En este artículo
En 30 segundos
- Qué pasa: en el último paso de la compra aparece una página falsa de PayPal que pide los datos de la tarjeta y se los queda.
- A quién afecta: a cualquier tienda online con pago con tarjeta, sobre todo con versiones antiguas o módulos sin actualizar.
- Cómo se nota: casi no se nota. El pedido se completa normal y el personal de la tienda nunca ve la página falsa.
- Qué hacer: revisar los archivos de la tienda contra la versión oficial y cerrar la puerta por la que entraron.
Para situarte. Piensa en el aparato que algunos delincuentes pegan encima de la ranura de un cajero. Tú metes la tarjeta, sacas tu dinero y te vas tan tranquilo. Pero el aparato ya ha copiado tu tarjeta.
Esto es lo mismo, en versión digital: un skimmer (un programa escondido que copia los datos de pago) colocado justo en la caja de tu tienda.
Qué ve tu cliente
Tu cliente llena el carrito y va a pagar. En lugar de tus formas de pago de siempre, aparece una página con el logo y los colores de PayPal. Le pide el número de tarjeta, la caducidad, el código de seguridad (los tres números de detrás), su nombre y su dirección. En dos de las tiendas también pedía el teléfono.
Cuando el cliente rellena todo, la página desaparece y vuelve al pago normal. El pedido se completa. Nadie sospecha nada.
Una pista útil: el PayPal de verdad te lleva a la web de PayPal para pagar. No te pide la tarjeta dentro de la página de la tienda con su logo pegado.
Por qué tú no lo ves
El código estaba pensado para pasar desapercibido. En una tienda solo se activaba si había carrito, si la dirección de la página era la del pago y si quien navegaba no era un empleado con la sesión iniciada. Es decir: tú, revisando tu propia tienda, nunca lo habrías visto.
Además, si alguien quitaba la página falsa, el código la volvía a poner en una fracción de segundo. Y apuntaba qué clientes ya había «pescado» para no pedirles la tarjeta dos veces y no levantar sospechas.
Adónde iban los datos
Aquí está lo más ingenioso. Los datos no salían directamente hacia el atacante. Primero se enviaban a la propia tienda, como si fuera un formulario más. Después, un trozo de código escondido en el servidor los reenviaba a unos servidores en el extranjero.
Como los datos viajaban primero a tu propio dominio (la dirección de tu web), las protecciones del navegador que vigilan envíos a sitios extraños no veían nada raro.
Cómo entraron
En una de las tiendas lo sabemos con certeza: había instalado un módulo para gestionar archivos que no pedía contraseña. Por ahí subieron un archivo, y poco más de un minuto después la página falsa ya se mostraba a los clientes. Esa misma mañana se mostró a 136 visitantes reales.
En otra, la infección venía del alojamiento anterior y se copió tal cual al cambiar de servidor. Mudarse no limpia nada: si te llevas la tienda infectada, te llevas el problema. En la tercera no se pudo determinar la entrada, pero había varias puertas abiertas: módulos con fallos conocidos y una web antigua abandonada dentro de la misma carpeta.
Cómo lo resolvimos
Comparamos cada archivo de la tienda con la versión oficial de PrestaShop, letra a letra. Todo lo que no coincide hay que explicarlo. Así encontramos el código añadido, lo quitamos y dejamos los archivos idénticos a los originales, sin perder ninguna personalización legítima. Es el mismo método con el que hacemos cualquier limpieza de un PrestaShop hackeado.
Después cerramos la puerta de entrada. Y algo importante: toda tarjeta introducida mientras el engaño estuvo activo debe considerarse comprometida. No basta con un técnico que sepa de PrestaShop por encima; conviene que lo mire un experto en PrestaShop que sepa dónde buscar.
¿Te suena esto en tu tienda?Te hacemos un diagnóstico gratis y te decimos si tu página de pago está limpia.
Quiero el diagnósticoCómo se nota y qué hacer
- Haz una compra de prueba
Sin iniciar sesión como administrador, desde otro navegador o desde el móvil.
