Fraude de vendedores en marketplaces: tácticas y controles

Última actualización: septiembre de 2026

El fraude de vendedores en mercados en línea (marketplaces) es el fraude cometido a través de la cuenta de un vendedor en una plataforma digital, en lugar de por un comprador. El vendedor es falso, su cuenta ha sido comprometida, nunca envía los productos o redirige los pagos a una cuenta bajo su control. Dado que la plataforma paga a sus vendedores, los controles clave ocurren en dos momentos: cuando se registra al vendedor y cuando el dinero sale de la plataforma.

Resumen rápido

• El fraude de vendedores en marketplaces se ejecuta a través de la cuenta del vendedor: vendedores falsos o sintéticos, cuentas comprometidas, vendedores que nunca envían los productos, triangulación, colusión con compradores y desvíos de pagos a cuentas bajo el control del estafador.

• Los atacantes se dirigen a los vendedores porque la plataforma les paga. El pago es el momento en que se produce la pérdida.

• En EE. UU., la Ley INFORM Consumers exige a los marketplaces recopilar y verificar la información de los vendedores externos con gran volumen de ventas. En la UE, el artículo 30 de la Ley de Servicios Digitales (DSA) exige la información del comerciante antes de que este pueda utilizar el servicio.

• Estas leyes establecen un estándar mínimo de lo que se debe recopilar, pero no definen qué hacer cuando cambia la cuenta de cobro de un vendedor, que es donde se detectan los robos de cuentas.

• Verifique al registrar al usuario, verifique nuevamente antes del pago, vincule a los vendedores que compartan identidad, dispositivo o detalles de cobro, y registre el motivo de cada retención o suspensión.

La respuesta corta: qué es el fraude de vendedores en marketplaces

El fraude de vendedores en marketplaces es aquel en el que el instrumento del fraude es la propia cuenta del vendedor: un vendedor falso o con identidad sintética, un vendedor legítimo cuya cuenta ha sido robada, un vendedor que recibe pedidos y nunca los envía, o un vendedor que desvía los pagos a cuentas que controla. Los marketplaces detienen este fraude en dos puntos: el registro del vendedor y el pago.

Un responsable de riesgo y habilitación de plataformas en una empresa de entrega de comida a domicilio explicó por qué los vendedores atraen a los atacantes: "les pagamos a estos comercios, y los estafadores saben que esa es un área donde pueden obtener ingresos". El fraude de vendedores difiere del fraude de compradores en un aspecto que define cada control: la plataforma envía dinero, no solo lo recibe.

Hay que tener cuidado con el término. Por sí solo, "fraude de marketplace" suele referirse en EE. UU. al mercado de seguros médicos. Esta guía cubre el fraude cometido por vendedores en plataformas comerciales en línea, y a los facilitadores de pago y adquirentes que registran y pagan a dichos vendedores.

Las tácticas: vendedores falsos, robo de cuentas, no entrega, triangulación y colusión

Cada táctica de fraude de vendedores termina con la plataforma pagando dinero a alguien que no debería recibirlo. La siguiente tabla detalla los esquemas más comunes, qué hace el vendedor, dónde aparece primero la señal de alerta y el control más eficaz para detectarlo.

La tabla demuestra por qué los controles durante el registro no son suficientes por sí solos. El robo de cuentas, la falta de entrega y la triangulación comienzan después de que el vendedor ya ha superado el registro inicial.

Un vendedor falso puede superar un control limpio. Un responsable de registro y cumplimiento en una fintech, al revisar la solicitud de una empresa que ya había sido aprobada por el flujo automático de documentos y KYB (conozca a su empresa), concluyó que se trataba de una empresa fantasma y debía ser rechazada. Una coincidencia en el registro y un conjunto de documentos demuestran que un negocio existe en el papel, no que realmente opere.

El robo de cuentas de vendedor termina con el desvío de los fondos. El mismo responsable de la plataforma de entrega de comida describió el patrón: "suplantan la identidad de nuestros clientes y luego intentan canalizar los fondos hacia ellos mismos". En una cuenta de vendedor, canalizar los fondos suele significar cambiar la cuenta bancaria que recibe los pagos.

