Los pedidos falsos son pedidos que nadie piensa pagar de forma honesta: bots que rellenan formularios, estafadores que hacen card testing (prueban tarjetas robadas en tu checkout), bromistas, competidores y afiliados que inflan sus cifras. Se detectan por los campos del pedido (un nombre inventado, un teléfono imposible, una ráfaga de pedidos en un minuto, intentos de pago rechazados) y se frenan en tres capas: protección contra bots en la web, controles en el pago como 3D Secure y revisión manual de los pedidos de riesgo antes de enviar.
El pedido falso que cancela un empleado cuesta unos minutos. El caro es el que pasa todos los controles, se envía y vuelve como contracargo: pierdes la mercancía, el envío y una comisión por disputa. Más abajo verás de dónde salen los pedidos falsos, siete señales en el propio pedido, cuánto cuestan con cifras de ejemplo y qué controles apenas notan los clientes reales.
Cuándo se busca «pedidos falsos» o «card testing»
Casi siempre después de una mañana rara: una docena de pedidos con nombres como «asdf», emails que rebotan y una lista de pagos con tarjeta rechazados en el panel de la pasarela de pago. O después de un mes en el que empezaron a llegar avisos de contracargo por pedidos ya enviados. Quien lleva la tienda busca «pedidos falsos», «pedidos fraudulentos» y «card testing», y luego pregunta: «cómo evito que los bots hagan pedidos», «cancelo un pedido sospechoso», «puedo bloquear a un cliente».
Casi todos quieren saber quién está detrás. La pregunta útil es otra: en qué paso debe pararse un pedido falso para que nunca te cueste dinero.
Quién hace pedidos falsos y por qué
Sobre todo bots y visitantes descuidados, no bandas organizadas; los ataques deliberados son menos frecuentes de lo que sugieren los foros. El origen decide dónde atrapas el pedido.
| Origen | Para qué | Cómo es el pedido | Dónde frenarlo |
|---|---|---|---|
| Bots de spam | sondear formularios, colar enlaces | letras al azar en el nombre, enlaces en el comentario, decenas de pedidos seguidos | web: CAPTCHA, campo oculto |
| Card testing | comprobar qué números de tarjetas robadas siguen funcionando | importes pequeños, muchos intentos rechazados, nombres y emails sin sentido | web y pago: CAPTCHA, límites de intentos, 3D Secure |
| Errores y bromas | un niño pulsó el botón, alguien «probó cómo funciona» | teléfono real, pero nadie recuerda el pedido | email o mensaje de confirmación |
| Competencia | ocupar al equipo, ver precios y condiciones, bloquear stock escaso en reservas | pedidos parecidos desde contactos distintos para un mismo producto escaso | límite de unidades, reservar stock solo tras el pago o la confirmación |
| Fraude de afiliados y publicidad | el socio cobra por lead o por pedido | pico de pedidos desde una fuente de tráfico, conversión muy por encima de lo normal | analítica por fuente, pagar a los socios solo por pedidos pagados |
| Compradores estafadores | quedarse con la mercancía o recuperar el dinero sin pagar | un pedido normal; el problema aparece después, como disputa o devolución | prueba de entrega, condiciones de devolución |
El card testing merece párrafo propio. Stripe lo describe como estafadores que comprueban si los datos de tarjetas robadas son válidos, a menudo con pagos pequeños y scripts que prueban muchas tarjetas a la vez. Incluso los intentos fallidos hacen daño: un pico de rechazos hace que los bancos emisores confíen menos en todos tus pagos, y los intentos que salen bien vuelven como disputas por fraude.
Siete señales de un pedido falso o fraudulento
Una sola señal dice poco: un cliente real también puede escribir mal una dirección. Dos o tres juntas son motivo para retener el pedido y revisarlo antes de preparar nada.
- Un nombre o un email de relleno. «asdf», «test», una cadena de caracteres al azar, un email que rebota.
- Un teléfono que no puede existir. Todo ceros, dígitos repetidos, un número de cifras que no corresponde al país (en España, 9 cifras).
- Una ráfaga de pedidos. Varios pedidos desde un mismo email, dispositivo o dirección IP en pocos minutos, a menudo del mismo producto.
- La dirección de facturación y la de envío no encajan. Países distintos, o una dirección de envío que es un reenviador de paquetes lejos de la del titular de la tarjeta.
- Intentos de pago rechazados antes de uno aceptado. Varios rechazos con tarjetas distintas y luego un pago que pasa. Stripe cita un pico de pagos fallidos y pagos pequeños con nombres sin sentido como el cuadro típico del card testing.
- Una cesta poco habitual. Muchas unidades de un artículo fácil de revender, todas las tallas de un modelo, envío urgente en un primer pedido.
