¿Está tu tarjeta en la wallet de un delincuente?
-
Las conversaciones sobre cómo añadir tarjetas robadas a las wallets casi se triplicaron a lo largo del año.
-
El precio mediano de una tarjeta robada es de 10 dólares, pero las que están listas para añadir a las wallets son mucho más caras.
-
La combinación de los datos de la tarjeta con información personal puede hacer que el precio, como mínimo, se duplique.
Sobre la investigación
Las tarjetas robadas siguen siendo el producto más comercializado en la dark web, pero ¿por qué están realmente dispuestos a pagar los delincuentes? ¿Qué tarjetas no tienen ningún valor y se venden a granel, y cuáles alcanzan un precio más alto?
Para responder a estas preguntas, los investigadores de NordVPN y NordLayer Intelligence, de NordStellar, analizaron mercados clandestinos populares y revisaron años de conversaciones de carácter delictivo en canales de Telegram y foros de hackers. Nuestro estudio revela cómo está cambiando el mercado de las tarjetas robadas y hacia dónde se dirige.
Evolución de las tendencias en el fraude con tarjetas
El análisis más reciente de los mercados de la dark web que han llevado a cabo los investigadores de NordVPN y NordLayer Intelligence ha revelado que los delincuentes están cambiando de hábitos. Las conversaciones en foros de la dark web y en Telegram sobre cómo añadir tarjetas robadas a wallets casi se han triplicado en comparación con el año pasado.
Estas conversaciones no son solo palabras vacías. Los anuncios de tarjetas listas para añadir a las wallets y otros servicios relacionados, como el robo de códigos de seguridad de un solo uso o la venta de herramientas para «escuchar» llamadas telefónicas, están aumentando. En cambio, las tarjetas más antiguas están perdiendo la mayor parte de su valor, ya que están registradas en los sistemas de detección de fraude bancario, mientras que la clonación clásica de la banda magnética es bastante ineficaz frente a la mayoría de los lectores de chips.
Nuevo método: uso de tarjetas robadas en wallets
Al añadir una tarjeta a Apple Pay o a Google Pay, parte de la responsabilidad en materia de seguridad pasa de los sistemas del banco al teléfono del usuario. Los delincuentes pueden sacar provecho en unos pocos pasos:
01
El delincuente intenta añadir a su wallet de Apple Pay o Google Pay una tarjeta comprada en la dark web.
02
El banco intenta verificar la identidad del titular de la tarjeta, normalmente mediante el envío de un código de un solo uso.
03
El delincuente vulnera el proceso de verificación; por ejemplo, usa malware instalado previamente o recurre a técnicas de phishing.
04
Una vez añadida la tarjeta, el delincuente actúa con rapidez para sacar el máximo partido a su saldo: compras sin contacto, adquisiciones de tarjetas regalo o retiradas de efectivo.
Según lo que se comenta en los círculos delictivos, entre el 60% y el 70% de las tarjetas que están disponibles públicamente pueden rechazarse de forma temporal o bloquearse entre 15 y 90 minutos después del primer uso. Sin embargo, según cuentan los propios delincuentes, es «la forma más fácil de sacar dinero en 2026. No hay que preocuparse por el 3DS… Después de añadirla a Google Pay o Apple Pay, ya puedes gastar todo el saldo».
¿Qué buscan los hackers?
Al analizar los datos obtenidos de los mercados de la dark web, queda claro que los delincuentes valoran cada vez más la comodidad por encima de las cifras absolutas. Los anuncios más caros no son por fuerza los que ofrecen más tarjetas o los saldos bancarios más elevados, sino los que promocionan tarjetas que «simplemente funcionan».
Los vendedores de la dark web clasifican sus existencias según las tasas de éxito de activación previstas, y para ello usan términos como «fish-grade» para las tarjetas con una probabilidad de activación del 30-60% y «standard-grade» para aquellas cuya activación está prácticamente garantizada. Es curioso, pero también parecen tomarse muy en serio la satisfacción de los clientes: alrededor del 80% de los vendedores analizados ofrecían algún tipo de reembolso o sustitución para las tarjetas defectuosas.
En estas capturas de pantalla de la dark web, que se muestran únicamente con fines educativos, se han tapado algunos datos.
¿Qué determina el precio de una tarjeta?
Las tarjetas robadas parecen estar sujetas a las mismas fuerzas del mercado que los productos habituales. En los mercados de la dark web analizados, el precio mediano de las tarjetas era de 10 dólares.
Validez de la tarjeta
El precio mediano de las tarjetas anunciadas como «de muy alta calidad» es de 22 dólares, lo que probablemente se deba a que los delincuentes creen que son las que tienen más probabilidades de funcionar. En general, las tarjetas que están listas para añadir a las wallets usan entre el 3% y el 5% del saldo restante en la cuenta asociada. Por el contrario, las tarjetas más antiguas (que probablemente ya se hayan cancelado) se pueden vender al por mayor por un par de dólares.
Región y disponibilidad
Los precios de las tarjetas varían mucho según la región. Más del 70% de los anuncios de tarjetas analizados en este estudio procedían de Estados Unidos, lo que genera una gran competencia entre los vendedores y mantiene los precios habituales relativamente bajos (entre unos 10 y 12 dólares). Los anuncios de tarjetas de otras regiones de alto nivel adquisitivo eran más escasos y caros, mientras que las tarjetas de África tenían unos precios especialmente bajos.
Inclusión de datos personales
La información personal es muy valiosa: nuestros investigadores descubrieron que las tarjetas que incluyen datos personales cuestan más que las que no los tienen.
Por ejemplo, en el mayor mercado analizado, una tarjeta que incluía el DNI y la fecha de nacimiento del titular estaba a la venta por 18,15 dólares, mientras que el precio mediano era de 11,70 dólares para las tarjetas que no tenían esta información. Otra tarjeta con aún más datos de identidad se vendía por 23 dólares.
Datos zombi: una segunda vida para las tarjetas inactivas
Las tarjetas canceladas (o «inactivas») no desaparecen necesariamente de los mercados delictivos. Aunque no puedan usarse para cometer fraudes con wallets digitales o en pagos online, las tarjetas inactivas pueden contener información personal valiosa, que puede utilizarse para llevar a cabo ataques de phishing o cometer fraudes de identidad de diversas formas.
Nuestra investigación reveló que los «fullz inactivos» (es decir, tarjetas inutilizables que se venden junto con información de identidad intacta) se vendían más o menos por un dólar por registro. Para poner en perspectiva el valor de la información personal, podemos comparar los «fullz inactivos» con los anuncios de tarjetas antiguas, probablemente canceladas, que se venden al por mayor por un par de dólares el lote.
Metodología
Este informe presenta las conclusiones de dos estudios: un análisis de los anuncios de tarjetas publicados en nueve mercados de la dark web y un análisis de las conversaciones en canales de Telegram y foros delictivos.
Trabaja, navega y compra online de forma más segura con NordVPN
Protege tus datos de pago y tu información personal contra los hackers gracias a las funciones de seguridad avanzadas de NordVPN.