La colusión coloca al vendedor en ambos lados de la transacción. En la misma llamada con la plataforma de entrega de comida, se describió un patrón en el que un comercio procesaba tarjetas robadas en su propia tienda virtual para recibir un pago rápido. La cuenta del comprador y la tarjeta pertenecen a la red de fraude, y la cuenta del vendedor recoge las ganancias.

Lo que la ley ya exige: INFORM y el artículo 30 de la DSA

Las leyes de EE. UU. y la UE ya exigen a los marketplaces recopilar y verificar información sobre sus vendedores. Ambos marcos difieren en a quién cubren y cuándo se realiza la verificación, pero ambos coinciden en que verificar al vendedor es responsabilidad de la plataforma.

La Ley INFORM Consumers (Estados Unidos)

La Ley INFORM Consumers (codificada en 15 U.S.C. 45f) entró en vigor el 27 de junio de 2023. Según las directrices de la FTC, un vendedor externo con gran volumen de ventas es aquel que "ha realizado en esa plataforma 200 o más transacciones independientes de productos de consumo nuevos o sin usar, y ha obtenido $5,000 o más en ingresos brutos" en cualquier período continuo de 12 meses durante los últimos 24 meses.

Para estos vendedores, la FTC establece que "los marketplaces deben recopilar información de la cuenta bancaria, información de contacto y un número de identificación fiscal". La FTC también señala que "los marketplaces tienen 10 días para verificar la información". Si un vendedor no la proporciona en ese plazo, la plataforma debe "suspender cualquier actividad de venta futura" de ese vendedor.

INFORM no es un control único. Al menos una vez al año, el marketplace debe exigir a cada vendedor de gran volumen que certifique que su información está actualizada. La ley establece que la plataforma debe notificar a estos vendedores "periódicamente, pero no menos de una vez al año" sobre la obligación de mantener sus datos actualizados.

Artículo 30 de la Ley de Servicios Digitales (Unión Europea)

El artículo 30 de la Ley de Servicios Digitales de la UE (Reglamento (UE) 2022/2065) regula la trazabilidad de los comerciantes y se aplica desde el 17 de febrero de 2024. Las plataformas en línea que permitan a los consumidores celebrar contratos a distancia con comerciantes deben obtener los datos del comerciante antes de que este utilice el servicio. Estos detalles incluyen "el nombre, la dirección, el número de teléfono y la dirección de correo electrónico del comerciante", así como "una copia del documento de identidad del comerciante o cualquier otra identificación electrónica", junto con los datos de la cuenta de pago, los datos del registro mercantil donde esté inscrito y una autodeclaración de conformidad con el Derecho de la Unión.

La plataforma debe entonces "hacer todo lo posible por evaluar si la información a la que se refiere el apartado 1, letras (a) a (e), es fiable y completa". Si un comerciante no corrige la información inexacta tras ser requerido, la plataforma "suspenderá rápidamente la prestación de su servicio a dicho comerciante en relación con el ofrecimiento de productos o servicios a consumidores situados en la Unión hasta que se haya cumplido plenamente la solicitud". La plataforma conservará la información durante seis meses tras la finalización de la relación con el comerciante. Las micro y pequeñas plataformas quedan excluidas de estas obligaciones en virtud del artículo 29.

Lo que ninguna de las dos leyes cubre

INFORM y el artículo 30 establecen un estándar mínimo. Ambas leyes definen qué debe recopilar un marketplace y cuándo. Ninguna de las dos indica qué debe hacer un equipo de confianza y seguridad cuando un vendedor verificado cambia su cuenta bancaria de cobro a medianoche desde un dispositivo que nunca antes había usado, y ese cambio es precisamente donde el robo de una cuenta se convierte en una pérdida financiera.

Verificación de un vendedor durante el registro

La verificación del vendedor durante el registro confirma que este es una persona o empresa real y que la cuenta de cobro le pertenece. Para la mayoría de los marketplaces, la mayoría de los vendedores son particulares, por lo que el proceso consiste principalmente en la verificación de identidad y la comprobación de la cuenta bancaria.

Un director de riesgo y cumplimiento de un adquirente de pagos describió este mismo panorama: "En realidad, la gran mayoría de nuestros comercios son empresarios individuales o autónomos". En la práctica, la verificación es un proceso KYC (conozca a su cliente) para vendedores individuales y KYB para empresas, y los controles para cada uno deben adaptarse al tipo de vendedor en lugar de aplicar un flujo único y rígido. La elección de un proveedor de KYB para empresas es una decisión independiente con sus propios criterios.

