# El que espera: el atacante que se aguanta para no llamar la atención y el cliente de siempre dejan el mismo rastro Un atacante que se aguanta y vigila su propio riesgo, y un cliente de ticket medio que compra parecido todos los meses, dejan el mismo rastro: pura compra normal, ninguna que salte sola. Qué los separa de verdad y cómo muta el ataque cuando lo bloqueas. 2026-08-24 · https://frauddi.com/blog/el-que-espera/ --- ## Cómo ataca Tiene dos tarjetas robadas que se ven limpias, y las va turnando. Ninguna compra, por sí sola, vale la pena mirar. Los montos van apenas por encima de lo normal para esa tarjeta, sin acercarse a un tope. Pocas compras al día, a horas normales, en comercios normales. A veces deja pasar una sin CVC, a veces con él, como quien anda apurado un día y con calma al otro. Lo que lo hace distinto es que se mide. Está probando el mismo sistema que tienes tú. Si una compra pasa fácil, empuja un poco más. Si algo se traba o le piden una verificación de más, se queda quieto unos días y vuelve más suave. No corre. Correr es lo que llama la atención. El total que busca es grande, pero llega cortado en muchas compras chicas repartidas en semanas. Su plan entero es ser aburrido. Que cada compra, mirada sola, no tenga nada. ## Quién se le parece y es honesto El cliente de siempre. Compra parecido todos los meses: el mercado, la farmacia, una que otra cosa por internet. Lo de esta semana es igualito a lo del mes pasado. El que cambió de trabajo y ahora gana un poco más. Empieza a gastar de a poco más, sostenido, sin picos. Cada compra un peldaño más arriba que la anterior, y ninguna sorprende. El negocio chico que paga todo con la misma tarjeta. Gastos repetidos, montos medianos, varios el mismo día. Aburrido a propósito, porque así es un gasto de operación. Los tres se ven como el atacante quiere verse: sin un solo pico, sin una sola compra que valga la pena mirar dos veces. ## Lo que sí los separa - Cómo reacciona al roce. - El cliente de siempre: si le pides una confirmación de más, la hace molesto y sigue. - El que espera: apenas algo se pone difícil, desaparece unos días y vuelve más abajo. - De dónde sale el dinero. - El cliente de siempre: gasta de una cuenta. - El que espera: reparte entre dos tarjetas que se turnan, pero desde el mismo dispositivo y con el mismo ritmo. - Qué tan cerca del límite compra. - El cliente de siempre: su gasto anda por todos lados, un mes más, un mes menos, a veces cerca del tope, a veces lejos. - El que espera: se queda un poco por debajo de donde empezarías a mirar, y no se despega de ahí. - El CVC que falta a ratos. - El cliente de siempre: le falta el CVC cuando de verdad no lo tiene a mano, y eso cae cuando cambió de teléfono o compra en un sitio nuevo. - El que espera: le falta salteado, a propósito, desde el mismo dispositivo donde otras veces sí lo puso. - Las señales flojas juntas. Cada cosa que hace, por separado, se explica sola. Lo que no se explica es que todas caigan en la misma tarjeta, el mismo dispositivo y la misma semana. - El cliente de siempre: prende una señal floja de vez en cuando. - El que espera: se le prenden de a poco, todas apuntando al mismo lado. ## Cómo muta cuando lo detectas - Subes el nivel donde empiezas a mirar. Baja los montos por debajo del nuevo, los reparte más seguido y estira el calendario, hasta que el promedio deja de tocar la línea. Llega al mismo total, más lento. - Le pides una confirmación de más en una compra. La pasa sin problema, porque tiene los datos, y aprende que esa compra estaba en el filo. La próxima la deja más abajo. - Bloqueas una de las tarjetas. Sigue con la otra sin cambiar nada más. El ritmo es el mismo porque el dispositivo es el mismo. - Ves que las dos tarjetas salen del mismo dispositivo. Las separa en dos, una por tarjeta, y baja la frecuencia para que ninguno de los dos se vea ocupado. Al final de esa escalera queda alguien que parece un cliente aburrido. Lo delata una sola cosa: reacciona a ti. Cada vez que mueves un control, se ajusta. Un cliente de verdad casi nunca hace eso, porque casi ninguno sabe que tiene un puntaje. ## Cierre El trabajo está en dejar comprar al cliente de siempre y frenar al que se disfraza de cliente de siempre, cuando ninguna de sus compras, mirada sola, tiene nada de raro. Eso depende de si puedes sumar muchas señales flojas a lo largo de semanas, o solo revisar la compra que acaba de entrar. ### ¿Y cómo se resuelve? Afinar esto a mano te toma días, y cada día cuesta contracargos y ventas buenas. Eso estamos resolviendo en Frauddi. Te lo mostramos sobre tus datos. Próximo: el durmiente, el que construye una historia impecable por semanas y un día vacía todo de golpe, y el freelancer que cobra un proyecto grande y se pone al día en tres días (7 de 9). Escrito por Elio Rincón, fundador de Frauddi. Escribe sobre IA, seguridad y fraude en e1i0.com.