- Un ataque de fraude en el que se repiten pagos con tarjetas de crédito robadas al procesador de pagos de una empresa competidora está ocurriendo realmente contra pequeños negocios SaaS
- A pesar de mantener una relación comercial de 10 años con PayPal y de 7 años con Stripe, y de haber registrado ventas por más de 500 mil dólares en total, la cuenta fue restringida sin contacto previo
- Aunque las grandes plataformas de pago generan miles de millones de dólares en ingresos, no cuentan con personal de soporte al cliente realmente efectivo
- Como desarrollador SaaS en solitario, cada vez es más difícil asegurar la estabilidad del negocio en este entorno
- En Hacker News y Reddit también aparecen con frecuencia quejas sobre las plataformas de pago, un caso que pone de relieve el riesgo de dependencia de la plataforma para los pequeños negocios
Método de ataque a competidores usando tarjetas de crédito robadas
- Consiste en usar tarjetas de crédito robadas en el procesador de pagos de una empresa competidora para pagarle costos al estafador y generar cargos repetidos
- Como resultado, se acumulan registros de fraude (fraud) en la cuenta de pagos del negocio objetivo, lo que termina provocando restricciones en la cuenta
Situación real del daño
- Existía una relación comercial de 10 años con PayPal y de 7 años con Stripe, con ventas totales combinadas de más de 500 mil dólares entre ambas plataformas
- Aun así, la plataforma restringió la cuenta sin previo aviso
- El ataque sigue en curso actualmente y está causando un golpe severo a la operación del negocio
Falta de soporte al cliente en las grandes plataformas de pago
- A pesar de ser grandes empresas que generan miles de millones de dólares en ingresos, carecen de personal de soporte realmente útil
- En Hacker News y Reddit se publican con frecuencia quejas sobre estas plataformas
Inestabilidad para operadores SaaS en solitario
- Como solo SaaS builder, cada vez es más difícil mantener la estabilidad laboral y del negocio (
job security) - Existe una vulnerabilidad estructural por la cual una relación comercial de largo plazo puede romperse de un momento a otro por una decisión unilateral de la plataforma
1 comentarios
Opiniones de Hacker News
Siempre inquieta que no haya forma de evitar este tipo de plataformas. La panadería que opero actualmente fue suspendida de repente en Google Maps, y como es la principal vía por la que la gente nos encuentra, el golpe fue fuerte.
Hace 7 días, de pronto nos avisaron que “la cuenta fue suspendida por no seguir las directrices para empresas”, y lo único que habíamos cambiado recientemente fue el horario de atención. Llevaba 2 años publicada sin problemas, pero no nos dicen qué está mal; solo nos piden corregirlo y solicitar la reinstauración.
Dicen que puede tardar hasta 2 semanas, pero ya pasaron 7 días, y si la rechazan, no hay más opción que eliminar la ficha. Eso también haría desaparecer las reseñas acumuladas durante 2 años.
El día anterior a la suspensión, el personal me contó que llegó un turista coreano diciendo que éramos una tienda falsa, y parece que no pudieron convencerlo de que era una ubicación real porque no se entendían bien en inglés. O quizá estaba buscando otro lugar. Lo más probable es que haya dejado una reseña negativa y reportado la ubicación como falsa.
Al final, 2 años, una calificación de 4.9 y más de 100 reseñas positivas se fueron al tacho por una razón que no sabemos si fue un turista confundido, la modificación del horario o una revisión automática de spam. Ojalá la próxima ley de la UE trate estos problemas más que la privacidad; para los pequeños negocios son así de graves.
El “animal exótico” en cuestión era Aphelandra Squarrosa, es decir, una planta de hojas con patrón de cebra. No hay forma de revertir esa sanción ni de hacer que una persona la revise, así que sigue afectando su capacidad de comunicarse con su base de clientes.
Debería ser ilegal que plataformas como Google eliminen fichas sin pruebas, y si no pueden demostrarlo pero aun así las eliminan, deberían estar obligadas legalmente a compensar los daños causados. Solo así se lo tomarán en serio.
Conviene consultarlo con un abogado, y es probable que en la mayoría de los países de la UE existan mecanismos similares. Eso sí, tal vez haya que presentarla tanto contra Google Europe, con sede en Dublín/Irlanda, como contra la oficina local de Google.
También vi restaurantes con nombres parecidos apropiándose de la URL de otro local. Es raro que Google publique este tipo de información sin verificar al dueño del negocio, y parece causar mucho daño y crear un entorno ideal para estafadores.
