Singapur ocupa el segundo lugar mundial en tarjetas de pago robadas mientras crece el comercio en la web oscura

La alta adopción digital de Singapur genera exposición, no debilidad

Singapur ocupa el segundo lugar mundial por proporción de tarjetas de pago robadas que se comercializan en mercados de la web oscura, detrás de Estados Unidos y por delante de España. Así lo revela un análisis de unos 50.700 registros de tarjetas recopilados en mayo de 2025 por una plataforma de exposición a amenazas. Más del 60 por ciento de las tarjetas robadas de la muestra pertenecían a usuarios estadounidenses, cerca del 11 por ciento a usuarios de Singapur y alrededor del 10 por ciento a usuarios de España.

Especialistas en seguridad advierten que esta clasificación refleja la escala y la digitalización, no que el sistema bancario sea especialmente inseguro. Singapur tiene una de las tasas más altas de pagos en línea, uso de billeteras móviles y comercio electrónico transfronterizo de Asia. Una mayor presencia digital genera más oportunidades para que los delincuentes obtengan datos de tarjetas, incluso cuando bancos y comercios mantienen controles sólidos.

Los precios en estos mercados han aumentado en los últimos dos años. Nueva Zelanda registró el mayor incremento, de más del 444 por ciento, y también se informaron fuertes alzas en Argentina y Polonia. Aun con precios más altos, los datos de tarjetas robadas siguen siendo baratos para los delincuentes de bajo nivel. Una tarjeta suele costar aproximadamente lo mismo que una entrada de cine. El promedio mundial ronda los US$9, aunque varía mucho según el país. En Asia, Japón alcanza el precio promedio más alto, de unos US$22,80, seguido de Kazajistán, con US$16,87, y Tailandia, con US$15,08. Las tarjetas emitidas en Singapur se venden a un promedio de unos US$13,19, un aumento de alrededor del 29 por ciento desde 2023. En Europa, los precios rondan los US$11 a US$12 en España, Francia y Suiza.

Cómo operan los mercados de tarjetas robadas

La web oscura es un conjunto de servicios ocultos que utilizan programas de anonimato para enmascarar identidades y ubicaciones. Alberga mercados donde los vendedores ofrecen números de tarjetas robadas, fechas de vencimiento y, en ocasiones, datos completos que incluyen el código CVV, la dirección de facturación y las huellas digitales de dispositivos. Los datos proceden de programas maliciosos instalados en dispositivos de consumidores, páginas de suplantación que imitan sitios de bancos y comercios, filtraciones de sistemas comerciales y proveedores externos de procesamiento de pagos cuyos sistemas han sido vulnerados.

En estos mercados, las tarjetas se venden al por mayor o de forma individual. Los vendedores suelen clasificar los anuncios por banco emisor, país y compatibilidad de la tarjeta con la autenticación 3D Secure. Los compradores prueban transacciones pequeñas y luego intentan hacer compras mayores de tarjetas de regalo, boletos de avión o productos que puedan revender. Investigaciones del sector indican que una gran proporción de los datos de tarjetas anunciados sigue siendo válida durante meses, lo que da a los delincuentes tiempo suficiente para obtener dinero si los primeros cargos de prueba no activan los controles antifraude.

Oferta, demanda y precios

Los precios siguen una lógica sencilla de oferta y demanda. Cuando la oferta es alta o los bancos aplican controles antifraude estrictos, las tarjetas son más baratas. Cuando la oferta es limitada y los controles antifraude son rigurosos, las tarjetas cuestan más porque cometer un fraude con éxito requiere más preparación y paciencia. Esta dinámica explica por qué las tarjetas japonesas están entre las más caras y por qué un país con muchos anuncios de tarjetas, como Singapur, puede tener un precio promedio moderado pese a representar una proporción importante de la muestra total.

Por qué Singapur registra una gran proporción de tarjetas robadas

Singapur es un centro financiero y logístico con una alta proporción de personas que tienen tarjetas y una aceptación casi universal de los pagos sin contacto. Los consumidores compran en línea en comercios locales e internacionales, pagan el transporte y las comidas con billeteras móviles y viajan con frecuencia. Esto genera un enorme volumen de transacciones legítimas y de perfiles de tarjetas almacenados en numerosos servicios. Los delincuentes obtienen datos a gran escala mediante herramientas de suplantación dirigidas a bancos de la región y programas maliciosos que extraen credenciales guardadas y datos de autocompletado de los navegadores.

La amplia adopción de pagos móviles tokenizados también ha cambiado los patrones de fraude. Cuando los bancos y comercios bloquean el fraude con tarjetas no presentes, los delincuentes recurren a otros métodos, como cargar tarjetas robadas en billeteras de teléfonos o engañar a los comercios durante transacciones presenciales. La proporción de tarjetas emitidas en Singapur que aparece en tiendas clandestinas refleja esta amplia superficie de ataque, no una falta de protección.

