El número de la tarjeta suele ser lo menos expuesto de toda la operación. Los flujos de pago modernos están construidos precisamente para que el comercio no llegue a verlo nunca, y en las plataformas que siguen ese patrón, una filtración completa del sitio no daría una base de datos de tarjetas utilizable.
Lo que el comercio sí guarda es todo lo demás: el correo con el que te diste de alta, el nombre y el código postal asociados a la tarjeta, las direcciones IP desde las que te conectaste y un registro detallado de lo que viste o compraste. Para la mayoría de quienes leen esto, ese segundo conjunto es el riesgo real, y es del que menos se habla.
¿Quién toca de verdad el número de tu tarjeta?
Entre tres y cinco partes, y solo una de ellas es el sitio que estás mirando.
| Parte | Papel | ¿Ve el número completo? |
|---|---|---|
| El comercio (el sitio) | Vende la suscripción, fija el precio | No, si el flujo está bien montado |
| Proveedor de servicios de pago | Dibuja el formulario de tarjeta, tokeniza el número | Sí, esa es su función |
| Banco adquirente | Mantiene la cuenta del comercio, encamina la transacción | Lo maneja en tránsito |
| Red de tarjetas | Encamina la autorización entre adquirente y emisor | Lo maneja en tránsito |
| Banco emisor | Tu banco, aprueba o rechaza | Sí, la tarjeta es suya |
El objetivo de diseño de todo el montaje es dejar al comercio fuera de esa lista. Un formulario alojado por la pasarela le devuelve al comercio un token: una referencia que se puede volver a cobrar pero que no le sirve a nadie más, porque solo funciona para ese comercio con esa pasarela.
Dos señales observables de que eso es lo que está pasando: los campos de la tarjeta están dentro de un iframe servido desde un dominio distinto al de la página, o al pulsar «suscribirse» te manda directamente a un dominio de pago. Ninguna de las dos prueba que haya buenas prácticas, pero su ausencia —un formulario de tarjeta que envía los datos al propio dominio del sitio— sí es una señal negativa con peso.
¿Qué puedes comprobar realmente desde fuera?
Menos de lo que te gustaría, y conviene decirlo con claridad en lugar de dar a entender que una lista de comprobación lo resuelve.
No puedes auditar desde fuera cómo almacena los datos una plataforma, cuánto tiempo los retiene o qué controles de acceso internos tiene. Lo que sí puedes observar:
- Desde dónde se sirve el formulario de tarjeta. Mira el código fuente de la página o usa las herramientas de desarrollo para ver si los campos pertenecen a un marco de terceros.
- Si aparece una autenticación reforzada. Una redirección a la pantalla de verificación de tu propio banco significa que la transacción pasó por 3-D Secure, lo que traslada la responsabilidad por fraude e indica que el comercio está en una vía de procesamiento convencional.
- Si se nombra a una entidad jurídica real. Unas condiciones y una página de facturación que nombran empresa, jurisdicción y dirección son un positivo débil; una página de facturación que no nombra a nadie es un negativo fuerte.
- Si la política de privacidad indica un plazo de conservación. Las políticas vagas son habituales; una política que no concreta absolutamente nada dice algo sobre cómo se tratan los datos.
- Si la cancelación es autoservicio. Las plataformas que exigen mandar un correo para cancelar suelen ser las mismas que tienen mala higiene de facturación en general.
¿Cuáles son las categorías reales de riesgo?
Separarlas importa, porque las defensas son distintas y el peor riesgo no es el evidente.
| Riesgo | Qué aspecto tiene | Qué lo reduce |
|---|---|---|
| Robo del número de tarjeta | Cargos fraudulentos en la tarjeta | Formularios alojados por la pasarela; un número de tarjeta dedicado a suscripciones |
| Filtración de datos del comercio | Correo, nombre e historial de compras al descubierto | Un alias de correo dedicado; perfil con los mínimos datos |
| Exposición del descriptor | Una línea inesperada en un extracto compartido | Conocer el descriptor antes de suscribirte; una cuenta aparte |
| Cobros recurrentes no deseados | Cargos que siguen después de creer que cancelaste | Límites de gasto; guardar la confirmación de cancelación |
| Recobro por un agregador | Un cargo de un nombre que no reconoces | Comprobar a qué entidad nombran las condiciones como facturadora |
| Phishing después de darte de alta | Correos que imitan la facturación de la plataforma | No volver a introducir los datos de la tarjeta desde un enlace de un correo |
La correlación que se le escapa a la gente: los sitios con peor higiene de pago suelen ser también los de peor higiene de datos, porque las dos cosas reflejan lo mismo, que es si al operador lo aceptó una pasarela convencional o tuvo que apañárselas por fuera.
¿Por qué el cobro recurrente es la parte que más se tuerce?
Porque la suscripción y la tarjeta son objetos separados, y cancelar una no cancela la otra.
Un token guardado se puede cobrar hasta que el comercio deje de cobrarlo. Si cancelas cerrando la página de la cuenta pero el registro de la suscripción sobrevive, la facturación continúa. Si en cambio matas la tarjeta y dejas la suscripción activa, el cargo falla pero la obligación contractual puede seguir ahí, y algunos comercios pasan los saldos impagados a una agencia de cobros.
La secuencia fiable es cancelar dentro de la cuenta, guardar la pantalla o el correo de confirmación y solo entonces plantearte retirar el número de tarjeta. Comprueba en la siguiente fecha de facturación en vez de darlo por hecho.
¿Qué deberías hacer cuando se anuncia una filtración?
La exposición de la tarjeta y la de los datos piden respuestas distintas, y la segunda es normalmente la que necesita atención.
Para la tarjeta: contacta con el emisor y pide un número nuevo. Los cargos en disputa por lo general se pueden reclamar, aunque el plazo y las reglas exactas dependen de tu emisor, de tu red de tarjetas y de tu país; pregúntales, no lo des por supuesto.
Para los datos: cambia la contraseña de la cuenta y de cualquier sitio donde la hayas reutilizado, cuenta con recibir phishing dirigido que mencione la plataforma por su nombre, y trata cualquier correo posterior de «aviso de seguridad» con más recelo del habitual, porque a los anuncios de filtraciones les siguen imitaciones. Si el correo que usaste está ligado a tu identidad real en otros sitios, ese vínculo existe ya en un conjunto de datos fuera de tu control, y ninguna acción lo revierte, que es justamente el argumento para usar un alias dedicado antes de necesitarlo.