Una cuenta de fidelización no parece una caja fuerte, pero puede funcionar como tal. Puede guardar puntos canjeables, cupones, crédito, datos personales, direcciones e historial de compra. En algunos programas también incorpora tarjetas regalo o medios de pago. Y, cuanto más útil resulta para el cliente, mayor es el valor que concentra.
Un acceso no autorizado a esa cuenta permite convertir sus recompensas en productos, saldo o tarjetas transferibles. La operación puede comenzar con unas credenciales expuestas, continuar con un cambio de datos en atención al cliente y terminar con la recogida de un artículo en tienda. En definitiva, el inventario sigue siendo el objetivo, pero parte del riesgo se desplaza hacia la identidad y los procesos que conectan los canales, por donde puede llegar el peligro de fraude.
El hurto se modera
Este cambio aparece mencionado en el informe The Impact of Retail Theft & Violence 2026, publicado por la National Retail Federation y el Loss Prevention Research Council.
Entre las empresas que medían estos incidentes, el número medio de hurtos registrados descendió un 12,4% entre 2024 y 2025 y las sustracciones de mercancía bajaron un 8,1%.
La NRF vincula parte de esa evolución con las inversiones en seguridad, formación y análisis de pérdidas, aunque recuerda que los niveles siguen por encima de los años anteriores a la pandemia.
Al mismo tiempo, el 69% de los retailers participantes en la encuesta realizada a operadores estadounidenses declaró que las estafas telefónicas habían aumentado. El 51% observó más fraude relacionado con la fidelización y el 42% señaló un incremento del robo o fraude con tarjetas regalo.
La cuenta concentra más que un historial de compra
Los programas de fidelización han pasado de registrar puntos a conectar identidad, promociones, e-commerce, aplicación móvil, recogidas, devoluciones y atención al cliente. Esa integración mejora el conocimiento del comprador y permite ofrecer servicios más personalizados, pero también reúne activos que pueden aprovecharse de forma indebida.
La toma de control de cuenta se produce cuando un tercero accede sin permiso a un perfil legítimo. Pero esto no implica necesariamente que el retailer haya sufrido una brecha de datos. Las credenciales pueden proceder de otro servicio, de una página falsa o del correo electrónico del cliente. También puede abusarse de la recuperación de contraseña para comprobar si una cuenta existe o para sustituir la clave después de comprometer el correo asociado.
La Retail Fraud Taxonomy 2.0 de la NRF recomienda que las respuestas del sistema no confirmen la existencia de una cuenta y que el cliente reciba avisos cuando se restablece la contraseña. Una vez dentro, el atacante puede cambiar los datos de contacto, canjear recompensas, desviar un pedido o utilizar la información disponible para nuevas suplantaciones.
Los puntos, valor interno canjeable
Los puntos no son dinero de curso legal, pero dentro del ecosistema comercial pueden transformarse en productos, descuentos o tarjetas regalo. La taxonomía de la NRF describe el abuso de fidelización como la conversión de recompensas obtenidas ilícitamente en artículos o saldo que después pueden monetizarse.
Su atractivo reside también en la forma en la que se controlan. Muchos clientes no consultan sus puntos con frecuencia ni reciben un extracto periódico. La pérdida puede detectarse semanas después, cuando el saldo ya se ha utilizado. Para el retailer, la reclamación abre un conflicto que mezcla seguridad, coste económico y confianza, porque la empresa debe distinguir entre un canje legítimo, una cuenta comprometida y un posible abuso.
La propuesta de la NRF es añadir una autenticación adicional ante accesos distintos de los habituales y un análisis de señales como el dispositivo, la red, la ubicación, el horario o el comportamiento previo. Estas medidas no eliminan el fraude, pero permiten reservar las comprobaciones más exigentes para las operaciones con mayor riesgo.
La tarjeta regalo une la tienda y el canal digital
La tarjeta regalo ocupa una posición singular porque puede comprarse, activarse, consultarse, transferirse y canjearse en varios canales. Una tarjeta física puede ser manipulada antes de su venta. También pueden producirse consultas automatizadas de saldo, movimientos de valor entre varias tarjetas o compras de artículos con fácil salida en reventa.
La posibilidad de combinar saldos, por ejemplo, resulta útil para el cliente, pero exige vigilar las transferencias de muchas tarjetas hacia una sola.