Era una reseña larga y cuidadosamente escrita, que incluso incluía puntos positivos y recomendaciones, pero desapareció por completo y me dio muchísima rabia. Lo peor es que el restaurante, pese a ser bastante malo, mantiene una calificación de 4.5, y todas las reseñas recientes con baja puntuación sospechan que esa nota está manipulada.
Se podría culpar a competidores maliciosos, pero el verdadero problema es que las tarjetas de crédito son una herramienta inadecuada para pagarle a desconocidos en internet.
Cada vez que haces una transacción con tarjeta de crédito, en la práctica le entregas a la otra parte información que le permite crear transacciones arbitrariamente grandes a tu nombre en cualquier comercio, lo cual no tiene sentido.
Últimamente aumentó el uso de Apple Pay en sitios web y, si funciona como suele hacerlo Apple Pay, técnicamente es más seguro porque es un intercambio de tokens de un solo uso, criptográficamente seguro y verificable. Aunque no me gusta darle más poder a Apple.
PayPal tampoco le gusta a todo el mundo, pero al menos no entregas el número de la tarjeta de crédito en sí. Aunque PayPal también parece bloquear a muchísimos comercios.
Desde el punto de vista del consumidor, las tarjetas de crédito tampoco son buenas. Me han bloqueado la tarjeta por moverme dentro de la misma ciudad y gastar unos 20 dólares en un comercio al que normalmente no voy, y también por el pago mensual de 5 dólares de un servicio web que ya había confirmado durante dos meses seguidos.
El comercio no puede hacer otra cosa con ese token. Si se filtra la base de datos de tokens del comercio, sería vergonzoso, pero el daño estaría limitado; si se vulnera la base de datos de números de tarjeta del PSP, sería una molestia para los titulares de tarjetas, pero para el PSP sería un incidente tan grave que perdería el cumplimiento de PCI DSS https://en.wikipedia.org/wiki/Payment_Card_Industry_Data_Sec... y podría tener que cerrar el negocio.
En resumen, los pagos normales con tarjeta también son esencialmente tan seguros como Apple Pay. La diferencia es que en un caso confías en una enorme marca tecnológica que hace pagos como negocio secundario desde 2014, y en el otro confías en empresas como Adyen, Braintree, WePay o Worldline, que quizá no conozcas tanto, pero llevan mucho más tiempo dedicándose como actividad principal al procesamiento seguro de pagos.
Por eso, cada vez que escucho frases como “detección de fraude asistida por IA” o, más aún, “seguridad asistida por IA”, me acuerdo de esto. Si no tuviera otra tarjeta de crédito, creo que viviría con la ansiedad constante de que me rechacen cualquier transacción al azar. Mi banco tiene 10 años de historial y aun así actúa como si no conociera el ciclo de pagos.
Claramente solo vende mi historial al mejor postor, no lo usa para ayudarme. Algo parecido pasa con Gmail: ni siquiera la búsqueda exacta de subcadenas funciona mejor que la pésima búsqueda web de Google. Empresas que decían que nos iban a indexar para crear “valor” con modelos de consumo de alta resolución hacen todo tipo de vigilancia, pero ni siquiera pueden resolver lo básico.
Que la privacidad se arruine ya casi lo asumimos como parte de la modernidad, pero lo que hoy sorprende más es que ni siquiera recibimos a cambio una comodidad mínima.
La dirección de la transacción debería haber sido la opuesta. El comercio debería ser la parte simple que solo transmite los detalles del pago, y el teléfono del cliente debería verificar e iniciar el pago. No tiene sentido que esto todavía no sea el estándar, y es aún más extraño que los pagos por internet no hayan hecho esa misma transición hace mucho tiempo.
Si una transacción es sospechosa, prefiero usar una tarjeta de crédito antes que algo conectado a mi cuenta corriente. Si al final roban el número de la tarjeta, es una molestia, pero los pagos NFC y similares están resolviendo este problema poco a poco.
Mucha gente malinterpreta las tarjetas de crédito. Si pagas el total cada mes, normalmente recibes recompensas y obtienes una gran barrera de protección entre tus finanzas personales y el fraude. Por supuesto, sigo esperando que se generalice un sistema de tarjetas de crédito más seguro.
Incluso en lugares como la UE, donde las comisiones de pago están limitadas, el tope para las comisiones de tarjetas de crédito es más alto que el de las tarjetas de débito o SEPA, así que todos en la cadena de pagos tienen un incentivo claro para impulsar el uso de tarjetas de crédito. Los bancos emisores además ganan mucho dinero con los intereses, así que tienen aún más motivos para fomentar su uso.
