Un comerciante que observa un ataque de card testing ve siempre lo mismo. Pedidos del artículo más barato del catálogo, llegando a ráfagas, cada uno con un nombre distinto y una tarjeta distinta y la misma dirección de envío. Cientos de checkouts abandonados al día que no ha creado ninguna persona. Casi ninguno prospera, y esa es la parte que lleva a la gente a suponer que el problema es de otro.
Signifyd midió un aumento del 175% en los ataques de card testing entre enero y abril de 2026 frente a los mismos meses de 2025, y atribuye la subida a la validación automatizada de credenciales. En esa misma ventana sitúa la presión de fraude en Norteamérica un 33% arriba y los intentos de apropiación de cuentas un 78% arriba.
La razón de que sea tan difícil de detener en Shopify no tiene nada que ver con lo buenas que sean las defensas. Tiene que ver con dónde están colocadas.
Qué está haciendo realmente el atacante
La parte confusa es el motivo. Alguien está pasando cientos de pedidos por tu tienda y abandonando casi todos, lo que parece vandalismo hasta que entiendes que los pedidos nunca fueron el objetivo.
Muchos de esos números de tarjeta no se le robaron a nadie. Se adivinaron. Un número de tarjeta no es aleatorio. Los primeros seis a ocho dígitos son el Bank Identification Number, que identifica al banco emisor, y esos rangos son públicos. El último dígito es un dígito de control que produce la fórmula de Luhn, aritmética que puede ejecutar cualquiera. Un atacante elige un BIN de un banco que le interese, rellena los dígitos centrales con candidatos y calcula el dígito final para que cada número sea estructuralmente válido. Eso produce un suministro inagotable de números que parecen reales ante cualquier formulario que solo compruebe su forma.
Estructuralmente válido queda muy lejos de utilizable. La mayoría de esos números no pertenece a ninguna cuenta, y de los que sí, la mayoría está caducada, congelada o ya cancelada. Lo mismo pasa con los números sustraídos en una brecha, que pasan meses en un volcado antes de que nadie llegue a ellos.
Así que el atacante tiene un montón de números candidatos y ninguna idea de cuáles están vivos. Hay exactamente una manera de averiguarlo, y es preguntarle a un banco. Preguntarle a un banco directamente no es algo que pueda hacer un delincuente. Preguntarle a un comerciante es trivial, porque cada checkout de ecommerce del mundo existe para pasarle una tarjeta a un procesador de pagos y devolver la respuesta.
Esa respuesta es el producto. Una tarjeta que aprueba un cargo de dos dólares es una tarjeta viva con una fecha de caducidad que funciona y un código de seguridad válido, y vale muchas veces más que un número sin probar en un mercado de reventa. La mercancía es irrelevante. El atacante no está de compras.
Por qué tu tienda y no la de otro
Nada de tu tienda atrajo esto. El card testing se ejecuta contra los checkouts que salen baratos de alcanzar, y una tienda Shopify sale barata de alcanzar porque Shopify es consistente. Los mismos patrones de URL funcionan en todas las tiendas de la plataforma, así que un script escrito contra una funciona contra todas sin modificaciones.
Los cargos pequeños mantienen la operación discreta. Los atacantes trabajan de uno en uno y de dos en dos, sobre el producto más barato del catálogo, porque un importe pequeño atrae menos escrutinio de los sistemas de riesgo y no cuesta casi nada en las raras ocasiones en que pasa. Las tarjetas regalo y los artículos de valor cero son todavía mejores, y los comerciantes reportan que son los primeros en recibir el golpe.
Cómo llegan al checkout sin llegar a navegar por tu tienda
Esta es la parte que sorprende a la gente, y no hay ningún exploit en ella.
Shopify admite los enlaces permanentes de carrito, una función documentada que usa cualquier comerciante para enlaces de anuncios y campañas de email. Una URL con la forma /cart/{variant_id}:{quantity} construye un carrito y envía al visitante directo al checkout, saltándose la página de producto, la página del carrito y todo lo demás. Existe para que un email de Black Friday pueda dejar a alguien en el checkout con un solo toque.
Un bot la usa por la misma razón que un marketer. Una petición crea el carrito y aterriza en el checkout, con la tienda saltada por completo. Añade un navegador automatizado que conduzca el paso del pago, reparte el tráfico entre direcciones de proxies residenciales para que ninguna destaque, y el conjunto entero funciona sin supervisión.
Nada de esa secuencia está roto ni es inusual. El atacante usa una función soportada exactamente como fue diseñada, a un volumen y con un propósito que nadie pretendía.
El ataque nunca carga las páginas que estás defendiendo
Los comerciantes que describen estos ataques en el propio foro de la comunidad de Shopify reportan que el tráfico llega directamente a la URL del checkout, sin navegar por la tienda para llegar hasta ahí. Ese único detalle explica por qué las respuestas habituales salen limpias.
