ni para ti ni para el comprador. El riesgo real aparece solo cuando un cargo se completa con éxito.
¿Debería preocuparme si es un caso aislado?
Un intento aislado y rechazado es habitual en cualquier tienda con tráfico, y no suele requerir acción urgente más allá de confirmar que no se cobró nada. Si empiezan a repetirse varios intentos seguidos, ahí sí conviene reforzar las medidas de prevención.
Si quieres que revisemos la seguridad y configuración antifraude de tu tienda, escríbenos.
¿Quieres aplicar esto en tu negocio? Mira cómo lo hacemos en tiendas online (e-commerce), o cuéntanos tu caso y te respondemos en 24-48 horas laborables.