Como aquí no hay información sobre qué actividad hubo realmente, me voy a concentrar en el comportamiento del proveedor del servicio.
En una situación en la que proliferan las empresas de servicios pagos cuyo único soporte al consumidor es esperar que el tema se vuelva viral en redes sociales, hay que pensar cómo se podría exigir por ley una alternativa del estilo: “la computadora dijo que no, así que crea una cuenta nueva y espera que no te vuelvan a atrapar”. Esto parece un ámbito que las agencias de protección al consumidor deberían abordar activamente.
La agencia de protección al consumidor de Australia hace valer los derechos con bastante firmeza en este tipo de problemas. Me pregunto si en Estados Unidos no existe una agencia similar, o si fue capturada por las empresas que debería regular.
Estas empresas obtienen enormes ganancias, pero descartan los procesos de soporte y comunicación que tendría que tener cualquier empresa normal con el argumento de que “por su escala es imposible”. Desde el punto de vista de la reparación al consumidor, esa respuesta no debería aceptarse.
Lamentablemente, parece que al gobierno le gustan bastante los medios para destruir el sustento de personas que no le caen bien sin molestos procedimientos legales.
Se podría decir que basta con hacer cumplir conceptos legales que ya existen, pero para que la prensa capte la atención de los políticos hace falta una palabra breve y concreta que señale un fenómeno específico.
Así como existen términos como swatting, phishing, slamming, gaslighting o boofing, que todos conocen, son fáciles de convertir en notas y funcionan bien para SEO, me pregunto cómo deberíamos llamar a esta conducta del siglo XXI para poder escribir blogs y artículos y exigirles acción a los políticos.
Quizás funcione dentro de 20 o 30 años, cuando se resuelvan varias demandas y regulaciones, pero ahora está en su infancia y parece una etapa en la que todos están probando si pueden empujar al bebé y hacerlo caer.
El problema es que actuar contra una gran empresa es realmente difícil. Como consumidor, incluso si intentas obtener reparación por algo como publicidad engañosa sobre la resistencia al agua de un celular, los costos legales pueden llegar a cientos de miles de dólares.
Sin fondos suficientes, es casi imposible que una persona haga rendir cuentas a una empresa, y las agencias que deberían hacerlo no están aplicando la ley o no pueden aplicarla.
Si las molestias constantes y el ruido técnico pueden resolverse de forma más fácil e interesante con cosas como una identificación biométrica, me pregunto si habrá incentivos para arreglar estos problemas.
Sinceramente, el gobierno australiano puede controlar a las empresas, pero al final juega el mismo juego y, a largo plazo, no le importa demasiado la oposición de nadie.
Si uno piensa actuar de forma poco ética, hay muchas cosas que puede hacer.
Atacar directamente a personas puede ser eficaz. Enviar al cónyuge una carta anónima con sospechas de infidelidad puede impedir los viajes de negocios de los ejecutivos y generar mucho estrés en su vida privada, y solo cuesta una estampilla. Es especialmente fácil en lugares como Suecia, donde la dirección y la información de convivencia son públicas.
También se pueden crear materiales manipulados racistas relacionados con una empresa o producto y comprar cientos de cuentas bot para que aparezcan junto a menciones de esa empresa o producto.
Estoy en una industria que no es muy competitiva y no soy una persona famosa, pero a mí me pasaron ambas cosas.
Sinceramente, espero que estos ataques se vuelvan más populares.
Así los reguladores se verán presionados a hacer algo con los parásitos financieros que llamamos “procesadores de pagos”. Un sistema de procesamiento de pagos que no actúa como servicio público está roto y hay que arreglarlo.
Es bastante amargo que, hoy, el único sistema de pagos digitales que funciona más o menos como servicio público sea la criptomoneda.
No es una solución completa, pero permitir que los clientes paguen de otras formas, como con criptomonedas o transferencia bancaria, puede aliviar en parte el problema. Cuando la industria porno y otros negocios legales terminan en esta situación, eso es lo que hacen.
Si los clientes quieren el producto lo suficiente, algunos aprenderán esos métodos de pago, y los negocios quizá tengan que aprender a sobrevivir solo con esa parte.
Sentía que Algorand estaba en posición de cumplir ese rol, pero para tener éxito necesitaba que todos los componentes estuvieran en su lugar. Una comisión de transacción de 0.001 ALGO reduce las transacciones sin sentido y, aun así, permite transacciones de 0.1 ALGO; si las stablecoins o las monedas digitales de bancos centrales se activaran, también podría soportarlas.