- Fíjate en el pago
Si aparece un «PayPal» que te pide la tarjeta dentro de tu propia web, para y pide ayuda.
- Escucha a tus clientes
Avisos de que les pidieron la tarjeta dos veces o cargos que no reconocen son una alarma.
- No borres nada por tu cuenta
Hace falta saber qué hay y por dónde entraron para que no vuelva.
- Revisa y cambia contraseñas
Compara los archivos de la tienda con la versión oficial y cambia todas las contraseñas.
- Avisa si hubo tarjetas expuestas
Habla con tu banco o pasarela y valora tus obligaciones de protección de datos.
Lo que no te protege
El candado cifra el envío, lo protege por el camino, pero no impide que la página que lo envía sea falsa.
Lo es. El robo ocurre antes de llegar a ella, en tu propia tienda.
Este engaño se esconde precisamente de los administradores conectados.
Quién limpia tu tienda
Somos Escudero Digital Studio, un estudio especializado en PrestaShop. Si prefieres que esto lo lleve directamente una agencia PrestaShop en lugar de pelearte tú con el código, para eso estamos.
- Especialistas en PrestaShop. Conocemos sus tripas, sus módulos y sus fallos.
- Limpieza a fondo. Archivos, base de datos, cuentas y servidor, no solo lo que se ve.
- Cerramos la entrada. Averiguamos por dónde entraron para que no vuelva.
- Hablas con quien hace el trabajo. Sin comerciales ni intermediarios.
«Llevo trabajando 4 años con David, tras estar perdido en el mundo de PrestaShop durante algún tiempo con agencias que me mareaban y me costaban muy caras…»
Ignacio BS«Grande profesional David, además de una excelente persona. Me solucionó todos los problemas con mi e-commerce de PrestaShop 1.7. Trabajando con él uno solo puede estar agradecido, ya tengo mi informático, 100% recomendable.»
Divina Martina«Por más de 10 años hemos tenido los servicios contratados de desarrollo, programación y soporte técnico. Estamos muy agradecidos por el servicio recibido…»
Ramón RiveroReseñas reales de nuestra ficha de Google. Ver proyectos de clientes.
Esto no es un caso aislado
El PayPal falso es solo una de las formas de robar tarjetas que hemos encontrado en tiendas reales. Lo contamos entero en qué está pasando cuando tu PrestaShop ha sido hackeado, y la mejor defensa casi siempre es la misma: tener la tienda al día con un mantenimiento mensual y, si vienes de un mal hosting, una mudanza segura a un alojamiento preparado para ecommerce.
Preguntas frecuentes
¿Cómo sé si mi tienda tiene un skimmer?
Haz una compra de prueba sin sesión de administrador y revisa si aparece algún paso de pago que no reconoces. La confirmación real es comparar los archivos con la versión oficial.
¿El PayPal de verdad pide la tarjeta dentro de mi web?
No. El PayPal oficial te lleva a su propia página para pagar o abre su ventana oficial.
¿Se completan los pedidos aunque haya un skimmer?
Sí. Por eso es tan difícil de detectar: la tienda sigue vendiendo con normalidad.
¿Cambiar de hosting elimina el problema?
No. Si copias la tienda infectada, la infección se muda contigo.
¿Qué hago con los clientes afectados?
Considera expuestas las tarjetas usadas mientras el código estuvo activo. Avisa a tu pasarela o banco y revisa tus obligaciones legales de protección de datos.
¿Cuánto se tarda en limpiar una tienda así?
Depende de cuántos archivos estén tocados. Lo primero es un diagnóstico, que hacemos en 24-48 horas.
¿Crees que tu tienda puede estar robando tarjetas sin que lo sepas?
Cuéntanos cuál es tu tienda y qué has notado. Te respondemos con un diagnóstico: si tu página de pago está limpia, qué riesgos tiene y qué habría que hacer. Sin compromiso.
Fundador de Escudero Digital Studio. Lleva más de quince años desarrollando, manteniendo, migrando y limpiando tiendas PrestaShop en toda España. Conoce cómo trabajamos.
