Tarjetas Virtuales de Privacy.com: Cómo Funciona la Privacidad en los Pagos

Una tarjeta virtual hace una cosa específica: cambia lo que el comerciante recibe, no lo que tu banco sabe. Este es todo el mecanismo, y entenderlo explica tanto la protección que obtienes como la que no.

La mayoría de las coberturas tratan las tarjetas virtuales como una herramienta general de privacidad y omiten el detalle técnico. Este artículo cubre qué se almacena en una tarjeta, por qué la banda magnética es el punto débil y cómo se comportan en la práctica los tipos de tarjetas de Privacy.com.

El beneficio práctico es limitado y real: un número robado se vuelve inútil para un ladrón, porque solo funciona en el comerciante para el que fue emitido.

La Respuesta Corta #

Qué Hay en una Tarjeta de Pago #

Tres cosas autorizan una transacción sin presencia de tarjeta: el número de cuenta principal, la fecha de expiración y el valor de verificación.

El PAN no es una cadena aleatoria. El primer dígito identifica el esquema, los siguientes varios identifican el banco emisor y el resto identifica la cuenta. La estructura permite verificar la plausibilidad del número sin contactar a nadie, y por eso el dígito de control Luhn detecta un solo dígito transpuesto.

El CVV es lo que prueba que alguien tuvo físicamente la tarjeta cuando fue emitida. No se almacena en la banda magnética, que es exactamente por qué un skimmer que copia la banda nunca lo obtiene.

Inspecciona todo esto tú mismo con el Decodificador y Codificador de Banda Magnética , que analiza la Pista 1 y la Pista 2, decodifica los dígitos del código de servicio y vuelve a codificar el resultado. Funciona completamente en tu navegador, lo cual es importante porque este es el contenido completo de una tarjeta de pago.

Por Qué la Banda Magnética Es el Punto Débil #

La banda almacena datos de cuenta en texto plano, y cualquier lector compatible los lee.

Una banda magnética tiene hasta tres pistas. La Pista 1 lleva el PAN, el nombre del titular, la expiración y un código de servicio de tres dígitos, y es la única pista que contiene texto alfabético. La Pista 2 lleva el PAN, expiración y código de servicio en una codificación numérica más densa, y la Pista 2 es la que casi todos los terminales punto de venta leen. La Pista 3 es prácticamente no usada por las redes principales y a menudo ni siquiera está presente en la tarjeta.

El código de servicio es importante porque describe el uso permitido de la tarjeta. El dígito uno cubre reglas de intercambio, el dos el manejo de autorizaciones y el tres el rango de servicios. Una tarjeta codificada 201 permite intercambio internacional, no necesita ruta especial de autorización y no tiene restricciones de servicio.

La historia explica por qué la banda duró tanto. En 1969 un ingeniero de IBM llamado Forrest Parry intentó pegar cinta magnética a una tarjeta plástica y no logró que se adhiriera sin dañarla. Su esposa sugirió usar una plancha de ropa, y el calor unió la cinta a la tarjeta. La improvisación se convirtió en estándar por más de medio siglo.

Dos desarrollos están terminando con esto:

La banda fue reemplazada por chip y pagos sin contacto porque copiarla no requiere más habilidad que tener un lector. Nuestra herramienta de banda magnética muestra cuán pocos datos se necesitan para reconstruir una pista funcional.

Cómo Leer Datos de la Pista #

Una cadena de banda magnética es una secuencia de campos, no un segundo número de tarjeta. El lector encuentra el centinela de inicio, separa campos, lee la expiración y el código de servicio, luego verifica el centinela de fin y el LRC.

Los centinelas opcionales identifican los límites físicos del registro. Un decodificador a menudo los omite cuando muestra los campos, pero un codificador físico necesita el formato completo del registro esperado por el lector.

Ejemplo de Pista 1 #

Este es un ejemplo sintético. Usa el PAN de prueba estándar de la herramienta y un nombre falso, fecha de expiración, código de servicio y datos discrecionales. No es una tarjeta de Privacy.com y no es un dato de pago válido.

%B4111111111111111^TEST/USER^2912501000000000?

Léalo de izquierda a derecha:

El registro codificado real también lleva un carácter LRC después del centinela de fin cuando el lector lo espera. La forma de texto visible es útil para estudiar la estructura. La representación a nivel de bits también lleva paridad impar para cada carácter.

Ejemplo de Pista 2 #

La Pista 2 elimina el nombre y el código de formato. Los mismos valores sintéticos se convierten en:

;4111111111111111=291250100000000?

La Pista 2 es más corta porque no tiene el nombre del titular. Muchos terminales leen la Pista 2 para transacciones ordinarias con deslizamiento, mientras que la Pista 1 proporciona el campo de nombre cuando un lector lo solicita.