Las transacciones pueden completarse en milisegundos, y participantes medianos pueden contribuir fácilmente al mantenimiento de toda la red. Pero no logró traction, probablemente porque no era un buen activo para HODL.
La inteligencia artificial tardó casi 70 años en consolidarse, pero las criptomonedas entraron en varios ámbitos en apenas 10 años y son una tecnología temprana con potencial para resolver grandes problemas.
Lo veo como un caso en el que personas “equivocadas o tontas” se lanzaron primero junto con estafadores, haciendo que a la gente inteligente le pareciera algo contaminado. Aun así, deberíamos poder distinguir lo bueno de lo malo.
Me sorprende la repetida falta de capacidad para discutir este tema con cuidado aquí. Conversaciones que podrían ser realmente interesantes quedan desplazadas una y otra vez por el tribalismo.
Cuando trabajaba en una agencia de medios mediana en Francia nos pasó algo parecido con una cuenta de Google AdWords, y con soporte directo de Google el equipo legal recuperó la cuenta en unas dos semanas.
En general, después de escribir unas cuantas cartas legales y comunicar algo como “nuestro representante legal estará encantado de hablar de este desafortunado asunto en las oficinas de Google France”, parece que Google simplemente restauró la cuenta.
Los honorarios de abogados fueron de unos 2,500 a 5,000 euros, así que no fue barato, pero fue mucho menos que el dinero que estábamos perdiendo. Me pregunto si las empresas con sede en Estados Unidos no tienen esta opción. He visto muchas historias de terror como la del texto original, pero casi nunca vi que alguien siguiera un camino parecido.
No hay que caer en la idea equivocada de que importan cifras como “10 años de relación comercial con PayPal, 7 años con Stripe”. No estamos en 1973, cuando se le daba la mano a un banquero.
La única cifra importante es el monto en dólares que pasa por Stripe o PayPal gracias a tu negocio.
Me pasó. Puede ser un competidor, o puede ser un estafador que quiere ver qué puede obtener gratis con un montón de números de tarjetas de crédito inútiles, robados o comprados en foros.
Si el marketing entra en el radar de ese tipo de organizaciones, se pasan entre ellos la información sobre el servicio. El comercio tiene que crear sus propias técnicas de revisión de fraude o pagarle a alguien para que lo haga.
No estoy culpando a la víctima, pero por la estructura de la industria, la mayor parte de la responsabilidad de detectar y manejar el fraude recae en el comercio. Puede que, objetivamente, no sea una mala decisión. El comercio tiene varias formas de detectar y bloquear a quienes hacen esto.
Cuando este problema estalló en mi primera startup, redujimos 5.000 casos al mes a 50 al mes, y de verdad odio este delito. Pero los intermediarios de tarjetas de crédito externalizan el riesgo hacia los comercios y luego no muestran mucho interés en innovar gradualmente con herramientas para ellos.
Me frustraba que no hubiera un tercero al que se pudiera reportar una sospecha, junto con un nivel de confianza, al recibir una solicitud fraudulenta, o contra el cual comparar los registros de sospechas de otros comercios. Años después creo haber visto un servicio así, pero ahora no lo encuentro.
Buscando ahora, encontré una lista bien organizada de consejos antifraude para comercios que en aquel momento nadie me contó, que tuve que descubrir por mi cuenta y que fueron bastante exitosos: https://support.authorize.net/knowledgebase/Knowledgearticle...
Suerte. Son persistentes. En mi caso, la mayoría venía de países pobres, y para ellos un dólar obtenido por fraude vale mucho más tiempo del que valdría para nosotros. Seguirán llegando hasta que los bloquees por completo.
Escuché que muchos sitios de Shopify desactivan el procesamiento automático de tarjetas de crédito para pedidos nuevos. Es para que una persona real revise el pedido antes de pasarlo a algo como Stripe.
Los pedidos fraudulentos suelen ser bastante fáciles de identificar solo por la dirección de envío, y uno desarrolla el instinto rápido. No es tan difícil como sexar pollitos.
Tal vez la conclusión polémica sea que la mejor forma de arruinar tu propio negocio es automatizar las tarjetas de crédito.
Sin embargo, si con AVS te refieres a que la dirección de envío y la dirección de facturación de la tarjeta no coinciden, eso es más complicado. Especialmente en B2B, es común que el dueño de un negocio pague con una tarjeta de crédito asociada a su domicilio particular y reciba el envío en el local de la empresa.