Lista de control para el registro de vendedores:

1. Verificar a la persona. Confirme la identidad del vendedor individual o de las personas que poseen y controlan una empresa vendedora.

2. Verificar la cuenta de cobro. Confirme que la cuenta bancaria que recibe los pagos pertenece al vendedor verificado. La ley INFORM ya exige los datos bancarios para vendedores de gran volumen, y el artículo 30 de la DSA exige los datos de la cuenta de pago para los comerciantes.

3. Añadir controles corporativos para empresas. Los datos del registro mercantil y la estructura de propiedad se aplican cuando el vendedor es una empresa registrada. El artículo 30 exige los datos del registro donde esté inscrito el comerciante.

4. Adaptar los controles al riesgo. La categoría, el volumen esperado y el país de origen deben determinar qué controles aplicar. Un gerente de producto técnico que lideraba el rediseño de KYB en una empresa de pagos lo expresó de forma sencilla: "Necesitamos que el flujo de verificación sea dinámico".

5. Tratar la validación de un documento como un dato más. Los documentos se pueden falsificar. Un vicepresidente de estrategia contra delitos financieros de un gran banco regional preguntó en una llamada si existía alguna herramienta capaz de analizar escrituras de constitución enviadas y decir: "¿esto es un montaje?". Pasar un control documental reduce el riesgo; no lo elimina.

6. Contrastar al nuevo vendedor con vendedores existentes y suspendidos. Un nuevo vendedor que comparte identidad, dispositivo, número de teléfono o cuenta bancaria con un vendedor suspendido representa el mismo riesgo bajo un nombre diferente.

Verificar nuevamente antes del pago

El pago es el punto de control definitivo para el fraude de vendedores en marketplaces, ya que es el último momento en que la plataforma puede evitar que el dinero salga. Un vendedor que pasó el registro hace meses aún puede sufrir un robo de cuenta, cambiar sus datos de cobro o empezar a generar pedidos falsos. Haber superado el registro inicial no significa que el perfil sea de bajo riesgo.

Un director senior de gestión de riesgo de fraude en una empresa de pagos comentó que, en un puesto anterior, su equipo excluía los resultados de los proveedores de KYC y KYB de sus modelos de fraude porque demasiados estafadores lograban superar esos controles. La verificación de registro responde a quién era el vendedor el día que se registró. El control de pago responde a si se está pagando al vendedor correcto en este momento.

Pasos para volver a verificar a un vendedor antes de un pago:

1. Reverificar ante cualquier cambio en los datos de cobro. Una nueva cuenta bancaria, un nuevo método de pago o un nuevo titular de la cuenta debe pausar el siguiente pago hasta que el cambio se confirme a través de un canal que el atacante no controle.

2. Tratar un cambio tras un inicio de sesión desde un nuevo dispositivo como señal de robo de cuenta. Un inicio de sesión desde un dispositivo o ubicación desconocidos seguido de un cambio en la cuenta de cobro es la secuencia clásica de robo de cuenta de vendedor. La misma lógica de acciones de riesgo utilizada para la prevención del robo de cuentas se aplica aquí.

3. Controlar el primer pago. El primer pago de un nuevo vendedor es la primera oportunidad que tiene un estafador de cobrar. Confirme que los pedidos se entregaron y que la cuenta de cobro coincide con el vendedor verificado.

4. Vigilar aumentos repentinos de volumen. Un incremento drástico en los pedidos o en el valor de los pagos, especialmente desde cuentas de compradores nuevas, es la forma en que los esquemas de colusión y no entrega monetizan el fraude.

5. Ponderar el riesgo de conexiones "nuevo con nuevo". Un líder de equipo de fraude en una plataforma global de pagos transfronterizos lo explicó así: "Hemos visto que las entidades emisoras de pagos más recientes son más riesgosas, especialmente cuando se combinan con entidades receptoras también nuevas". Para los vendedores, el equivalente es un vendedor nuevo que cobra en una cuenta bancaria nueva.

6. Verificar dónde aterriza el dinero. Cuando los pagos llegan a cuentas controladas por el vendedor o que este ha reclutado, el vendedor se ha convertido en parte de un problema de cuentas mula. La detección de estas cuentas receptoras se detalla en detección de cuentas mula.

