Prevencion de fraude en pagos online: 3DS, Radar y reglas de riesgo

3D Secure, Stripe Radar, reglas custom y fingerprinting. Como bajar chargebacks sin matar la conversion. La aproximacion realista para equipos que venden en Mexico.

Todo equipo que cobra con tarjeta eventualmente descubre que el fraude no es teorico. Una ola de chargebacks a los 4 meses de operar, disputas que pierdes por falta de evidencia, un ratio de fraude que te pone en programas de monitoreo del adquirente.

Capas de prevencion

La prevencion de fraude es por capas. Ninguna sola te protege.

1. 3D Secure. Autenticacion adicional donde el emisor pide codigo SMS o biometria. En Mexico es cada vez mas comun, muchos emisores lo fuerzan. Ventaja: transfiere liability del chargeback al emisor. Desventaja: friccion que baja conversion.

2. Radar (Stripe) o motores similares. Modelos de machine learning que puntuan cada transaccion en tiempo real. Bloquean lo obvio, marcan lo sospechoso para review.

3. Reglas custom. Tu lo conoces tu negocio. Un ticket promedio de $800 MXN con una compra de $40,000 es sospechoso — una regla lo atrapa.

4. Fingerprinting. Identificar dispositivos y sesiones aunque el atacante cambie de cuenta. Critico para detectar ataques coordinados.

5. Validacion de datos. Email verificado, telefono SMS, CP que coincide con la tarjeta.

3D Secure en Mexico

Usalo dinamicamente. Forzar 3DS en todas las transacciones mata la conversion. La estrategia:

3DS obligatorio para tickets altos
3DS para primera compra de cliente nuevo
3DS para geografia o patron sospechoso
Sin 3DS para clientes recurrentes con historial limpio

Stripe tiene 3D Secure dinamico que decide por ti en base a Radar. Si lo usas, dejalo trabajar.

Stripe Radar

Radar viene incluido. Radar for Fraud Teams agrega reglas custom, review manual, block lists.

Activar desde el inicio, no despues del primer incidente
Revisar semanalmente las transacciones en review
Crear reglas custom en base a tus patrones de fraude reales
Block lists para emails, fingerprints, BINs que sabes que son malos

Reglas custom que funcionan

Bloquear mismo fingerprint con mas de X intentos fallidos
Review manual para ordenes sobre X monto sin historial
Block list por email y IP
Velocity checks: N transacciones por minuto desde mismo fingerprint

El balance con conversion

Toda medida de fraude baja conversion. La pregunta no es si tolerar algo de fraude — es cual es tu punto optimo.

Calcula tasa de fraude tolerable (1% es alto, 0.1% es bueno)
Mide conversion antes y despues de cada regla nueva
No agregues fricciones sin medir impacto
Prioriza medidas que no afectan UX (fingerprinting, Radar pasivo)

Defensa en disputa

Cuando llega un chargeback, tener evidencia:

Logs completos de la transaccion
IP, user agent, fingerprint
Confirmacion de entrega o uso del producto
Comunicacion con el cliente

Sin evidencia pierdes el 100% de las disputas.

Prevenir fraude no es proyecto, es operacion continua. El panorama cambia cada trimestre.