Formulario de pago falso en el checkout: detectarlo y bloquearlo

El formulario de pago falso es una estafa en la que un código malicioso dibuja, en la página de pago de una tienda legítima, un formulario de tarjeta que imita al verdadero. El cliente escribe sus datos ahí, ve un mensaje de error o es llevado al formulario real y vuelve a escribir todo. La compra se aprueba, pero los datos del primer intento ya llegaron al delincuente. Para bloquearlo hay que asegurar que el único formulario de tarjeta visible sea el legítimo, y comprobarlo en la pantalla del comprador, no solo en el servidor.

Cómo funciona la estafa

1. El delincuente introduce un código en la página: por una falla de la plataforma, de un tema o plugin, por un acceso de administrador robado o por un script de un socio comprometido.
2. Cuando el cliente llega al pago o hace clic para finalizar la compra, el código muestra un formulario falso, encima del verdadero o antes de él, con candado, colores y textos que parecen de la tienda.
3. El cliente escribe número, vencimiento y código de seguridad, y una copia sale hacia una dirección del delincuente.
4. El código muestra un error, o simplemente cierra la ventana, y lleva al cliente al formulario real.
5. El cliente vuelve a escribir los datos, la compra se aprueba y nadie relaciona una cosa con la otra.

La guía del PCI Security Standards Council sobre seguridad de la página de pago, de marzo de 2025, llama a este formato ataque de doble ingreso. Tiene una ventaja para el delincuente: funciona incluso cuando el formulario verdadero es del proveedor de pagos y el código de la página no puede leer lo que se escribe en él. El formulario falso no necesita tocar al verdadero; le basta con aparecer primero.

Dos casos de 2026

En febrero de 2026, la firma de investigación Sansec informó del caso de una cadena de supermercados con presencia internacional. El código inyectado en su tienda mostraba un formulario de tarjeta falso en el idioma del cliente y, tras el envío, presentaba el formulario real del proveedor de pagos. Antes de actuar, comprobaba si el visitante era un administrador con sesión iniciada y, en ese caso, no hacía nada: quien probara su propio checkout nunca vería el fraude. Sansec afirmó haber avisado a la empresa seis veces sin respuesta y señaló que las herramientas de inteligencia artificial permiten crear formularios falsos en cualquier idioma y estilo en pocos minutos.

En abril de 2026, Sansec describió una campaña en 99 tiendas. Al hacer clic en el botón de finalizar la compra, el cliente veía una ventana a pantalla completa con el título “Secure Checkout” y un candado, que validaba el número de tarjeta en tiempo real y pedía la dirección de facturación. Después del envío, llevaba al cliente al checkout verdadero y marcaba el navegador para no pedirle los datos dos veces a la misma persona.

Cómo reconocer las señales

El PCI SSC observa que el doble ingreso suele descubrirse antes que la copia silenciosa, porque el cliente lo nota o porque la tienda lo ve al hacer pruebas. El caso de febrero muestra que la segunda vía puede fallar. Presta atención a:

• clientes que cuentan que tuvieron que escribir la tarjeta dos veces, o que vieron un error y luego pudieron pagar;
• comentarios sobre una ventana de pago distinta, en otro idioma o con campos de más;
• avisos de fraude del banco o del adquirente sobre tarjetas usadas en tu tienda;
• campos de tarjeta en la página que no son tuyos ni de tu proveedor;
• envíos de datos desde la página a direcciones que no reconoces.

Al probar, actúa como un cliente común: sin sesión iniciada, en una ventana privada, desde otro dispositivo y otra red.

Cómo bloquearlo: checklist

• Aligera la página. Deja solo los scripts imprescindibles en las páginas de pago y en las que muestran el formulario del proveedor.
• Cierra las entradas. Actualiza plataforma, tema y plugins, elimina lo que no uses y exige verificación en dos pasos en los accesos de administración.
• Limita orígenes y destinos. Configura la página para que solo cargue código desde direcciones autorizadas y solo envíe datos a ellas.
• Vigila de forma continua. El requisito 11.6.1 del PCI DSS pide revisar cambios al menos una vez por semana, pero el propio PCI SSC recomienda una vigilancia frecuente o en tiempo real cuando sea posible. Un formulario falso activo durante una semana alcanza a todos los clientes de esa semana.
• Comprueba el formulario en la pantalla del comprador. La protección más directa verifica, en el navegador, que el único formulario de tarjeta es el legítimo y bloquea cualquier capa superpuesta antes de que el cliente escriba.
• Prepara a tu equipo de atención. “Tuve que escribir la tarjeta dos veces” es una alerta de seguridad, no un detalle de usabilidad; define a quién debe llegar ese aviso.

Proteside protege justamente ese momento: verifica, en el navegador del comprador, los formularios de pago que muestra la página y frena el formulario superpuesto antes de que el cliente entregue sus datos. Conoce la protección para pagos con tarjeta y pruébalo gratis durante 14 días.