Seguridad tarjeta corporativa: dominar el fraude en 2026

Las cifras públicas del Observatorio de la Seguridad de los Medios de Pago (Banco de Francia) cuentan una historia de dos caras. En el primer semestre de 2025, el fraude con tarjeta de pago cae a 211 millones de euros, unos 48 € defraudados por cada 100.000 € pagados, su nivel más bajo jamás medido^[3]. Al mismo tiempo, los fraudes por manipulación (phishing, falso proveedor, falso presidente) suben un 37 % y alcanzan los 245 millones de euros^[1]. Traducido para una dirección financiera: la tarjeta en sí se defiende bien; a quienes atacan es a las personas alrededor.

Una tarjeta corporativa agrava ese riesgo por dos razones. Primero, porque lleva límites muy superiores a los de una tarjeta particular. Un cargo fraudulento de 5.000 € pasa inadvertido donde alertaría de inmediato a un consumidor. Después, porque la trazabilidad se diluye: un mismo número puede usarlo varios colaboradores, compartirse para una compra recurrente o guardarse en cinco proveedores SaaS. La configuración no es un detalle de cumplimiento: es la primera línea de defensa.

La mayoría de los incidentes se evitan con cinco controles configurables desde un back-office digno de ese nombre. Ninguno exige desarrollo, y todos se montan en pocos minutos por tarjeta o por perfil de gasto.

El principio es el mismo en todas partes: se prohíbe por defecto, se autoriza por excepción. El código de comercio (MCC) es la pieza central: el código de cuatro dígitos que clasifica cada comercio y condiciona la autorización. Las plataformas de gestión de gastos se apoyan en él para bloquear o autorizar una categoría por titular^[4]. Un comercial en desplazamiento no tiene nada que hacer en un casino; un comprador no tiene por qué pagar un servicio de apuestas online. El MCC lo sabe, el ajuste lo aplica y el titular recibe un rechazo inmediato.

Un límite mal calibrado es o un fraude que pasa o colaboradores bloqueados en el restaurante. El buen reflejo es trocear el límite en tres dimensiones: por transacción, por periodo (día, semana, mes) y por categoría MCC, en lugar de fijar un único importe global. Un directivo que puede gastar 2.000 € en recepciones no necesita autorizar un solo pago de 2.000 €. Para el detalle del calibrado, nuestra guía sobre los límites y la política de gasto desarrolla el método completo.

La tarjeta «card not present» (pago online en el que el número se teclea sin la tarjeta física) concentra la mayor parte del riesgo residual. Dos mecanismos lo contienen.

La autenticación reforzada (SCA) vía 3-D Secure 2. Nacida de la directiva europea PSD2, impone una autenticación de dos factores en la mayoría de los pagos online, con exenciones reguladas (beneficiario de confianza, análisis de riesgo transaccional)^[5]. En un programa corporativo, se puede forzar el 3DS en los e-comerciantes de riesgo y suavizarlo en los proveedores recurrentes de confianza, para no penalizar la experiencia de compra legítima.

Las tarjetas virtuales de un solo uso. En lugar de guardar un número permanente en cada proveedor, se genera un número dedicado, con su propio límite, su propia caducidad y a veces su MCC autorizado, para un pago o una misión concreta. Si el número se filtra, ya está caducado. Es la defensa más eficaz contra la reutilización fraudulenta, y un asunto tratado a fondo en nuestra página sobre la tarjeta virtual para empresas.

Una configuración perfecta no basta; también hay que ver lo que pasa. Las alertas en tiempo real (push o email en cada transacción, o solo en las que incumplen una regla) convierten el back-office en vigía. Límite a punto de alcanzarse, pago en un país inhabitual, rechazo repetido en un mismo comercio, dos pagos simultáneos a 2.000 km de distancia: señales que un automatismo detecta en unos cientos de milisegundos y que un controlador humano tardaría días en encontrar en un extracto mensual.

El buen umbral de alerta no es «notificarlo todo»: ahí acecha la fatiga. Las notificaciones se reservan a las transacciones que violan una regla del programa: superación de un umbral, MCC sensible, geografía fuera de perímetro. El resto se consulta a posteriori, en el flujo contable.

Las redes comunican garantías antifraude (Zero Liability) y muchos emisores añaden promesas de «Zero Fraud». Leyendo el folleto, uno se cree cubierto en todos los casos. La realidad es más fina, y es en las tarjetas profesionales donde el hueco es más ancho.

La Zero Liability Policy de Visa, por ejemplo, excluye explícitamente ciertas transacciones con tarjetas comerciales y las tarjetas prepago anónimas^[2]. La protección de Mastercard cubre las transacciones fraudulentas no autorizadas, pero con la condición de una notificación rápida^[6]. En claro: la garantía no es ni universal ni automática en un programa B2B, y depende en gran medida de lo que tu emisor haya negociado y contratado.

Consecuencia práctica: pide a tu emisor el texto exacto de la garantía, los plazos de notificación (a menudo muy cortos), los casos de exclusión y el mecanismo de reembolso. Y no confundas nunca Zero Liability con ausencia de riesgo: la garantía interviene después de la pérdida. La configuración, en cambio, evita que llegue. Los dos son complementarios, no intercambiables.

Con los controles en su sitio, la seguridad vive en la rutina. Unos reflejos distinguen un programa sólido de un programa poroso:

Un titular, un uso. Evita las tarjetas compartidas entre colaboradores: hacen imposible la trazabilidad y anulan la asignación de un límite por perfil. Prefiere una tarjeta por empleado, o una tarjeta virtual por misión.

Sensibilización corta y regular. El fraude por manipulación avanza un 37 % en un semestre^[1]. Ninguna configuración resiste si el colaborador hace clic. Un recordatorio de diez minutos al trimestre sobre el phishing y los falsos proveedores vale más que una larga formación anual que se olvida.

Auditar los controles, no solo los gastos. A menudo se revisan las notas de gastos; más rara vez se comprueba que los MCC bloqueados lo siguen estando, que los límites no se subieron en un apuro y nunca se bajaron, que los países autorizados siguen correspondiendo al perímetro real. Una auditoría trimestral de la propia configuración es lo que mantiene la defensa al día.

Suspender rápido, reactivar despacio. Ante la menor duda sobre un número, se congela la tarjeta desde el back-office en un clic y se emite una tarjeta virtual de reemplazo. El coste de un bloqueo por exceso es ínfimo junto al coste de un fraude sin interrumpir.

La tarjeta corporativa Greenway trae estos controles de serie: límites por transacción y por periodo, bloqueo por MCC, restricción geográfica, alertas en tiempo real y emisión de tarjetas virtuales al vuelo. La idea no es apilar seguridades para la galería, sino dificultar estructuralmente el fraude, de modo que la tarjeta sirva para pagar, no para inquietar a la dirección financiera.