Los sistemas antifraude limitan la obtención de ganancias

Los bancos de Singapur aplican varias capas de protección. La supervisión de transacciones busca detectar categorías de comercios o ubicaciones inusuales. 3D Secure obliga a autenticar muchas compras en línea con un paso adicional. Las alertas llegan en segundos, lo que permite a los titulares de tarjetas y a los bancos bloquearlas rápidamente. Estos controles, junto con sólidas garantías para reclamar cargos, elevan el costo y el riesgo para los delincuentes. Esa es una de las razones por las que las tarjetas emitidas en Singapur, aunque son comunes en la web oscura, no alcanzan los precios más altos del mercado.

De la suplantación al «ghost tapping»: cómo obtienen dinero los estafadores

La suplantación sigue siendo el punto de entrada en muchos casos. Los atacantes envían avisos falsos de entrega o mensajes de seguridad bancarios y atraen a las víctimas a páginas de inicio de sesión que capturan sus credenciales bancarias y de tarjetas. Familias de programas maliciosos que roban información, como Racoon y Azorult, entre otras, extraen discretamente datos de inicio de sesión guardados y datos de formularios de los navegadores. Las identidades robadas, incluidos números de documentos nacionales y fotografías de los rostros recopiladas para las verificaciones de conocimiento del cliente, circulan en foros clandestinos. Estos recursos permiten a los delincuentes abrir cuentas mula, lavar dinero e intentar apropiarse de cuentas.

Uso indebido de billeteras móviles y fraude en tiendas

Una táctica cada vez más común consiste en vincular datos de tarjetas robadas con Apple Pay o Google Pay en teléfonos desechables para hacer compras en tiendas. Los analistas llaman «ghost tapping» a una parte de este ecosistema, porque los delincuentes pueden retransmitir señales sin contacto o cargar por adelantado tarjetas robadas y entregar los teléfonos a compradores reclutados. Las redes delictivas coordinan la logística, desde el reclutamiento de mulas y la planificación de recorridos de compras hasta la venta de productos robados en Telegram o plataformas de comercio electrónico. Según informes, en Singapur se han registrado grandes pérdidas en el comercio minorista, con mulas que se hacen pasar por turistas y se desplazan rápidamente entre tiendas. A finales de 2024, la policía registró al menos 656 casos y pérdidas de S$1,2 millones por suplantación relacionada con tarjetas de crédito y estafas con billeteras móviles en un período de tres meses.

Casos recientes en Singapur muestran cómo operan estas redes

Los tribunales han visto varios casos que reflejan estos métodos. En uno, un ciudadano chino de 29 años fue condenado a 30 meses de cárcel por usar datos de tarjetas robadas para comprar 20 iPhone 16 por un valor superior a S$40.000 en tres días. Le dieron un teléfono con una aplicación que cargaba a distancia datos de tarjetas robadas obtenidos mediante suplantación. Las compras se hicieron en importantes tiendas de electrónica; los teléfonos se revendieron a cambio de dinero en efectivo y los intermediarios recogieron las ganancias.

En otro caso, una mujer malasia de 25 años fue condenada por ayudar a vender iPhone comprados con datos de tarjetas cargados en una billetera móvil. Su pareja hizo varias compras en tiendas Apple con tarjetas virtuales vinculadas a las víctimas. Las alertas bancarias avisaron a las víctimas y la policía intervino antes de que la pareja pudiera salir del país con el resto del dinero. Estos procesos judiciales ponen de relieve cómo redes transnacionales envían a intermediarios a realizar compras rápidas de gran valor.

Riesgos internos y manejo deficiente de datos

También hay riesgos dentro de las organizaciones. Un exempleado de un banco de Singapur fue condenado por divulgar información de más de 1.000 clientes después de que lo engañaran personas que se hicieron pasar por policías extranjeros. Aunque en un incidente distinto en un importante distribuidor de automóviles no estuvieron implicados números de tarjetas de crédito ni de débito, una filtración que expuso 147.000 registros de clientes muestra cómo circula la información personal cuando los atacantes logran entrar en un sistema. Los documentos y datos de identidad facilitan el fraude, ya que ayudan a los delincuentes a superar verificaciones o preguntas de seguridad basadas en ingeniería social.

Cómo responden los bancos, comercios y reguladores

Los bancos siguen reforzando los controles para vincular tarjetas a billeteras móviles. El análisis de riesgos de los dispositivos comprueba si el teléfono que solicita un token ya se ha usado antes, si tiene modificaciones no autorizadas y si la solicitud coincide con el perfil del cliente. Algunos emisores piden a sus clientes que confirmen la vinculación de nuevas billeteras mediante la aplicación del banco, en lugar de hacerlo por SMS, para reducir la ingeniería social. Los análisis en tiempo real y los modelos de aprendizaje automático ayudan a bloquear compras sospechosas en la etapa de autorización.

