Me he levantado con 2 cargos en la tarjeta desde australia

Cargos fantasma desde Australia: la prueba de que tu tarjeta circula​

¿Cómo puede alguien al otro lado del mundo tener los datos de una tarjeta que nunca ha salido del bolsillo? Es la pregunta que se hizo un usuario al ver dos cargos denegados de 1,10 dólares australianos en un comercio llamado «Pim Foods». La tarjeta estaba físicamente en su poder. Solo la había usado en Amazon, en un supermercado y en una farmacia. Y aun así, alguien intentó pagar con ella a diez mil kilómetros de distancia.

El patrón es conocido: los microcargos no buscan robar, buscan validar. Comprobar que la numeración, la fecha de caducidad y el CVV funcionan antes de vender el dato al mejor postor o de lanzar el cargo grande. El banco bloqueó las operaciones, el usuario bloqueó la tarjeta y solicitó una nueva. El susto quedó en anécdota. Pero la pregunta de fondo sigue sin respuesta: ¿por dónde se filtró?

Las teorías sobre el origen del robo de datos​

Las hipótesis que se manejan en el debate van desde la brecha en un comercio online hasta el clásico skimming en el terminal punto de venta. Hay quien sostiene que el eslabón débil está en los TPV de comercios pequeños, donde un programa malicioso puede capturar los datos de la banda magnética. Otros apuntan directamente a Amazon: una brecha en la plataforma es improbable, pero no imposible, y afectaría a millones de usuarios, no a uno solo. La tercera vía es la más incómoda: que el ordenador del propio afectado esté infectado y los datos se capturaran al teclearlos.

La realidad es que los datos de las tarjetas circulan por canales que el usuario no controla. Se han documentado casos de tarjetas que nunca se usaron y que aparecieron con cargos fraudulentos. Eso deja una conclusión incómoda: el fallo puede estar en el propio sistema bancario, no en el comportamiento del cliente.

Por qué el CVV ya no protege como antes​

El CVV de tres dígitos da una falsa sensación de seguridad. Un cálculo que circula en el debate lo deja claro: con 999 intentos diarios, un atacante puede probar todas las combinaciones posibles de un CVV en menos de tres años. Si tiene una lista de miles de tarjetas, cada día acierta alguna. El número de la tarjeta se puede generar por fuerza bruta porque el algoritmo de checksum es público. La fecha de caducidad son cuatro dígitos con un rango limitado. Solo el CVV añade una barrera real, y ni siquiera es infranqueable.

Los bancos bloquean la tarjeta tras varios intentos fallidos, pero con suficientes números en la lista, la estadística acaba dando premio. El cargo pequeño es la señal de alarma. El cargo grande es el que duele.

Qué hacer para evitar que vuelva a pasar​

La receta que se repite es sencilla: desactivar el pago online en la tarjeta y activarlo solo cuando se va a usar. Varias entidades permiten bloquear la tarjeta por país, de modo que solo funcione en España. También se recomienda usar tarjetas virtuales o prepago para las compras por internet, con un límite de saldo que acota el daño. Y revisar los movimientos con frecuencia: los microcargos son la primera señal.

El 2FA o la verificación por SMS han salvado a más de uno. En un caso relatado, un intento de pago en un balneario desde Francia fue frenado por el mensaje de confirmación. Los cargos pequeños sí pasaron, pero la denuncia y la reclamación devolvieron el dinero al mes.

La responsabilidad del banco y el limbo legal​

La normativa actual sitúa al banco como responsable de la cuenta salvo que se demuestre negligencia grave del usuario. En la práctica, las entidades no siempre devuelven el dinero sin pelear. Hay casos de reclamaciones que acabaron en el Banco de España y que se resolvieron a favor del cliente con intereses. El proceso es lento y desgastante.

Mientras tanto, la policía especializada en ciberdelitos está desbordada. La mayoría de las denuncias ya son por robo de datos, y las investigaciones rara vez llegan a condena. El mensaje que se traslada es claro: la impunidad es la norma.

---

La tarjeta nueva llegará en unos días. El usuario volverá a comprar en Amazon, en el supermercado y en la farmacia. Y en algún punto de la cadena, alguien volverá a probar su suerte con un cargo de un dólar australiano. La diferencia es que esta vez el banco tendrá que demostrar que fue negligencia del cliente. Buena suerte con eso.