El control tampoco termina en internet. La tarjeta puede utilizarse después para adquirir electrónica, joyería u otros productos de alto valor en un establecimiento.
Por su parte, los reembolsos también añaden otra vía para el fraude. La NRF identifica el riesgo de solicitar que una devolución se abone como tarjeta regalo o crédito de tienda en lugar de regresar al medio de pago original. Para reducirlo plantea límites, revisiones adicionales en importes elevados y seguimiento de las cuentas que reciben reembolsos frecuentes.
La atención al cliente, punto crítico
Las estafas telefónicas son la modalidad que más participantes en el estudio estadounidense señalaron al alza. El objetivo puede ser el consumidor, pero también un empleado de tienda, un agente de atención, un equipo de devoluciones o cualquier profesional con permisos para modificar datos, emitir compensaciones o desbloquear una cuenta.
El sistema puede estar técnicamente protegido y seguir siendo vulnerable cuando alguien convence a una persona autorizada para ejecutar el cambio. Por ejemplo, alguien puede conseguir que un servicio de asistencia sustituya el teléfono de una cuenta legítima y utilizar después ese número para recuperar la contraseña.
En España, INCIBE explica que el spoofing telefónico permite mostrar en pantalla el número de una empresa, un proveedor o un contacto interno. Su línea de ayuda atendió 142.767 consultas durante 2025 y la suplantación de identidad por imitación fue la primera temática entre empresas y profesionales, con un 18%.
Los controles de pago desplazan parte del ataque
El contexto europeo confirma que las defensas técnicas funcionan, pero también que los métodos se adaptan. El informe conjunto del Banco Central Europeo y la Autoridad Bancaria Europea cifra en 4.200 millones de euros el fraude registrado en los principales instrumentos de pago del Espacio Económico Europeo durante 2024, frente a 3.500 millones en 2023. La tasa se mantuvo alrededor del 0,002% del valor total de las transacciones.
El documento concluye que la autenticación reforzada sigue siendo eficaz, especialmente en los pagos con tarjeta, pero observa un aumento de las operaciones en las que el pagador es manipulado para autorizarlas.
Así, hay que tener en cuenta que, cuando un control dificulta una vía, el engaño puede dirigirse hacia la persona que tiene capacidad para validar la operación.
Una operación, varios departamentos
El principal reto organizativo aparece cuando cada área observa únicamente una parte. Ciberseguridad detecta un acceso desde un dispositivo nuevo, CRM? registra el canje de puntos, atención al cliente cambia un teléfono, e-commerce recibe un pedido y la tienda entrega el producto. Cada acción puede parecer razonable por separado. Pero la secuencia completa ofrece otra lectura.
La respuesta requiere compartir señales entre prevención de pérdidas, fidelización, pagos, e-commerce, operaciones y atención al cliente. Entre los indicadores útiles figuran los cambios simultáneos de correo, teléfono y dirección, el tiempo transcurrido entre una nueva contraseña y un canje, las consultas repetidas de saldo, la concentración de tarjetas y los reembolsos emitidos como crédito de tienda.
Esta coordinación amplía el análisis que ya hicimos sobre la evolución de los programas de fidelización y el fraude en devoluciones. La cuenta del cliente se sitúa en el cruce de ambos ámbitos.
La seguridad no puede convertir la fidelización en un obstáculo
Aplicar el mismo control reforzado a cada operación puede bloquear cuentas legítimas, retrasar canjes, aumentar las llamadas al servicio de atención y provocar el abandono del programa. La autenticación multifactor, los límites y las revisiones manuales tienen valor cuando responden al riesgo, pero ninguna medida es infalible.
El retailer necesita diferenciar entre un comportamiento habitual, una compra distinta pero legítima, una cuenta comprometida y un abuso deliberado. También debe medir los errores de sus propios sistemas, el tiempo necesario para recuperar un perfil y las reclamaciones por recompensas desaparecidas. Proteger el saldo sin ofrecer una vía rápida de restitución puede trasladar al cliente el coste del control.
La transformación del fraude no significa que la tienda haya dejado de ser un objetivo. Indica que el valor también se acumula en cuentas, puntos, tarjetas regalo y permisos internos. La respuesta dependerá de que las áreas implicadas puedan seguir una operación completa sin tratar a cada comprador como sospechoso. El reto será proteger la fidelización sin convertirla en una experiencia de desconfianza permanente.
impulsada por las operadoras de telefonía?