Los comercios están reforzando los controles en el punto de venta. La capacitación del personal destaca señales de alerta, como varios intentos fallidos, clientes que alternan entre varios teléfonos o tarjetas y personas que intentan dividir compras de gran valor en muchas transacciones pequeñas. Las tiendas pueden exigir una identificación para comprar productos electrónicos costosos, coordinarse estrechamente con los bancos adquirentes y conservar las grabaciones de las cámaras de seguridad para facilitar investigaciones rápidas. Los proveedores de pagos están ajustando sus reglas para señalar combinaciones de comercios y dispositivos riesgosas que indiquen compras organizadas.

Aplicación de la ley y cooperación transfronteriza

Las operaciones coordinadas que reúnen a bancos, redes de tarjetas, aerolíneas y policías han demostrado ser eficaces contra tipos específicos de fraude. En una operación anterior, denominada Airport Action Days, los agentes detuvieron a decenas de viajeros que intentaron usar datos de tarjetas robadas para comprar boletos de avión. INTERPOL coordinó las actividades en Asia desde su centro de innovación en Singapur. Hoy se realizan iniciativas conjuntas similares con las policías nacionales para desarticular herramientas de suplantación, redes de reclutamiento de mulas y mercados clandestinos donde se comercializan tarjetas robadas.

Qué pueden hacer los consumidores ahora

La mayoría de los emisores reembolsa las compras no autorizadas con tarjetas, pero la rapidez importa. Detectar el fraude pronto limita las pérdidas y reduce el tiempo que tienen los delincuentes para probar y reutilizar sus datos. Las medidas que se indican a continuación reducen el riesgo de que sus datos queden comprometidos y ayudan a detectar el fraude rápidamente.

• Active las alertas de transacciones en tiempo real en la aplicación de su banco para todas sus tarjetas, incluidas las transacciones con billeteras y las compras en línea.
• Revise los estados de cuenta cada semana y reclame de inmediato cualquier cargo que no reconozca.
• Use una contraseña segura y única para sus cuentas bancarias y de tarjetas, y guárdela en un administrador de contraseñas confiable.
• No guarde números de tarjetas ni contraseñas en los navegadores web. Los programas maliciosos que roban información buscan los datos almacenados para el autocompletado del navegador.
• Active la autenticación de dos factores en sus cuentas bancarias, de correo electrónico y de compras. Prefiera la autenticación mediante la aplicación de su banco en lugar de SMS.
• Use números de tarjetas virtuales o tokens para cada compra cuando su banco los ofrezca, sobre todo en comercios que use con poca frecuencia.
• Bloquee o suspenda sus tarjetas, o establezca límites de transacción en la aplicación de su banco cuando no esté comprando. Desactive las transacciones en el extranjero o sin presencia de la tarjeta, salvo que las necesite.
• Mantenga actualizados sus teléfonos y computadoras, instale los parches de seguridad cuanto antes y evite las tiendas de aplicaciones o descargas no oficiales.
• Proteja sus cuentas de identidad digital nacional, como SingPass. Cambie las contraseñas si sospecha que ha sido víctima de suplantación y denuncie rápidamente cualquier incidente.
• Desconfíe de los mensajes sobre entregas, reembolsos o alertas de seguridad. Acceda al sitio web de su banco escribiendo la dirección oficial o use la aplicación; no pulse enlaces incluidos en los mensajes.

Puntos clave

• Singapur representa alrededor del 11 por ciento de las tarjetas de pago robadas que se comercializan en los datos recopilados en mayo de 2025, detrás de Estados Unidos y por delante de España.
• El precio promedio de las tarjetas emitidas en Singapur es de unos US$13,19, alrededor de un 29 por ciento más que en 2023, mientras que las tarjetas japonesas alcanzan unos US$22,80.
• Los expertos atribuyen la posición de Singapur a la alta adopción digital y al volumen de transacciones, no a controles bancarios débiles.
• Las técnicas de fraude incluyen la suplantación, los programas maliciosos que roban información y el uso indebido de billeteras móviles para hacer compras en tiendas mediante mulas reclutadas.
• Los procesos judiciales locales muestran que redes transnacionales compran iPhone y otros productos con datos de tarjetas robadas y luego los revenden a cambio de dinero en efectivo.
• Los bancos y comercios están reforzando la autenticación para vincular tarjetas a billeteras y mejorando los controles en los puntos de venta, mientras las fuerzas del orden coordinan operaciones transfronterizas.
• Los consumidores pueden reducir los riesgos con alertas, buenas prácticas de contraseñas, autenticación de dos factores y evitando guardar datos de tarjetas en los navegadores.