Carding

El carding es el robo, comercio y uso fraudulento de datos de tarjetas de pago, desde la sustracción de los números hasta su venta en mercados criminales y su monetización mediante compras.

Cómo funciona el carding

El carding es una economía clandestina con funciones definidas:

• Robo: los datos se obtienen con dispositivos de skimming, scripts de formjacking en tiendas online, páginas de phishing, malware en terminales de punto de venta y filtraciones de bases de datos.
• Comercio: los datos se venden en tiendas y foros de tarjetas de la dark web. Los vendedores distinguen los «dumps» (datos de la banda magnética para clonar tarjetas físicas) de los «CVV» o «fullz» (número de tarjeta, código de seguridad y datos personales para compras online).
• Validación: los carders hacen «card testing» con pequeños pagos automatizados para ver qué tarjetas siguen activas.
• Monetización: compra de bienes revendibles y tarjetas regalo, uso de reenviadores de paquetes y movimiento del dinero a través de mulas de dinero.

Por qué es importante

Las grandes filtraciones alimentan el mercado durante años. Las tarjetas robadas en el ataque a Target de 2013, que afectó a unos 40 millones de tarjetas, aparecieron en la tienda Rescator en pocos días. Joker’s Stash, una de las mayores tiendas de tarjetas, cerró en 2021 tras años vendiendo datos de brechas en comercios y restaurantes. Las pérdidas recaen en bancos y comercios mediante devoluciones de cargos, y en los clientes, que deben sustituir tarjetas.

Cómo protegerse del carding

• Los comercios deben cumplir PCI DSS, no almacenar datos de tarjetas y vigilar las páginas de pago en busca de scripts inyectados.
• 3-D Secure, la puntuación de fraude y los límites de frecuencia frenan el card testing.
• Los titulares deben activar alertas de transacciones, usar tarjetas virtuales o tokenizadas (Apple Pay, Google Pay) en internet y revisar sus extractos con regularidad.
• Es preferible pagar con chip o sin contacto en lugar de con banda magnética.