Dónde suelen fallar los controles de pago

• La verificación se limita al registro. Un vendedor verificado una vez goza de confianza de por vida, por lo que un robo de cuenta pasa desapercibido hasta que los compradores empiezan a quejarse.

• Los cambios en los datos de cobro se tratan como mera administración. El cambio de cuenta bancaria se procesa como una simple actualización de perfil, no como un evento de riesgo.

• Las retenciones no tienen un motivo registrado. Un revisor ve que un pago está retenido pero no sabe por qué, y lo libera simplemente para despejar la lista de tareas pendientes.

• Cada vendedor se analiza de forma aislada. Un vendedor que parece limpio de forma individual puede compartir cuenta bancaria o dispositivo con un vendedor suspendido el mes pasado.

Vinculación de vendedores que comparten identidad, dispositivos o datos de cobro

Vincular vendedores significa conectar cuentas que comparten identidad, dispositivo, número de teléfono, dirección o cuenta de cobro, para que el equipo de confianza y seguridad pueda ver una red de fraude organizada en lugar de un único vendedor sospechoso. Estos enlaces deben existir antes de que comience una revisión, porque ningún equipo tiene recursos para investigar redes completas en cada caso individual.

Un director de riesgo, confianza y seguridad en una plataforma de pagos comerciales explicó por qué: no se realiza una investigación completa de redes de fraude en cada caso porque consultar cada IP y cada pago toma demasiado tiempo; por ello, solo se activa cuando una revisión inicial sugiere actividad vinculada. Si los enlaces no son visibles desde el principio, la revisión inicial los pasa por alto y la red nunca se investiga.

El mismo director señaló que el factor tiempo es tan importante como la cobertura: "Definitivamente hemos tenido casos en el pasado en los que los detectamos tarde, y esos resultaron mucho más costosos". Una red de vendedores detectada en el registro le cuesta a la plataforma el tiempo de una revisión; la misma red detectada tras un mes de pagos ya habrá extraído los fondos.

Los enlaces son más útiles cuando las decisiones de registro y de pago leen el mismo perfil de cliente. Un dispositivo o cuenta bancaria marcado en el registro de un vendedor debería ser visible cuando otro vendedor intente añadir esa misma cuenta para sus cobros. Este mismo patrón de cuentas múltiples aparece como abuso de bonos en el sector del juego en línea (iGaming), donde una persona gestiona varias cuentas para reclamar ofertas de bienvenida.

Qué registrar sobre cada decisión del vendedor

Cada retención, suspensión y aprobación debe dejar un historial claro que un revisor, auditor o regulador pueda seguir. Este registro cumple dos funciones: es la prueba de cumplimiento que exigen INFORM y el artículo 30, y es el historial que el próximo revisor necesitará para tomar una decisión informada.

Lista de control para el registro de decisiones sobre vendedores:

1. Qué se recopiló y cuándo. Registre cada dato del vendedor y la fecha en que se recibió. El plazo de verificación de 10 días de la ley INFORM empieza a contar desde la recopilación.

2. Cómo se verificó cada dato. Registre el tipo de control, su resultado y la fecha. El artículo 30 exige realizar los mejores esfuerzos para evaluar si la información del comerciante es fiable y completa; este registro es la prueba de dichos esfuerzos.

3. Cuánto tiempo conservar los datos. El artículo 30 exige conservar la información del comerciante durante seis meses tras finalizar la relación. Defina la retención por jurisdicción, no por un valor predeterminado único.

4. Por qué se retuvo un pago o se suspendió a un vendedor. El motivo de cada medida debe llegar al analista de forma clara y directa, no como una puntuación numérica sin explicación.

5. Si la política se aplicó de forma coherente. Un vicepresidente de transformación de riesgos en un adquirente de pagos señaló el problema de las revisiones manuales: "Los humanos somos inconsistentes al aplicar las políticas, ¿verdad?". Un registro de decisiones por escrito hace que las inconsistencias sean visibles y corregibles.

