¿Tu tarjeta está en la wallet digital de un delincuente?
-
Este año, las conversaciones sobre cómo añadir tarjetas robadas a las wallets digitales casi se triplicaron.
-
El precio promedio de una tarjeta robada es de $10 USD, pero las tarjetas “listas para añadir” son mucho más caras.
-
Combinar los datos de la tarjeta con la información personal puede hacer que el precio se dispare a más del doble.
Acerca de la investigación
Las tarjetas robadas siguen siendo el producto más vendido en la dark web, pero ¿qué datos valen más para los delincuentes? ¿Qué tarjetas se consideran sin valor y se venden al por mayor, y cuáles tienen un costo especial?
Para responder estas preguntas, los investigadores de NordVPN y NordLayer Intelligence, de NordStellar, analizaron mercados clandestinos populares y evaluaron años de conversaciones ilícitas en foros de hackers y canales de Telegram. Nuestro estudio revela la transformación del mercado de las tarjetas robadas y su rumbo actual.
Tendencias emergentes en el fraude con tarjetas
El análisis más reciente de los mercados de la dark web realizado por NordVPN y NordLayer Intelligence reveló que los delincuentes están cambiando de hábitos. Las conversaciones en foros de la dark web y en Telegram sobre cómo agregar tarjetas robadas a wallets digitales casi se han triplicado en comparación con el año pasado.
Dichos intercambios no son solo palabras vacías. Los anuncios de tarjetas que están listas para añadirse a monederos digitales y servicios relacionados, como el robo de códigos de seguridad de un solo uso o la venta de herramientas para “intervenir” teléfonos, están aumentando. En cambio, las tarjetas bancarias más antiguas están perdiendo casi todo su valor, ya que están registradas en los sistemas de detección de fraude bancario, mientras que la clonación clásica de bandas magnéticas es poco eficaz frente a la mayoría de los lectores de chips.
Un nuevo método: usas las tarjetas robadas en las wallets digitales
Añadir una tarjeta a Apple Pay o Google Pay implica que parte de la responsabilidad en torno a la seguridad deja de estar en los sistemas del banco y recae en el teléfono del usuario. Los delincuentes pueden aprovechar esto con unos cuantos pasos:
01
El delincuente intenta vincular una tarjeta comprada en la dark web a su cartera de Apple Pay o Google Pay.
02
El banco intenta verificar la identidad del titular de la tarjeta, normalmente mediante la emisión de un código de un solo uso.
03
El delincuente burla el proceso de verificación, por ejemplo, usando malware instalado previamente o técnicas de phishing.
04
Cuando la tarjeta ya está cargada, el delincuente actúa con rapidez para sacar el máximo partido: pagos contactless, compras de tarjetas de regalo o retiros de efectivo.
Según los comentarios en los foros criminales, entre el 60 y el 70% de las tarjetas accesibles al público pueden rechazarse temporalmente o bloquearse en un lapso de 15 a 90 minutos después de su primer uso. Sin embargo, según explican los propios delincuentes, esta es “la forma más fácil de obtener dinero en 2026. No hay verificación 3DS de la que preocuparse… Después de agregarla a Google Pay o Apple Pay, se puede usar todo el saldo sin problema”.
¿Qué buscan los hackers?
Al analizar los datos obtenidos de los mercados de la dark web, es evidente que los criminales prefieren la conveniencia por encima de la cantidad de datos. Los anuncios más caros no siempre son los que ofrecen más tarjetas o los saldos más altos, sino los que promocionan tarjetas que “funcionan sin problemas”.
Los vendedores de la dark web clasifican sus productos según las tasas de éxito de activación previstas. Para ello, usan términos como “grado dudoso” para las tarjetas con una probabilidad de activación del 30 al 60% y “grado estándar” para aquellas cuya activación está prácticamente garantizada. Curiosamente, también parecen interesarse en la satisfacción del cliente: alrededor del 80% de los vendedores analizados ofrecían reembolsos o cambios por tarjetas defectuosas.
Estas capturas de pantalla de la dark web fueron editadas para ocultar información sensible y se incluyen únicamente con fines educativos.
¿Qué determina el precio de una tarjeta?
Todo indica que las tarjetas robadas están sujetas a las mismas dinámicas del mercado que cualquier otro producto. En los comercios de la dark web analizados, el precio promedio de las tarjetas era de $10 USD.
Validez de la tarjeta
El precio promedio de las tarjetas anunciadas como “de muy alta calidad” es de $22 USD, lo que quizá se deba a que los delincuentes creen que son las que tienen más probabilidades de funcionar. En general, las tarjetas que están listas para añadirse a una wallet digital usan entre el 3 y el 5% del saldo restante en la cuenta asociada. En cambio, las tarjetas más antiguas (que probablemente ya se cancelaron) se pueden vender al por mayor por un par de dólares.
Región y disponibilidad
Los precios de las tarjetas varían mucho de una región a otra. Más del 70% de los anuncios de tarjetas analizados en este estudio procedían de Estados Unidos, lo que genera una gran competencia entre los vendedores y mantiene los precios habituales relativamente bajos (entre $10 USD y $12 USD). Los anuncios de tarjetas de otras regiones con alto nivel adquisitivo fueron más escasos y caros, mientras que las tarjetas de África se ofrecían a precios especialmente bajos.
Inclusión de datos personales
La información personal es muy valiosa: nuestros investigadores descubrieron que las tarjetas con datos personales cuestan más que las que no los tienen.
Por ejemplo, en el mercado más grande analizado, una tarjeta que incluía el número de documento de identidad y la fecha de nacimiento del titular estaba a la venta por $18.15 USD, mientras que el precio promedio de las tarjetas que no tenían esta información era de $11.70 USD. Otra tarjeta con aún más datos de identidad estaba disponible por $23 USD.
Datos zombi: las tarjetas muertas ahora pueden revivir
Las tarjetas canceladas (o “muertas”) no siempre dejan de estar disponibles en los mercados ilegales. Incluso si no pueden usarse para cometer fraudes con carteras digitales o en pagos online, las tarjetas inactivas pueden contener información personal valiosa y útil para realizar ataques de phishing u otros tipos de fraude de identidad.
Nuestra investigación reveló que las tarjetas inutilizables y con información de identidad intacta, conocidas como “dead fullz”, se vendían en alrededor de $1 USD por registro. Para entender mejor el valor de la información personal, podemos comparar los “dead fullz” con los anuncios de tarjetas antiguas, probablemente canceladas, que se venden al por mayor por unos $2 USD por lote.
Metodología
Este informe presenta las conclusiones de dos investigaciones: un análisis de los anuncios de tarjetas publicados en nueve mercados de la dark web y un estudio de las conversaciones en canales de Telegram y foros delictivos.
Trabaja, navega y compra online de forma más segura con NordVPN
Protege tus datos de pago y tu información personal contra los hackers con las funciones de seguridad avanzadas de NordVPN.