Fraudes del Buen Fin: cómo proteger tu comercio, no solo al comprador

Toda la comunicación del Buen Fin sobre fraudes va dirigida al comprador: no des tus datos, verifica el sitio, desconfía de las ofertas increíbles.

Está bien, y deja fuera al otro lado del mostrador. El comercio también es víctima, y con frecuencia pierde más dinero que el consumidor — solo que en silencio, porque nadie publica que le tumbaron doce pedidos.

Esta guía es para ese lado.

1. Contracargos: el que más dinero cuesta

El mecanismo es simple y demoledor. Alguien compra con una tarjeta robada. La venta se ve perfectamente normal: el pago se autoriza, el producto sale, todo bien. Semanas después, el titular legítimo desconoce el cargo, el banco investiga y devuelve el dinero.

El comercio pierde tres cosas a la vez: el producto, el importe y con frecuencia una penalización del procesador.

Por qué se dispara en temporada alta: sube el volumen y baja el tiempo de revisión. Es exactamente la combinación que buscan.

Las señales que sí sirven

Ninguna por sí sola significa fraude. Tres juntas sí ameritan una llamada:

• Dirección de entrega distinta a la de facturación, sobre todo si es una paquetería, una oficina de mensajería o un domicilio temporal.
• Varios intentos de pago con tarjetas diferentes en poco tiempo.
• Monto muy por encima de tu ticket promedio, y sin regateo.
• Prisa inusual por el envío, con disposición a pagar cualquier costo de urgencia.
• Correo recién creado o con patrón aleatorio.
• Pedidos de madrugada en cantidades atípicas.
• Varios pedidos al mismo domicilio con nombres distintos.

La cuenta que hay que hacer antes del evento

Con un margen del 30%, un fraude te cuesta la mercancía, que es el 70% del precio, más el envío y la comisión del contracargo. La cuenta: 0.70 ÷ 0.30 = unas 2.3 ventas buenas del mismo monto solo para recuperar el costo, y más al sumar envío y comisiones. Si lo mides contra el ingreso completo que el banco te revierte (1 ÷ 0.30), son 3.3. Rechazar un pedido bueno cuesta el margen de una venta; aceptar uno malo cuesta, como mínimo, más del doble. Haz la misma cuenta con tu margen real.

Eso no significa rechazar a la primera señal: significa que el umbral de verificación debe estar definido antes del evento, con un monto a partir del cual toda compra se verifica y una persona asignada a hacerlo.

2. Suplantación de proveedores: el fraude silencioso

Este no toca tu tienda: toca tu cuenta bancaria, y es el que más dinero mueve por incidente.

Cómo funciona: llega un correo que aparenta venir de un proveedor real —mismo formato, misma firma, dirección casi idéntica— avisando que cambió su cuenta bancaria. Justo antes de un pago grande. El pago se hace a la cuenta del defraudador y se descubre semanas después, cuando el proveedor real reclama.

Por qué noviembre: más pagos, más prisa, más gente de vacaciones cubriendo funciones que no son suyas.

La regla que lo previene, y no tiene excepciones:

Ningún cambio de datos bancarios se aplica sin confirmación por teléfono, a un número que ya teníamos registrado — nunca al que viene en el correo.

Escríbela, comunícala a quien paga y a su suplente, y no la flexibilices por urgencia. La urgencia es parte del ataque.

Vale la pena recordar que este tipo de engaño hoy llega mucho mejor hecho: con voz clonada y video sintético, el correo mal escrito dejó de ser la señal de alarma.

3. Devoluciones fraudulentas

Menos espectacular y muy frecuente: el producto se devuelve, pero no es el mismo. Una caja con peso equivalente, un equipo distinto, un artículo usado en lugar del nuevo.

Controles que funcionan sin volver hostil la devolución:

• Foto o video de todo lo que sale, con número de serie visible cuando aplique.
• Registro de números de serie al empacar y al recibir de vuelta.
• Una sola persona recibe devoluciones durante la temporada, no quien esté disponible.
• Política de devolución escrita y publicada antes del evento, no improvisada en diciembre.

4. Tu propia tienda como herramienta del fraude

El escenario más caro de todos y el menos atendido: que tu sitio esté comprometido y sirva para robar datos de tarjeta de tus propios clientes.

Ocurre con código inyectado en la página de pago que copia los datos mientras el cliente los escribe. La compra se completa con normalidad, nadie nota nada, y el problema aparece semanas después cuando decenas de clientes reportan cargos desconocidos con un origen común: tu tienda.

Las consecuencias no son solo económicas. Son de reputación y, con datos personales de por medio, también regulatorias.

Qué hacer antes del evento:

• Actualizar todo, incluidos los complementos de paga. Las licencias vencidas dejan el sitio sin parches en silencio.
• Revisar los accesos de administrador: quién tiene, quién ya no debería, todos con segundo factor.
• Buscar señales de intrusión previa: archivos recientes donde no deberían estar, usuarios que nadie creó, tareas programadas extrañas.
• Congelar cambios la semana del evento.

No es alarmismo de temporada: en septiembre una falla de puntuación 10 sobre 10 estuvo tumbando tiendas en línea, y el comercio electrónico es el blanco preferido de la época.

5. Suplantación de tu marca

Alguien crea una tienda falsa con tu nombre, tus fotos y precios imposibles. Cobra y no entrega. Los clientes te reclaman a ti.

No se puede prevenir del todo, pero sí se puede reducir el daño:

• Busca tu marca en redes y buscadores una vez por semana durante la temporada. Diez minutos.
• Ten listo un aviso para publicar de inmediato: "nuestros únicos canales oficiales son estos".
• Ten identificado el procedimiento de denuncia de cada plataforma antes de necesitarlo.

El plan mínimo, en una hoja

Si solo vas a hacer cinco cosas antes del 13 de noviembre:

1. Define el monto a partir del cual todo pedido se verifica por llamada, y quién llama.
2. Escribe y comunica la regla de cambio de datos bancarios. Sin excepciones.
3. Actualiza la tienda y revisa accesos, con segundo factor en todos los administradores.
4. Fotografía lo que sale, con número de serie.
5. Asigna un responsable de fraude para los cinco días, con autoridad para detener un envío.

Ese último punto es el que más rinde: en temporada alta el problema no es que nadie sepa qué hacer, es que nadie tiene la autoridad para frenar un pedido.

Todo esto se cruza con el checklist técnico general del evento — conviene revisarlos juntos y en la misma semana.