Robo de datos de tarjeta en el checkout: cómo ocurre la copia

El robo de datos de tarjeta en el checkout funciona así: un fragmento de código malicioso, escondido en la página de pago de una tienda legítima, lee lo que el cliente escribe (número, fecha de vencimiento, código de seguridad) y envía una copia al delincuente mientras la compra sigue con normalidad. La tienda cobra, el cliente recibe su pedido y nadie nota nada hasta que aparecen cargos extraños en el resumen de la tarjeta.

Qué pasa en la pantalla del cliente

Cada página de pago se arma en el navegador del comprador a partir de muchas piezas de código: las de la propia tienda, las de la plataforma de e-commerce, las de los plugins y las de socios como herramientas de analítica, chat o reseñas. Todas se ejecutan juntas, dentro de la misma página. Eso es útil (es lo que permite avisar al instante de que el número de tarjeta está incompleto), pero también significa que cualquier código presente puede ver lo que se escribe en los campos.

El ataque aprovecha justamente eso. El delincuente introduce su propio código en la página, ya sea entrando al panel de la tienda, aprovechando una falla de la plataforma o de un plugin, o comprometiendo a un socio que provee algún script. A partir de ahí, el guion casi siempre es el mismo:

1. El cliente completa el formulario de tarjeta, como en cualquier compra.
2. El código malicioso lee los campos mientras escribe o en el momento en que hace clic en pagar.
3. Una copia de los datos se envía a una dirección controlada por el delincuente, a menudo con un nombre que imita un servicio legítimo de estadísticas.
4. La compra continúa y se aprueba. Para la tienda y para el cliente, nada parece fuera de lo normal.

La guía publicada por el PCI Security Standards Council en marzo de 2025 llama a este tipo de ataque silencioso: todo funciona como se espera, tanto para el cliente como para el comercio, y por eso puede pasar mucho tiempo sin ser descubierto.

Casos reales que muestran el patrón

El caso mejor documentado es el de British Airways. Según la resolución de la autoridad británica de protección de datos (ICO), publicada en octubre de 2020, un atacante entró en la red de la aerolínea con credenciales de acceso remoto comprometidas y modificó un archivo de código del sitio. Durante 15 días, entre agosto y septiembre de 2018, cada cliente que escribía los datos de su tarjeta enviaba sin saberlo una copia a un dominio parecido al de la empresa, y la reserva seguía sin interrupciones. Unas 430.000 personas pueden haber resultado afectadas, y fue un tercero, no una alarma interna, quien avisó a la compañía. La ICO terminó multando a la aerolínea.

En 2019, el equipo de prevención de fraude de Visa describió un código de este tipo, al que llamó Pipka. Podía configurarse para elegir qué campos copiar (número, vencimiento, código de seguridad, nombre y dirección) y se borraba de la página justo después de ejecutarse, para dificultar la investigación. Visa lo encontró en al menos 17 tiendas.

No es un problema aislado. En diciembre de 2023, una operación coordinada por Europol con policías de 17 países notificó a 443 tiendas online que los datos de tarjeta de sus clientes habían quedado expuestos, en solo dos meses de trabajo. En abril de 2026, la firma de investigación Sansec informó de casi 100 tiendas con un código escondido dentro de un elemento de imagen invisible, que enviaba los datos a direcciones disfrazadas de estadísticas de una red social.

Por qué las defensas tradicionales no lo ven

El firewall, el antivirus del servidor y el antifraude son importantes, pero miran a otro lugar. El antifraude evalúa si la transacción parece legítima, y lo es: el cliente es real, la tarjeta es suya y la compra también. El firewall protege la entrada al servidor. La copia de los datos, en cambio, ocurre en el navegador del comprador, cuando la página ya salió del servidor.

Hay dos agravantes. El código malicioso suele imitar herramientas conocidas, así que pasa inadvertido en una revisión rápida. Y revisar el código guardado en el servidor de la tienda no muestra lo que se agregó después, por un socio, por un gestor de etiquetas o directamente en la página publicada. Por eso el hallazgo casi siempre llega de afuera: un banco que detecta fraudes concentrados, la marca de la tarjeta, un investigador.

Qué hacer en tu tienda

• Conoce qué se ejecuta en el checkout. Haz una lista de todos los scripts que cargan las páginas de pago, quién es responsable de cada uno y por qué debe estar ahí.
• Elimina lo que sobra. Las herramientas de marketing, chat y reseñas rara vez necesitan estar en la página donde se escribe la tarjeta.
• Cierra las puertas de entrada. Mantén plataforma, tema y plugins actualizados, elimina lo que no uses y exige verificación en dos pasos en todo acceso administrativo y remoto.
• Restringe los destinos. Configura la página para que solo cargue código desde direcciones autorizadas y solo envíe datos a ellas.
• Vigila la página que recibe el cliente, no solo el código del servidor: scripts nuevos o modificados y envíos a destinos desconocidos deben generar una alerta inmediata.
• Ten un plan. Define a quién llamar (adquirente, proveedor de pagos, equipo técnico) si aparece algo sospechoso y cómo avisar a los clientes.

Estos cuidados son también el núcleo de los requisitos 6.4.3 y 11.6.1 del PCI DSS, obligatorios desde el 31 de marzo de 2025.

Proteside fue creado para ese momento: un script en la página de pago que verifica, en el navegador del comprador, quién está leyendo los campos de la tarjeta y adónde van los datos, y bloquea la copia antes de que salga. Mira cómo funciona la protección contra el robo de datos de tarjeta y pruébalo gratis durante 14 días.