E-skimming: ¿pueden robar datos en una tienda legítima?

El e-skimming es el robo de datos de pago mediante código malicioso introducido en una tienda de internet legítima. La compra puede terminar correctamente mientras la información llega también a los delincuentes. Por eso, reconocer la marca o recibir una confirmación del pedido no permite descartar que los datos hayan quedado expuestos.

• Una tienda auténtica puede sufrir una alteración de su sistema de compra.
• El robo de información no siempre interrumpe el pago ni cambia el aspecto de la página.
• Comprobar la dirección ayuda frente a las suplantaciones, pero no detecta todas las intrusiones.
• La protección depende tanto de las medidas del comercio como del cuidado del comprador.

¿Cómo funciona el e-skimming en una tienda auténtica?

Según INCIBE, en su explicación publicada el 14 de noviembre de 2019, este ataque comienza cuando los delincuentes consiguen entrar en los sistemas del comercio. Entre las vías descritas están los fallos de programas sin actualizar y los engaños destinados a obtener acceso a la tienda.

Después alteran el funcionamiento de la página para capturar información que introduce el comprador. No necesitan entregar una tarjeta física a un tercero ni instalar un lector en un cajero: el punto comprometido está en el proceso digital de compra.

Lo decisivo es que la operación comercial puede seguir su curso. El establecimiento recibe el pedido, el cliente obtiene su confirmación y, al mismo tiempo, alguien ajeno al proceso recoge datos que no le corresponden.

Una compra correcta no demuestra que los datos estén protegidos

El comprobante acredita una operación, no una auditoría de seguridad del comercio. Recibir el producto tampoco permite concluir que nadie capturó información durante el pago.

Esto no significa que cualquier compra terminada sea sospechosa. Significa que el resultado visible de una operación y la confidencialidad de los datos son cuestiones diferentes.

¿En qué se diferencia de una tienda falsa o del phishing?

En una suplantación, el comprador acaba en una página que imita a otra. En el e-skimming, el problema puede estar dentro del comercio al que realmente quería acceder, sin que exista una dirección falsa fácil de reconocer.

El phishing consiste en utilizar engaños para conseguir información o acceso. Puede servir para comprometer al personal del comercio, pero no es necesario que cada comprador reciba un mensaje fraudulento para que sus datos queden afectados.

Situación	Dónde está el engaño o la intrusión	Qué puede comprobar el comprador
Tienda suplantada	Una página se hace pasar por el negocio real.	La dirección completa y la identidad del vendedor.
Mensaje fraudulento	Una comunicación busca obtener datos o llevar a otro sitio.	El remitente y la solicitud mediante un canal independiente.
E-skimming	Se altera el código de una tienda legítima.	No siempre hay señales visibles suficientes para detectarlo.

La distinción permite entender los límites de las precauciones habituales. Para reconocer indicios más generales, puede servir la guía sobre señales de alerta de fraude con tarjetas, sin interpretarla como una prueba técnica de que una tienda está limpia.

¿El candado y una pasarela externa eliminan el riesgo?

La guía argentina Con Vos en la Web, actualizada en octubre de 2026, explica el papel de los certificados y de HTTPS para proteger la comunicación. Esa protección no equivale a comprobar que todos los elementos del sitio funcionan sin alteraciones maliciosas.

Por tanto, una conexión cifrada es una capa de seguridad, no una garantía sobre la integridad del comercio. Revisar la dirección sigue siendo útil, aunque no resuelve por sí solo el problema del e-skimming.

Externalizar el pago cambia la exposición, no borra todos los riesgos

INCIBE señala que el ataque afecta especialmente a los comercios que gestionan los datos bancarios dentro de su propia tienda. Una pasarela externa separa esa parte del proceso, pero la información personal introducida en el comercio puede seguir expuesta.

La presencia de una marca de pagos conocida no permite concluir que cualquier formulario sea auténtico. Si aparecen solicitudes inesperadas, resulta razonable detener la compra y contrastarlas con el negocio mediante sus canales habituales.

¿Qué puede hacer el comprador antes y después del pago?

El usuario no tiene acceso a todos los controles técnicos del comercio. Aun así, puede reducir exposiciones innecesarias y conservar información útil si posteriormente necesita consultar una operación.

• Acceder al negocio desde su dirección conocida, en lugar de seguir mensajes inesperados.
• Evitar guardar los datos de la tarjeta en la cuenta de la tienda.
• No enviar fotografías de tarjetas ni códigos de seguridad por mensajería.
• Proteger la cuenta comercial con una contraseña propia y doble autenticación cuando esté disponible.
• Conservar el comprobante y revisar los movimientos desde el canal oficial del emisor.

Las primeras precauciones coinciden con las recomendaciones de Con Vos en la Web. No reparan una tienda comprometida, pero evitan añadir otras vías de exposición al proceso de compra.

Para el seguimiento posterior, la explicación sobre cómo usar alertas para controlar movimientos ayuda a organizar las revisiones. Las notificaciones facilitan advertir operaciones que requieren atención; no certifican que los datos no se hayan filtrado.

Ante un cargo desconocido o una comunicación de exposición de datos, contactar al emisor por su aplicación o teléfono oficial permite solicitar instrucciones sobre bloqueo, sustitución y revisión. Los trámites y derechos dependen del país y del caso, por lo que este análisis técnico no promete una devolución automática.

¿Qué protección corresponde al comercio?

La prevención del e-skimming no puede descansar únicamente en que el cliente mire bien la pantalla. INCIBE sitúa entre las medidas del negocio la actualización del software y la comprobación de que los archivos de la web no hayan sufrido modificaciones indebidas.

Para el comprador, la conclusión práctica es reconocer ese límite: una apariencia profesional no sustituye los controles internos. Mantener hábitos de seguridad al utilizar banca digital complementa la protección, pero no convierte al consumidor en responsable de auditar el sistema de la tienda.

Contenido informativo, no constituye asesoramiento financiero.