Dígitos del Código de Servicio #

Los tres dígitos del código de servicio describen el comportamiento del terminal y la autorización. No contienen el CVV, y cambiarlos en una tarjeta real sin autorización del emisor produce una credencial de pago malformada o engañosa.

El primer dígito cubre intercambio y preferencia de chip:

El segundo dígito cubre el manejo de autorización:

El tercer dígito cubre restricciones de servicio:

Por ejemplo, 201 significa intercambio internacional con uso de chip cuando sea posible, procesamiento normal de autorización y sin restricciones de servicio. El decodificador expone cada dígito por separado para que no tengas que memorizar la tabla.

LRC y Paridad #

El LRC es un carácter de verificación, no otro campo para inventar. El codificador aplica XOR al valor de datos de cada carácter desde el centinela de inicio hasta el centinela de fin. Convierte el resultado de nuevo al rango de caracteres imprimibles de la pista y reporta los bits de paridad impar codificados por separado.

La Pista 1 usa un conjunto de caracteres ALFA de seis bits. Su valor de datos es el código ASCII menos 0x20. La Pista 2 usa un conjunto de caracteres BCD de cuatro bits. Su valor de datos es el nibble bajo del código ASCII. Aplicar el mapeo de Pista 1 a Pista 2 produce un LRC incorrecto.

La opción del decodificador Incluir LRC calculado añade el carácter LRC imprimible a la salida. Su desglose también muestra el patrón de bits LRC con paridad impar. Úsalo para aprender cómo un lector verifica el registro, no para eludir los controles del emisor.

Escritura de Tarjetas Sintéticas para Pruebas #

Usa el decodificador para escribir cadenas de prueba, no tarjetas de pago reales. La herramienta acepta campos, reconstruye Pista 1 y Pista 2, añade centinelas opcionales y calcula el LRC. Se ejecuta localmente en el navegador.

1. Abra el Decodificador y Codificador de Banda Magnética .
2. Seleccione Cargar tarjeta de prueba. Esto llena la herramienta con el PAN sintético 4111111111111111, el nombre TEST/USER, la fecha de expiración 2912, el código de servicio 201 y datos discrecionales de prueba.
3. Active Incluir centinelas de inicio y fin para mostrar los límites físicos del registro.
4. Active Incluir LRC calculado para añadir el carácter de verificación calculado.
5. Active Dividir datos discrecionales en PVKI, PVV y CVV solo para ver cómo se muestra un campo sintético de nueve dígitos. Esas etiquetas son convenciones del emisor, no un diseño universal de la Pista 1 o Pista 2.
6. Cambie el nombre, la fecha de expiración, el código de servicio o los datos discrecionales sintéticos. La salida se actualiza mientras escribe.
7. Compare los campos decodificados con las cadenas generadas. Limpie los campos cuando termine.

Para un ejercicio sintético de la Pista 1, use:

PAN: 4111111111111111
Surname: TEST
First name: USER
Expiry: 12/29
Service code: 201
Discretionary data: 000000000

Para un ejercicio sintético de la Pista 2, use el mismo PAN, fecha de expiración, código de servicio y un campo discrecional numérico. La cadena generada de la Pista 2 omite el nombre porque la Pista 2 no tiene campo de nombre.

No copie un PAN, fecha de expiración, CVV o valor discrecional real de Privacy.com en una tarjeta escribible. Privacy.com describe su producto como números de tarjeta virtuales creados a través de su sitio web o aplicación. Su página oficial no presenta el servicio como un sistema para escribir bandas magnéticas, y un número de tarjeta virtual no es prueba de un registro físico autorizado por el emisor. Una tarjeta de prueba escribible que contenga una credencial real crea un instrumento de pago duplicado y viola los términos del emisor o las reglas de pago.

El límite seguro es simple: use la muestra sintética incorporada en la herramienta, use una tarjeta de laboratorio con valores ficticios y use una tarjeta física aprobada por el emisor cuando necesite pagar en persona. No intente convertir una tarjeta virtual de Privacy.com en una tarjeta física para deslizar.

Lo que Cambia una Tarjeta Virtual #

Una tarjeta virtual es un segundo número que se interpone delante del primero.

Cuando paga con una tarjeta virtual, el comerciante recibe un número, una fecha de expiración y un CVV pertenecientes a la tarjeta virtual. Su PAN real nunca les llega. Prácticamente, el cambio se nota después de una brecha:

Lo que no cambia importa igual. Su banco aún ve la transacción. La red de tarjetas aún la procesa. El emisor aún tiene su identidad, porque las reglas contra el lavado de dinero requieren verificación. Una tarjeta virtual reduce la exposición del lado del comerciante. No es una forma de gastar anónimamente.

