Adyen explica cómo frena el card testing distribuido

El 4 de octubre de 2026, Adyen publicó un análisis técnico de su modelo Bot Attack contra el card testing. La compañía informa de un aumento medio del 28% en los ataques bloqueados sin empeorar el resultado para los compradores legítimos en su propia evaluación. Se trata del resultado declarado por el proveedor; el artículo no presenta una verificación independiente ni los límites detallados de la prueba.

El card testing consiste en comprobar si los datos de una tarjeta siguen siendo válidos mediante intentos de pago. Cuando el ataque se reparte entre muchos identificadores, un comprador o una IP concretos pueden no parecer anómalos. Adyen describe un análisis de grupos agregados de tráfico y de su estado en tiempo real: el modelo busca el patrón común allí donde los contadores individuales solo muestran eventos dispersos.

Por qué los bloqueos no bastan para evaluar

Que crezca el número de intentos detenidos solo es útil si se entiende qué se ha detenido exactamente. Si una regla simplemente se endurece, el indicador de bloqueos también subirá, pero con él pueden aumentar las compras reales perdidas. Por eso es relevante que la publicación declare por separado el resultado para el tráfico legítimo. Para reproducir esa afirmación hace falta una verificación propia sobre una cartera de pagos concreta.

También está la parte de ingeniería. Adyen describe un cálculo coherente de las variables para el entrenamiento y para la operación del modelo, además de la monitorización de los datos, los cálculos, las predicciones y las decisiones finales. Desde el punto de vista editorial, es una señal con más contenido que la simple mención de la IA: la calidad de la protección depende de que el sistema en producción reciba las mismas señales con las que fue entrenado y de que el equipo detecte las desviaciones a tiempo.

Para un comercio de alto riesgo, la noticia sirve como base para distinguir tipos de pérdidas. Un pico de rechazos puede deberse a la comprobación de datos robados y no a un empeoramiento de la calidad del comprador habitual. Si se mezclan ambos flujos en un único indicador de conversión, se puede relajar la protección por error solo para recuperar un porcentaje atractivo. Una evaluación correcta analiza por separado las series sospechosas, las compras normales y los cambios en las decisiones tras activar el nuevo control.

La arquitectura descrita ofrece un tema concreto para discutir con el equipo antifraude. El 28% declarado no debe trasladarse a una previsión de ahorro propio: el número de intentos bloqueados no equivale al importe del daño financiero evitado.

Qué significa para comercios y PSP

Para el comercio, la conclusión principal no está en elegir un proveedor concreto, sino en cómo está planteada su propia evaluación antifraude. Los ataques por fuerza bruta golpean varias partidas a la vez: comisiones por intentos de autorización, carga en la pasarela de pago, aumento de la tasa de rechazos a ojos de los emisores y, como consecuencia, un posible deterioro de las aprobaciones para los compradores habituales. Por eso conviene hablar de protección en términos de costes y pérdidas, y no solo de solicitudes detenidas.

Los PSP y los orquestadores de pagos probablemente recibirán más preguntas de sus clientes sobre cómo sus propias reglas detectan los ataques distribuidos. Es útil preparar de antemano una respuesta clara: en qué nivel se agregan las señales, con qué rapidez cambia la decisión y cómo se entera el cliente de que se ha activado una alerta.

Qué revisar en su operación

• Si los informes separan las series de intentos sospechosos de los rechazos normales, o si todo se reduce a una única métrica de conversión.
• Qué variables se usan para agrupar el tráfico: BIN, dispositivo, sesión, importe, punto de entrada al checkout.
• Si el cálculo de variables coincide en el entorno de pruebas y en producción, y si existe monitorización de la deriva de datos.
• Cuánto cuestan los intentos rechazados según el contrato con el adquirente y si se tienen en cuenta en la economía de la protección.
• Si el equipo tiene un plan ante bloqueos falsos: quién levanta la restricción y en cuánto tiempo.
• Qué preguntar al proveedor: cómo se midió el efecto sobre el tráfico legítimo, en qué periodo y con qué segmentos de comercios.

Esta lista ayuda a comparar soluciones en lo esencial. El porcentaje declarado por un proveedor y el resultado real en una cartera concreta pueden diferir bastante, y eso es una parte normal de la implantación, no un motivo para renunciar a la verificación.

Fuentes: Adyen engineering disclosure; Adyen Protect product description; Stripe documentation on card-testing effects