Resumen del debate: Cuidao! Me han engañado desde Argentina (tarjeta de débito). Leed para que no os pase

Cargos de céntimos, luego el golpe: así prueban tu tarjeta​

Un movimiento de 50 euros en Google por un juego que nadie compró. Antes, tres o cuatro cargos de menos de un euro que entraban y salían de la cuenta sin dejar rastro en el saldo. Es el patrón que describe un afectado por fraude con tarjeta de débito y que, según una inteligencia artificial consultada por él, corresponde a card testing: alguien tiene la numeración de tu tarjeta, la somete a pequeñas pruebas para verificar que está viva y, cuando cuela, lanza el cargo grande. Los pequeños no duelen; el último sí.

El caso, contado con detalle en un foro de consumo, apunta a una plataforma de cobro radicada en Argentina y a una estancia turística en el país años atrás como posible origen de la filtración. Es una hipótesis, no una certeza: la numeración pudo salir de un datáfono manipulado, de una web comprometida o de cualquier base de datos filtrada. Lo relevante no es de dónde vino, sino lo que revela el método.

Qué es el card testing y por qué funciona​

El fraude no empieza con un gran cargo, sino con muchos pequeños. Los bots prueban numeraciones una tras otra con importes mínimos —céntimos— y observan la respuesta del sistema. Si la operación se autoriza, la tarjeta está activa y el número es válido. Si se rechaza, se descarta y se sigue con la siguiente. Es un proceso automatizado que puede testear miles de combinaciones en minutos.

El detalle que más se repite en los relatos: los cargos pequeños se devuelven al instante, de modo que el saldo final apenas se mueve y el titular no sospecha. Esa devolución inmediata no es un gesto de buena fe, es parte del mecanismo de prueba. Cuando el número ya está confirmado, llega la compra real: en este caso, 50 euros en la tienda de Google.

La tarjeta de débito, en desventaja frente a la de crédito​

Con la de débito el dinero sale directo de la cuenta. No hay una línea de crédito que actúe de colchón mientras el banco investiga. Con la de crédito, el cargo se reclama y la entidad pelea con la red de pagos. La diferencia no es menor cuando el importe es alto o cuando el fraude se repite.

La recomendación que más se repite: mantener desactivadas por defecto las compras por internet y en el extranjero en la aplicación del banco, activarlas solo en el momento de pagar y desactivarlas después. No todos los bancos ofrecen esa función, pero la mayoría de los digitales sí. Para pagos online, tarjetas virtuales de un solo uso: aunque copien la numeración, no sirve para nada más.

La denuncia: trámite incómodo, pero imprescindible​

El banco devuelve el dinero, pero pide la denuncia. Y ahí empieza el pulso burocrático. Los relatos recogen desde quien la presentó en la Guardia Civil y recuperó el importe íntegro hasta quien sostiene que la reclamación debe dirigirse al banco, no a la policía: la entidad es la que reclama a la red de pagos y a su seguro. Según un usuario, la justicia europea ha respaldado esa lógica: devolver primero, discutir después.

Hay un dato que conviene retener: los cargos pequeños también son operaciones no autorizadas y deben reclamarse. Si solo se reclama el grande, el banco puede considerar que el resto fue aceptado.

El eslabón que no se cierra​

Nadie sabe con certeza dónde se filtró la numeración. Un viaje al extranjero, un datáfono manipulado, una web comprometida. La cadena tiene demasiados puntos ciegos. Mientras tanto, el consejo que se repite: revisar los movimientos con regularidad, desconfiar de los céntimos y cancelar la tarjeta ante la mínima sospecha. El número que ya tienen sigue valiendo aunque se congele la tarjeta.