La distinción confunde a la gente constantemente. Si su modelo de amenaza incluye al emisor o a la red, una tarjeta virtual no cambia nada al respecto.

Los Tres Tipos de Objeto con Forma de Tarjeta #

La terminología se usa de forma inconsistente, y la diferencia importa cuando elige qué entregar a un comerciante.

Una billetera móvil usa un mecanismo completamente distinto. Cuando añade una tarjeta a una billetera, esta almacena un token específico del dispositivo en lugar de su PAN, y el comerciante recibe el token. Esto se llama tokenización, y es por eso que pagar con un teléfono es más seguro que entregar la tarjeta física incluso sin una tarjeta virtual.

La tokenización de red y las tarjetas virtuales resuelven partes superpuestas del mismo problema. La tokenización protege el número en tránsito y en reposo. Una tarjeta virtual lo protege de lo que el comerciante retiene después.

Tipos de Tarjetas Privacy.com #

Privacy.com ofrece cuatro comportamientos de tarjeta, y no son intercambiables.

El bloqueo por comerciante es el mecanismo que aporta la mayor parte del valor. Una tarjeta bloqueada falla en cualquier comerciante que no sea el primero que la usó, lo que significa que una brecha en ese comerciante produce un número inútil en otros lugares.

El uso único es la opción más fuerte donde aplica. Una tarjeta que se cierra tras un cargo no puede ser reutilizada y elimina la necesidad de recordar cerrarla después.

Dos detalles operativos que vale la pena conocer:

• Las tarjetas compartidas se bloquean al primer comerciante con el que se usan, por lo que compartir una con un familiar o empleado sigue llevando la restricción de comerciante.
• Una tarjeta se pausa en lugar de cerrarse. Pausar es reversible, lo que es útil cuando quiere detener una suscripción temporalmente sin perder los detalles de la tarjeta.

Límites y Controles de Gasto #

Cada tarjeta tiene un límite de gasto, que es un control separado del bloqueo por comerciante.

Establezca tanto un límite por transacción como un límite mensual en cualquier tarjeta vinculada a una suscripción. Un comerciante que suba silenciosamente su precio choca con el límite en lugar de con su saldo, y usted lo nota por un cargo fallido en lugar de una línea faltante en el estado de cuenta.

Nuestro módulo Seguridad Financiera Personal coloca esto junto con las congelaciones de crédito y la tokenización de tarjetas como los tres controles que limitan lo que un solo comerciante comprometido puede alcanzar.

Planes y lo que Cada Uno Desbloquea #

Privacy.com ofrece un nivel gratuito junto con tres planes de pago. Los precios y los límites de funciones cambian, así que confirme los términos actuales antes de suscribirse.

El nivel gratuito cubre el beneficio principal de seguridad. El bloqueo por comerciante, las tarjetas de un solo uso y los límites de gasto son los mecanismos que reducen la exposición, y están disponibles sin costo. Los niveles de pago añaden organización y conveniencia más que protección adicional.

Las comisiones por transacciones en el extranjero varían según el nivel. El nivel gratuito cobra 3% en transacciones extranjeras con un mínimo de $0.50, mientras que los niveles de pago no cobran.

Lo que Privacy.com No Hace #

Ser claro sobre los límites es más útil que una lista de funciones.

El punto del bloqueo por comerciante importa en la práctica. Algunos servicios de suscripción y aerolíneas rechazan rangos de tarjetas que asocian con tarjetas virtuales o prepago, y ninguna configuración soluciona el problema. Mantenga una tarjeta real disponible como respaldo para esos casos.

El resumen honesto: una tarjeta virtual es un control de contención para la exposición al comerciante, no una herramienta de anonimato. Si necesita anonimato, es un problema diferente con herramientas diferentes.

Quién Emite la Tarjeta y Por Qué Importa #

Una tarjeta virtual sigue siendo una tarjeta real, emitida por un banco real, bajo una licencia de esquema real.

Por eso la protección es genuina. La tarjeta tiene las mismas protecciones del esquema que cualquier otro producto Mastercard o Visa, lo que significa que aplican los derechos de contracargo y los procesos de disputa por fraude normalmente. No es una tarjeta de regalo ni un crédito cerrado de tienda.

Dos certificaciones merecen ser nombradas porque son verificables de forma independiente y no solo afirmaciones de marketing:

• Cumplimiento PCI-DSS, que es el estándar de la industria de tarjetas de pago para manejar datos del titular de la tarjeta
• SOC 2 Tipo II, que es un informe auditado que cubre controles de seguridad durante un período de tiempo en lugar de una afirmación puntual

Sobre el modelo de negocio: la empresa declara que gana el intercambio de los comerciantes y no vende datos de clientes a anunciantes o terceros. Este es el mismo modelo de ingresos que cualquier otro emisor de tarjetas, lo cual es importante entender en lugar de considerarlo inusual.