- Un historial con problemas. Este cliente ya presentó un contracargo o rechazó un paquete contra reembolso.
Las seis primeras se ven en el propio pedido. La séptima es la más fiable, pero solo si los pedidos están en una base de datos junto con el historial de cada cliente, y no repartidos entre el correo, una hoja de cálculo y el panel de pagos.
Cuánto cuestan los pedidos falsos
Un pedido falso detectado antes del envío cuesta tiempo del equipo; un pedido fraudulento que se envía y acaba en contracargo cuesta la mercancía, el envío y la comisión por disputa. De ahí la fórmula:
Ejemplo ficticio para hacer las cuentas; solo la comisión por disputa es una cifra real (20 € por disputa recibida en la tarifa de Stripe para España, comprobado el 01.11.2026). Una tienda recibe 600 pedidos al mes. Un empleado cancela 30 pedidos falsos y dedica 6 minutos a cada uno, a 0,50 € el minuto (30 € la hora). Cuatro pedidos fraudulentos con tarjeta pasan los controles, se envían y vuelven como disputas por fraude; en cada uno la mercancía costaba 60 € y el envío 8 €.
| Concepto | Cantidad | Por unidad, € | Total, € |
|---|---|---|---|
| Revisar y cancelar pedidos falsos | 30 | 3 | 90 |
| Mercancía perdida en contracargos | 4 | 60 | 240 |
| Envío pagado en contracargos | 4 | 8 | 32 |
| Comisiones por disputa | 4 | 20 | 80 |
| Total | 442 |
Los contracargos suman 352 € de los 442 €, en torno al 80 %. Si la tienda gana 15 € por pedido, un contracargo de 88 € se come el beneficio de casi seis pedidos reales, y el mes entero de pedidos falsos, el de unos 30. Por eso importa más frenar los pedidos de riesgo antes de enviarlos que cazar cada bot. Si además aceptas contra reembolso, los paquetes no recogidos añaden una línea parecida; los costes y la proporción de rechazos están en el artículo sobre el pago contra reembolso en una tienda online.
Cómo frenar los pedidos falsos sin espantar a los clientes reales
Pon los controles en capas para que cada uno pare su tipo de pedido falso y el comprador honrado los pase sin darse cuenta. Los controles estrictos, solo donde el riesgo es mayor.
| Control | Qué frena | Coste para el comprador honrado |
|---|---|---|
| CAPTCHA invisible (reCAPTCHA v3) | bots de spam, scripts de card testing | ninguno: puntúa la solicitud sin pedir nada a la persona |
| Campo oculto en el formulario | bots simples que rellenan todos los campos | ninguno |
| Validación de teléfono y dirección | números imposibles, direcciones inventadas | ninguno |
| Límites por IP, email y tarjeta | ráfagas de pedidos, card testing | raro: un comprador mayorista te escribe |
| 3D Secure en pagos de riesgo | pagos con tarjetas robadas | una confirmación en la app del banco |
| Revisión manual antes del envío | pedidos con dos o tres señales de la lista | unas horas de retraso |
| Registro obligatorio antes de pagar | card testing a través del checkout como invitado | un paso más; úsalo solo durante un ataque |
CAPTCHA invisible: reCAPTCHA v3 da a cada solicitud una puntuación de 0.0 (muy probablemente un bot) a 1.0 (muy probablemente una interacción legítima), y Google propone empezar con un umbral de 0.5. No hace falta bloquear las puntuaciones bajas: puedes mandar esos pedidos a revisión manual.
3D Secure: cuando un pago fraudulento se autenticó con 3D Secure y el titular lo disputa por fraude, la responsabilidad suele pasar de ti al banco emisor. Stripe insiste en que no está garantizado en todos los pagos. En la UE, la autenticación reforzada de clientes (SCA) ya activa 3D Secure en muchos pagos con tarjeta; además puedes pedirlo en los pedidos que parezcan de riesgo. Cómo funcionan en general las comisiones de tarjeta y el TPV virtual lo explica el artículo sobre la pasarela de pago para una tienda online.
Fraudes de clientes reales
A diferencia de un bot, el comprador estafador hace un pedido normal; el fraude aparece después, en el pago, la entrega o la devolución. Los esquemas más comunes:
- Fraude amistoso (friendly fraud). El cliente recibió la mercancía, pero disputa el pago con tarjeta como no autorizado o «no recibido». Guarda el número de seguimiento y la prueba de entrega junto al pedido: en una disputa, la pasarela de pago pide qué se pidió, cómo se entregó y a quién.
- «El paquete nunca llegó». La misma reclamación, pero dirigida a ti en lugar del banco. La respuesta es el estado de entrega del transportista; en pedidos de valor, envía con firma.
