Resumen: detección de ataques BIN en la capa del navegador
- Por qué fallan los controles: Rotar IPs y desafíos CAPTCHA baratos se venden como la respuesta a la enumeración BIN, pero Visa atribuye alrededor de 1.100 millones de dólares en pérdidas del ecosistema a este ataque en un solo año, así que los controles habituales claramente no están cumpliendo.
- Qué hace cside: cside captura la huella del dispositivo, la puntuación conductual y la actividad de scripts de cada sesión de checkout, y marca puntuaciones planas, ausencia de movimiento del cursor y envíos de formulario a velocidad sobrehumana antes de que la transacción salga del navegador hacia la pasarela.
- Revisa tus registros: Si en tus últimos 30 días hay sesiones con más de cinco números de tarjeta distintos y una tasa de rechazo superior al 90%, tu pasarela te está facturando intentos de autorización sobre un ataque que solo detecta después de gastar tu dinero.
¿Poco tiempo? Consulta las herramientas de evidencia de chargebacks de cside. Cubre todo lo de abajo en un solo despliegue.
Los atacantes no prueban las tarjetas robadas a mano. Ejecutan un script automatizado que bombardea el checkout de un comercio con miles de transacciones de bajo valor en pocos minutos. Cada aprobación exitosa le entrega al delincuente un número de tarjeta validado que vale la pena revender o reutilizar. Si tu adquirente ve un pico de rechazos de bajo valor procedentes de un conjunto reducido de sesiones, eres el objetivo de un ataque BIN.
Qué es realmente un ataque BIN
Un Bank Identification Number son los primeros seis a ocho dígitos de una tarjeta de crédito o débito, e identifica al banco emisor y al esquema de la tarjeta. Los atacantes que obtienen o generan de forma algorítmica números de tarjeta dentro de un rango BIN válido usan la automatización para averiguar qué números están activos.
La mecánica es consistente en todos los ataques que hemos visto en la capa del navegador:
- Un script recorre números de tarjeta candidatos dentro de un rango BIN válido.
- Cada candidato se envía como una transacción pequeña, a menudo de $0.01 a $1.00, contra el checkout de un comercio.
- Cualquier tarjeta que devuelva aprobada queda marcada para reutilizarla en un intento de fraude de mayor valor más adelante.
Visa rastrea este mismo ataque con el nombre de ataque de enumeración y le ha atribuido cerca de 1.100 millones de dólares en pérdidas del ecosistema en un solo año. Mastercard lo señala dentro de sus informes de Fraud and Chargeback Reduction y ha estado desplegando Fraud Protection Technologies específicamente para contrarrestar la enumeración.
Por qué eligen a ciertos comercios
Los atacantes de BIN eligen checkouts donde la automatización sale barata. Tres propiedades suelen colocar a un comercio en lo alto de esa lista:
- Checkout como invitado, sin barrera de inicio de sesión
- Poca o ninguna fricción para bots más allá de un CAPTCHA básico
- Importe mínimo de transacción muy bajo, de modo que los intentos pasan por debajo de las reglas antifraude
Los comercios pequeños absorben la mayor parte del volumen porque sus controles son más ligeros. Los grandes comercios también pagan un precio real: comisiones de la pasarela en cada intento, contracargos en los intentos exitosos y multas a nivel de red si la proporción de tráfico de enumeración sube lo suficiente.
La firma en la capa del navegador
Un ataque BIN resulta inconfundible si puedes ver la sesión, no solo la transacción. Seis patrones aparecen juntos:
- Docenas o cientos de intentos de envío desde una sola sesión, dispositivo o IP en una ventana corta
- Números de tarjeta secuenciales dentro de un mismo rango BIN
- Ratios de rechazo frente a aprobación por encima del 90%
- La misma huella de dispositivo probando muchas tarjetas distintas
- Sin movimiento del cursor, sin scroll, sin ediciones del carrito, solo envío puro de formularios
- Tiempos más regulares de lo que cualquier humano podría producir
Las herramientas antifraude del lado del servidor que solo ven el flujo de transacciones detectan este ataque cuando ya ha pasado. La capa del navegador ve la firma de la automatización antes de que la transacción llegue a la pasarela. Esta es la misma señal que atrapa a los agentes de prueba de tarjetas impulsados por IA. Consulta nuestra guía sobre cómo bloquear agentes de IA que prueban tarjetas de crédito para el caso en el que la automatización es un agente impulsado por un LLM en lugar de un bot con script.
Controles que realmente funcionan
| Control | Qué detiene | Impacto realista |
|---|---|---|
| Huella de dispositivo | Intentos repetidos desde el mismo dispositivo, incluso con rotación de IP | Alto |
| Puntuación de comportamiento | Interacción con script frente a humana en el checkout | Alto |
| Límites de velocidad en la capa del navegador | Envíos rápidos desde un solo dispositivo o sesión | Medio |
| Límites de tasa por IP en la pasarela | Inundación directa desde una IP | Bajo; los atacantes rotan las IP |
| CAPTCHA | Automatización básica | Bajo; los bots modernos saltan reCAPTCHA de forma barata |
| Lista de bloqueo de BIN | Rangos BIN abusados conocidos | Medio y reactivo |
La huella de dispositivo está en lo más alto porque los ataques BIN dependen de una identidad de dispositivo estable para funcionar a escala. Rotar las IP es trivial para un atacante. Rotar las huellas de dispositivo de una manera que además engañe a los modelos de comportamiento, no lo es.
Dónde encaja cside
cside captura la huella de dispositivo, las señales de comportamiento y la actividad de los scripts desde el navegador en cada sesión de checkout. Cuando una sesión muestra patrones de automatización (puntuación de comportamiento plana, sin movimiento natural del puntero, envíos de formularios más rápidos de lo que un humano podría teclear), cside puede marcarla antes de que la transacción salga del navegador.
La misma huella de dispositivo también se convierte en evidencia utilizable en el pequeño porcentaje de transacciones de ataques BIN que tienen éxito y acaban disputadas. Mira cómo funciona la huella de dispositivo para la prueba de tarjetas cuando llegan las disputas.
Qué hacer esta semana
Si no estás seguro de si un ataque BIN ya ha aterrizado en tu checkout, tres comprobaciones te lo dicen rápido:
- Extrae los últimos 30 días de datos de autorización de tu pasarela y cuenta las sesiones con más de cinco números de tarjeta distintos intentados. Ese es tu volumen de intentos de enumeración.
- Compara el ratio de rechazos de esas sesiones con la media del sitio. Cualquier cosa por encima del 90% es enumeración.
- Comprueba si alguna de esas sesiones procesó con éxito una transacción. Si es así, espera un contracargo en los próximos 30 a 60 días.
Si los dos primeros números son altos y no puedes ver la señal de la capa del navegador, dependes por completo de las reglas antifraude de tu pasarela, y tu pasarela solo ve el ataque después de haber gastado tu dinero.