La razón práctica para verificar el banco emisor es la confirmación. Cualquiera puede decir que opera un programa de tarjetas, y el nombre del emisor en la tarjeta es lo que confirmas con el banco nombrado en la documentación.

Inspeccione el esquema y banco desde el prefijo PAN usando el Decodificador de Banda Magnética , que reporta el rango principal del esquema y valida el dígito de control Luhn.

Cómo Usar Bien las Tarjetas Virtuales #

Los controles solo ayudan si los configuras. Seis hábitos aportan la mayor parte del beneficio.

1. Bloquee cada tarjeta a un comerciante a menos que haya una razón para no hacerlo. El bloqueo es lo que hace inútil un número filtrado.
2. Use tarjetas de un solo uso para todo lo desconocido, incluyendo pruebas y compras puntuales en sitios pequeños.
3. Establezca ambos límites de gasto en tarjetas de suscripción, para que un aumento de precio falle en lugar de cobrar.
4. Nombre cada tarjeta con el nombre del comerciante, para que la lista de transacciones sea legible y un cargo inesperado destaque.
5. Pausa en lugar de cerrar cuando planee reanudar un servicio, y cierre cuando no lo hará.
6. Mantenga una tarjeta real para comerciantes que rechazan rangos virtuales, para que un bloqueo en el pago no se convierta en emergencia.

Error común: tratar una tarjeta virtual como sustituto de revisar tus estados. El bloqueo por comerciante detiene una clase de daño. No detecta una cuenta comprometida en tu banco, una transferencia no autorizada o un cargo fraudulento en la tarjeta real detrás de ella.

Puntos Clave #

• Una tarjeta virtual cambia el número que almacena el comerciante. Tu PAN real nunca les llega, que es el mecanismo completo.
• No hace la transacción privada. Tu banco, la red y el emisor aún la ven, y la verificación de identidad es obligatoria.
• El bloqueo por comerciante es la función de mayor valor, porque un número filtrado falla en todas partes.
• El nivel gratuito incluye los controles de seguridad. Los planes pagos añaden organización y conveniencia más que protección.
• La banda magnética almacena datos de la tarjeta en texto plano y será eliminada para 2033, con bancos de EE.UU. deteniendo la emisión en 2027.
• El CVV no está en la banda, por eso un skimmer que copia las pistas carece de lo que muchos comerciantes en línea requieren.
• Algunos comerciantes rechazan rangos de tarjetas virtuales. Mantenga una tarjeta real como respaldo.
• Verifique el banco emisor en lugar de confiar en una afirmación del programa de tarjetas, y revise el prefijo PAN usted mismo.

Próximos Pasos #

1. Inspecciona los datos de la pista de tu propia tarjeta y observa exactamente qué contiene la banda magnética: Decodificador y codificador de banda magnética
2. Congela tu crédito si aún no lo has hecho, que es el control más fuerte contra el fraude de nuevas cuentas: Seguridad financiera personal
3. Aplica la disciplina de priorización para decidir cuánto esfuerzo merece esta situación para ti: Lista de verificación de seguridad personal priorizada
4. Revisa los planes y términos actuales de Privacy.com antes de suscribirte: Privacy.com
5. Verifica si tus datos ya aparecen en una filtración antes de asumir que no te afecta: Have I Been Pwned
6. Lee la lista de verificación de seguridad de pagos para la contraparte organizacional: Lista de verificación de respuesta a incidentes

Referencias #

1. Privacy.com - qué son las tarjetas virtuales, bloqueo de comerciantes y límites de gasto
2. Tarjeta digital - Wikipedia, cubriendo tarjetas digitales versus virtuales, pistas de banda magnética, códigos de servicio, paridad y LRC
3. ISO/IEC 7813:2006 - tarjetas de identificación, tarjetas de transacciones financieras, estructura de datos de las pistas 1 y 2
4. ISO/IEC 7813 - diseño detallado del campo de pista, incluyendo centinelas y códigos de servicio
5. Consejo de Normas de Seguridad PCI - requisitos del entorno de datos del titular de la tarjeta
6. Oficina de Protección Financiera del Consumidor - informes y puntajes de crédito
7. Codificación de datos ANSI/ISO ALPHA, el conjunto de caracteres de la Pista 1 y tabla de paridad
8. Caracteres ISO para tarjetas magnéticas, conjuntos de la Pista 1 y Pista 2 lado a lado
9. Lectura de datos de tarjetas magnéticas, un recorrido práctico con un escaneo en vivo de tarjeta