Pentest profundo para e-commerces que pierden dinero en silencio por fraude en el checkout.

Un pentest de e-commerce no se trata de “el atacante tumba el sitio”. Se trata de cientos de pedidos al mes que salen con precio modificado, cupones reutilizados, envío gratis fraudulento y reembolsos duplicados. No lo ves en los logs de la aplicación: lo ves en la conciliación con el adquirente, tres meses después, cuando a finanzas no le cuadran las cuentas.

Los patrones más comunes:

• Manipulación de precio — el atacante altera el valor entre el carrito y el pago, y el gateway lo acepta
• Cupón reutilizado — un cupón de “uso único” que se acepta 5 veces
• Card testing — el checkout sirve para validar tarjetas robadas de forma masiva
• Envío gratis fraudulento — bypass mediante la modificación del código postal o la región
• Cashback en cancelaciones — el cliente cancela y se queda con el cashback

Aquí el pentest se paga solo en el primer mes — fraude documentado y bloqueado.

Checkout y flujo de compra

• Manipulación de precio entre carrito, checkout y pago
• BOPLA en pedidos (cambiar valor, estado o envío vía PATCH directo)
• Race en inventario (comprar un producto sin stock)
• Race en pedidos (crear 2 pedidos con 1 tarjeta validada)
• Bypass de la validación del documento del comprador (como el CPF en Brasil) y de datos personales
• Manipulación de moneda en tiendas multimoneda
• Bypass de reglas de combos / productos bundle

Cupones, vouchers y cashback

• Reutilización de cupones single-use (race condition)
• Combinación de cupones mutuamente excluyentes
• Bypass de reglas de elegibilidad (documento del comprador, primer pedido, monto mínimo)
• Manipulación del % de descuento vía payload
• Cashback fraudulento en cancelaciones
• Acumulación de cashback de programas de fidelidad

Envío y entrega

• Manipulación del envío (alterar el valor después del pedido)
• Bypass de la validación de código postal/región para envío gratis
• Bypass de la regla de productos sin entrega para una región
• BOLA en el seguimiento (acceder a la entrega de otro cliente)
• Manipulación del estado de entrega
• SSRF vía integración con la transportadora

Antibot, antifraude y card testing

• Card testing — la tasa de aprobación como señal para el atacante
• Rate limit en el checkout por IP / dispositivo / BIN / código postal
• Bypass de CAPTCHA (reutilización de token, detección de headless)
• Fingerprint forgery (User-Agent, Accept-Language, screen)
• Abuso de los flujos de registro/login para evadir el antifraude
• Bypass del score mediante modificación del payload
• Mastercard SDP / Visa CPP — cumplimiento para comercios de alto riesgo (high-risk merchant)

Catálogo y búsqueda

• BOPLA en productos (alterar el precio de otro vendedor en un marketplace)
• Mass assignment en la actualización de productos
• SQL injection / NoSQL injection en la búsqueda
• SSRF vía importación de productos por URL
• Stored XSS en la descripción de productos
• Path traversal en la carga de imágenes

Cuenta del cliente

• BOLA en pedidos, direcciones y tarjetas guardadas
• ATO vía OAuth (login con Google, Apple, Facebook)
• Token de recuperación — entropía, replay, expiración
• BOLA en la wishlist
• Filtración de PII en endpoints públicos

Integraciones con adquirente y ERP

• Webhook tampering — replay, bypass de firma
• Race en la conciliación (pedido marcado como pagado sin pago)
• SSRF vía integración con ERP (Bling, Tiny, Linx)
• Manipulación del payload del subadquirente
• Bypass de la validación 3DS

Plataformas específicas

• VTEX IO — apps personalizadas, Master Data, personalización de Checkout UI
• Shopify — apps de Shopify, templates Liquid, Storefront API
• Magento 2 — extensiones, ACL, filtración de datos de clientes
• Tray, Loja Integrada, Nuvemshop/Tiendanube, plataformas propias

Cada caso recibe una propuesta a medida una vez definido el alcance. La tarifa por hora va de US$ 150 a US$ 250 según el stack, la modalidad y el plazo; los paquetes más grandes tienen una tarifa menor. Facturación en USD por Wise o transferencia internacional: 50% al inicio y 50% en la entrega.