Un captcha en la página de producto protege una página que el bot nunca pide. Una app que bloquea países o direcciones filtra sesiones de tienda que el bot nunca abre. El análisis de fraude de Shopify puntúa pedidos completados, y un intento de card testing rechazado nunca llega a serlo, así que la herramienta que debería cazar el fraude no tiene nada delante. Un comerciante de ese hilo reporta que se saltaban reCAPTCHA y los bots seguían llegando al checkout.
El patrón que se reporta es lo bastante consistente como para reconocerlo: una cuenta de cliente nueva por intento, direcciones de email rotativas que a menudo son reales y provienen de brechas, y una única dirección de envío reutilizada debajo de todas ellas. El objetivo es lo que menos cueste. Los comerciantes señalan productos de precio bajo recién añadidos, y tarjetas regalo o artículos de valor cero donde la tienda los tiene.
El volumen es lo que hace caro ignorarlo. Un comerciante reporta cientos de checkouts abandonados fraudulentos al día, otro un ataque que corre sin parar desde junio de 2025, y un tercero midió los checkouts abandonados un 18,4% arriba a lo largo de cuatro semanas.
Cada cargo rechazado te sigue costando algo
Esta es la parte que los comerciantes subestiman, y es la razón por la que una tienda con cero pedidos fraudulentos puede quedar seriamente dañada por un ataque.
Una solicitud de autorización que falla es un dato sobre ti, enviado al banco que la rechazó. Con suficientes de ellas, lo bastante juntas, tu tienda empieza a parecer un mal riesgo a las instituciones que deciden si aprobar a tus clientes. Shopify describe el resultado sin rodeos: las transacciones fallidas degradan la reputación del comerciante ante los bancos, y los clientes legítimos reciben rechazos mucho después de que el ataque termine, con una caída persistente de las tasas de autorización.
Shopify reporta que los comerciantes cubiertos por su protección ven aprobado un 13% más de sus ventas legítimas. Léelo como el tamaño del agujero y no como una prestación, porque es el mismo número visto desde el otro lado.
Hay un segundo coste que no tiene ninguna contrapartida. Los registros de checkouts abandonados fraudulentos no se pueden eliminar, y los comerciantes reportan haberlo confirmado igual con Shopify Flow, con el admin y con la API. Cada tasa de conversión, cada cifra de abandono de carrito y cada informe de embudo que cubra esas semanas queda permanentemente mal.
Visa ya vigila la enumeración como una categoría propia
El Visa Acquirer Monitoring Program consolidó en uno solo los antiguos programas de fraude y disputas, con umbrales en vigor desde el 1 de junio de 2025 y un periodo consultivo que se cerró el 30 de septiembre de 2025.
La métrica principal es una proporción entre fraude y disputas frente a transacciones liquidadas:
VAMP Ratio = Count of [Fraud (TC40) + Disputes (TC15)] / Count of Settled Transactions (TC05)
Para los comerciantes de Estados Unidos, Canadá, la Unión Europea y Asia Pacífico, el umbral Excessive era una ratio VAMP igual o superior a 220 puntos básicos junto con al menos 1.500 eventos de fraude y disputa en un mes. Ese umbral bajó a 150 puntos básicos el 1 de abril de 2026.
Por debajo se encuentra la cláusula que se aplica al card testing en concreto. Visa exige a los adquirentes que mantengan a los comerciantes por debajo de dos umbrales de enumeración:
| Medida | Umbral |
|---|---|
| Ratio de enumeración: autorizaciones enumeradas divididas entre todas las autorizaciones, aprobadas y rechazadas por igual | 2.000 puntos básicos, es decir el 20% |
| Recuento de transacciones de enumeración: transacciones enumeradas en un mes, aprobadas y rechazadas por igual | 300.000 |
Lee la primera fila con atención, porque el denominador son los intentos de autorización y no los pedidos completados. Una tienda de volumen modesto puede cruzar el 20% de sus intentos de autorización durante un único ataque sostenido sin acercarse jamás a las 300.000 transacciones. Aquí las tiendas pequeñas no están protegidas por ser pequeñas. Están expuestas por serlo.
Visa no publica los importes de las tasas asociadas a estos tramos. Los procesadores de pagos que documentan el programa describen multas aplicadas por transacción contabilizada bajo la métrica una vez terminado el periodo de gracia, y al menos uno documenta un tramo de aviso temprano que no lleva tasa alguna. Quien necesite la cifra debería preguntarle a su adquirente en lugar de fiarse de un número de un blog, y eso incluye las cifras que circulan con importes en dólares muy seguros de sí mismos.
Lo que hace Shopify y dónde se queda
Shopify publicó una descripción de sus propias defensas en junio de 2026, y las cifras que hay en ella merecen tomarse en serio.
Su modelo de machine learning puntúa cada intento de pago antes de que llegue al procesador, y bloquea aproximadamente el 90% de los ataques de card testing en checkouts de invitado con tarjeta de crédito. Esa es una defensa real que hace un trabajo real, y es gratis si usas Shopify Payments.