- Devoluciones cambiadas. El cliente devuelve una copia más barata o un artículo con otro número de serie. Anota los números de serie y fotografía la mercancía de valor antes de enviarla.
- Devolución después de usarlo. Una prenda usada una vez vuelve como «no me queda bien». Indica las condiciones de devolución en la web y revisa el artículo antes de reembolsar.
- Justificante de pago falso. En transferencias: la captura de un «pago» que nunca llega. Envía solo cuando el dinero esté en tu cuenta.
Si la pérdida es grande o el esquema se repite, denúncialo ante la Policía Nacional o la Guardia Civil y avisa también a tu pasarela de pago.
Cuándo el historial del cliente debe estar en la ficha del pedido
Cuando hay decenas de pedidos al día, nadie recuerda qué cliente ya presentó un contracargo o pidió lo mismo dos veces ayer. La señal más fiable de la lista, el historial del cliente, solo funciona si está en pantalla mientras se revisa el pedido.
En Elbuz cada pedido está vinculado a la ficha del cliente, así que el historial de compras está a un clic. El formulario del pedido muestra el aviso «Parece un duplicado» cuando el mismo cliente ya tiene un pedido parecido en un plazo de siete días, con el mismo importe o el mismo número de pedido externo. Si aceptas contra reembolso, el pedido muestra además el aviso «Riesgo de no recogida», con la proporción de paquetes contra reembolso que este cliente ha recogido de verdad y la sugerencia de pedir el pago por adelantado o confirmar el pedido por teléfono.
Los límites: Elbuz no puntúa los pagos con tarjeta; eso corresponde a las herramientas antifraude de tu pasarela de pago y a 3D Secure. Y un primer pedido de un contacto nuevo no tiene historial con el que comparar. Cómo se unen pedidos, clientes y envíos en una sola base de datos lo verás en la página de gestión de pedidos.
Pedidos e historial de clientes en ElbuzDuplicados y clientes de riesgo a la vista antes de enviar
Preguntas frecuentes
¿Qué son los pedidos falsos?
Pedidos en una tienda online que nadie piensa pagar de forma honesta: de bots, de quienes hacen card testing, de bromistas, de la competencia o de afiliados que inflan sus cifras. Ocupan tiempo del equipo y, si se envían, cuestan la mercancía, el envío y las comisiones por contracargo.
¿Qué es el card testing?
Estafadores que usan tu checkout para averiguar qué números de tarjetas robadas siguen funcionando, normalmente con pagos pequeños hechos por scripts. Las señales típicas son un pico de pagos rechazados y pedidos pequeños con nombres y emails sin sentido.
¿Cómo evito que los bots hagan pedidos?
Añade un CAPTCHA invisible como reCAPTCHA v3, un campo oculto que solo rellenan los bots, validación de teléfono y dirección, y límites por dirección IP, email y tarjeta. Los clientes reales no notan estos controles.
¿Debo cancelar un pedido sospechoso?
No de inmediato. Retenlo y revísalo: si coinciden dos o tres señales y el cliente no confirma el pedido, cancélalo y reembolsa antes de enviar, que sale más barato que un contracargo después.
¿Qué es el fraude amistoso?
Un cliente que recibió la mercancía disputa el pago con tarjeta como no autorizado o no entregado. La prueba de entrega y un historial del pedido claro son tus principales pruebas en la disputa.
¿Cuánto le cuesta un contracargo al comercio?
La mercancía y el envío perdidos más la comisión por disputa de la pasarela; Stripe, por ejemplo, cobra 20 € por disputa recibida en su tarifa para España. El ejemplo completo está en el cálculo.
¿Dónde denuncio a un cliente estafador?
Ante la Policía Nacional o la Guardia Civil. Adjunta el pedido, los datos del envío, tus mensajes y los registros del pago, y avisa a tu pasarela de pago.
Fuentes
- Stripe — card testing: cómo funciona, señales, prevención (CAPTCHA, límites de intentos, restringir el acceso al formulario de pago) — docs.stripe.com/disputes/prevention/card-testing.
- Stripe — 3D Secure, autenticación reforzada de clientes y traslado de responsabilidad — docs.stripe.com/payments/3d-secure/authentication-flow.
- Stripe — tarifas para España: comisión por disputa recibida 20,00 € — stripe.com/es/pricing.
- Google reCAPTCHA v3 — puntuación de 0.0 a 1.0, umbral 0.5 — developers.google.com/recaptcha/docs/v3.
- Policía Nacional — denuncias — policia.es.
Comprobado el 01.11.2026. El resto de cifras del artículo son ejemplos para hacer las cuentas.