Una advertencia para los equipos de confianza que utilizan datos de INFORM en decisiones de fraude: según la sección 15 U.S.C. 45f(a)(3), la información recopilada exclusivamente para cumplir con INFORM no puede utilizarse para ningún otro fin, a menos que otra ley lo exija. Antes de alimentar los modelos de fraude con estos datos, confirme con su equipo legal que dispone de una base jurídica independiente. Esto es un punto a verificar, no un asesoramiento legal.

Cómo aborda Oscilar el riesgo de registro y pago de vendedores

Oscilar unifica las decisiones de registro, crédito, fraude y prevención de lavado de dinero (AML) en una sola plataforma, de modo que cualquier señal detectada cuando un vendedor se registra sigue siendo visible cuando solicita cobrar. El sistema de registro de comercios de Oscilar gestiona las comprobaciones de KYC y los controles de identidad mejorados para cada solicitante, activa verificaciones adicionales cuando es necesario y analiza señales de dispositivos y de comportamiento. Cada caso incluye una explicación en lenguaje natural de por qué se generó, y los equipos pueden realizar pruebas retrospectivas y pruebas A/B de cualquier cambio en las reglas antes de implementarlo.

Para los pagos, la detección de robo de cuentas de Oscilar identifica acciones de riesgo analizando patrones históricos de direcciones IP, ubicaciones y dispositivos; en una cuenta de vendedor, un cambio de cuenta de cobro tras un inicio de sesión inusual es precisamente ese tipo de acción. La plataforma también puede "analizar conexiones entre cuentas para descubrir redes de fraude".

La gobernanza está integrada desde el inicio: ofrece un historial de auditoría completo por decisión con justificaciones guardadas y mantiene al analista humano en el centro del proceso. Los modelos se supervisan automáticamente para detectar variaciones en los datos y conceptos, midiendo los indicadores de rendimiento (KPI) por segmento, y la plataforma está optimizada para tomar decisiones en menos de 100 milisegundos.

Preguntas frecuentes

¿Quién se considera un vendedor externo de gran volumen bajo la Ley INFORM Consumers?

Un vendedor de gran volumen es aquel que, en cualquier período continuo de 12 meses dentro de los últimos 24 meses, ha realizado 200 o más transacciones individuales de productos de consumo nuevos o usados y ha obtenido $5,000 o más en ingresos brutos en la plataforma. Estos son los límites de la FTC. Para estos vendedores, el marketplace debe recopilar la cuenta bancaria, la información de contacto y el ID fiscal, y verificarlo todo en un plazo de 10 días.

¿Exige la Ley de Servicios Digitales de la UE que los marketplaces verifiquen a los vendedores?

Sí. El artículo 30 de la Ley de Servicios Digitales, aplicable desde el 17 de febrero de 2024, exige que cualquier plataforma en línea que permita a los consumidores comprar a comerciantes obtenga la identidad, el contacto, la cuenta de pago y los datos de registro de cada comerciante antes de que este use el servicio. La plataforma debe hacer todo lo posible por verificar que la información sea fiable y suspender al comerciante si no la corrige tras ser requerido.

¿Es la verificación del vendedor lo mismo que el KYB?

La verificación del vendedor comparte elementos con el KYB pero no es exactamente lo mismo. Muchos vendedores de marketplaces son particulares o autónomos, por lo que verificarlos consiste en validar su identidad personal y comprobar su cuenta de cobro. El KYB se aplica específicamente a empresas, donde se añaden controles de registro mercantil y estructura de propiedad.

¿Qué es el fraude por triangulación?

El fraude por triangulación es un esquema en el que un vendedor ofrece productos que no tiene, recibe el pedido y el pago de un comprador, y luego compra el artículo en una tienda legítima con una tarjeta robada para enviárselo al comprador. El comprador recibe el producto y no tiene quejas. El verdadero titular de la tarjeta reclama el cargo no autorizado a la tienda más tarde, y el estafador se queda con el dinero del comprador.

¿Por qué verificar a un vendedor de nuevo antes de realizar un pago?

Una cuenta de vendedor puede cambiar de manos o modificar sus datos de cobro después del registro, y el pago es el momento exacto en que se concreta la pérdida. Controlar nuevamente antes de pagar permite detectar robos de cuentas, cambios de banco o aumentos sospechosos en el volumen de ventas mientras el dinero aún puede ser retenido. El registro confirma quién era el vendedor al inicio; el control de pago confirma a quién se le está pagando ahora.