La cobertura tiene límites. Se aplica a checkouts de invitado con tarjeta de crédito, y solo a comerciantes que usan Shopify Payments. Un 90% aproximado también deja pasar más o menos uno de cada diez intentos, lo que a los volúmenes que describen los comerciantes sigue siendo un número sustancial de autorizaciones golpeando tus tasas cada día.
Shopify describe además cómo han cambiado los ataques, y esa descripción importa más que los porcentajes. Los ataques modernos son distribuidos y de bajo volumen sobre miles de comerciantes a la vez, enrutados a través de proxies residenciales para parecer tráfico corriente. Es un diseño deliberado para derrotar justo la defensa que casi todo el mundo prueba primero.
El edge ya ve el checkout, y no siempre fue así
Durante años el consejo estándar era mantener el proxy lejos del checkout. Guías que siguen circulando hoy dicen a los comerciantes de Shopify que dejen los subdominios de checkout sin proxificar.
Ese consejo está desactualizado, y comprobarlo lleva un minuto. Pide la URL del checkout en una tienda Shopify en producción y resuelve contra tu propio dominio principal, con la forma tudominio.com/checkouts/cn/<token>. No está en un hostname propiedad de Shopify. Una zona proxificada a través de Cloudflare ve esas peticiones y puede actuar sobre ellas.
Eso cambia lo que tienes disponible. La limitación de tasa, los desafíos gestionados y las reglas del WAF se pueden escribir contra la ruta que el ataque usa de verdad, en lugar de contra la tienda que nunca toca.
Vale la pena enunciar una excepción abiertamente en vez de descubrirla más tarde. Shop Pay y otros checkouts acelerados redirigen a un dominio propiedad de Shopify que queda fuera de tu zona, y ninguna regla tuya alcanza esa ruta.
Reglas que encajan con el ataque
Las guías publicadas para rutas de checkout arrancan alrededor de 5 a 10 peticiones POST por IP y minuto, y luego bloquean o desafían durante varios minutos. Es lo bastante bajo para detener a un bot machacando el endpoint y lo bastante alto para dejar en paz a un comprador real que reintenta una tarjeta rechazada.
Escalona la severidad por ruta en lugar de subirla en todas partes. Las rutas de checkout y de pago merecen un trato más estricto que la navegación de productos, que es toda la ventaja de aplicar reglas en el edge en vez de dentro de una app que no sabe distinguir las dos.
Usa un desafío antes de usar un bloqueo. LexisNexis encontró que el 56% de los minoristas estadounidenses y el 54% de los comerciantes de ecommerce estadounidenses reportan un aumento de la fuga de clientes ligado a sus propias medidas antifraude, que es un coste real pagado por compradores reales. Un desafío gestionado le cuesta un segundo a un falso positivo. Un bloqueo te cuesta la venta.
Combina el desafío con la limitación de tasa en lugar de elegir entre los dos. Un desafío actúa en el formulario. Una limitación de tasa caza peticiones que nunca renderizan el formulario, que es el comportamiento documentado aquí.
Acepta lo que un límite por IP no puede hacer. Contra un ataque distribuido y repartido en fino entre proxies residenciales, contar por IP es un suelo y no una respuesta, y la versión honesta de este consejo lo dice. Un comerciante de ese hilo de la comunidad reporta haberse gastado miles de dólares en un WAF con un éxito limitado, que es lo que pasa cuando se apunta una buena herramienta a la capa equivocada.
Quítale valor al objetivo antes de ajustar nada
Las victorias más baratas de aquí no son reglas en absoluto, y los comerciantes reportan que funcionan.
Despublica los productos de valor cero y las tarjetas regalo que la tienda no necesite, porque son lo primero que buscan los bots. Un comerciante reporta que despublicarlos junto con pasar a un checkout de tres páginas cortó la mayor parte del volumen.
Capturar el pago de forma manual en lugar de automática elimina la señal de autorización instantánea a por la que vino el atacante, lo que convierte tu tienda en un banco de pruebas pobre y le anima a irse a otra parte.
Ninguna de las dos cosas requiere un WAF, una app o una conversación con tu adquirente. Ambas reducen lo atractivo que resulta el objetivo, que es una respuesta más duradera que intentar afinar más que un atacante capaz de cambiar de dirección más rápido de lo que tú puedes listarlas.
Qué es esto y qué no es
Este artículo describe patrones de ataque que los comerciantes han reportado públicamente y umbrales publicados por Visa. No es asesoramiento legal ni de cumplimiento, y las tasas concretas, los requisitos de remediación y las obligaciones de reporte que se apliquen a tu cuenta vienen de tu adquirente.
Si tu tienda está bajo un ataque ahora mismo, el orden de operaciones es corto. Quita los objetivos baratos, pon un desafío y una limitación de tasa sobre la ruta del checkout, y lleva tu tasa de autorización delante de tu proveedor de pagos antes de que el patrón de rechazos pase a ser aquello que explicas en lugar de aquello que arreglas.