La cago con el CVV y Openbank me la lía: compra online en EE.UU.

El pasado mes intenté comprar en un comercio online en EE.UU. Por cansancio y cagaprisas, tecleé mal el CVV dos veces (era un campo como el de una contraseña, con caracteres ocultos). Evidentemente, la operación fue rechazada. Recibí este SMS:

Aviso Openbank: no ha sido posible realizar la operación con tu tarjeta porque el CVV introducido no es correcto.

A la tercera lo introduje correctamente, pero el sistema antifraude (que, como veremos más, es de Redsys) me impidió la compra:

Por motivos de seguridad, no es posible realizar esta operación con tu tarjeta Openbank *XXXX. Disculpa las molestias. +info: 91 177 33 10

En este momento desistí de comprar con esa tarjeta y utilicé Paypal. Un poco más tarde me llamaron del «departamento especializado de Openbank». Les había saltado una alerta, se habíá aplicado un «pequeño bloqueo preventivo» a la tarjeta y queríán confirmar que no fuese un caso de fraude para desbloquearla. Al acabar la conversación pensaba que ya estaba todo solucionado. Como probablemente el lector pueda prever, la realidad era todo lo contrario y esta odisea no hacía más que empezar…

Esta semana vuelvo a realizar otra compra, con la misma tarjeta, en en el mismo comercio. Nuevamente se declina la compra y me llega otra vez el último mensaje SMS:

Por motivos de seguridad, no es posible realizar esta operación con tu tarjeta Openbank *XXXX. Disculpa las molestias. +info: 91 177 33 10

A continuación relato las llamadas a Openbank, y una a Redsys. En todas las llamadas a Openbank hay que pasar el «robot» o locución automatizada. Decir los dígitos del DNI, teclear clave de acceso, decir a la locución automática que el motivo de la llamada es tarjetas. Luego, más específicamente, «otro tipo de consultas». Tras un tiempo de espera, nos pasan con un agente, que nos pedirá los cuatro últimos dígitos de la tarjeta y el importe.

En estas conversaciones pido reiteradamente que me pasen con el departamento de fraude si percibo que el operador no me proporciona la respuesta correcta, es decir, bloqueo por el sistema antifraude. Solicito esto porque hace años, sufrí un problema similar con el Banco Santander, y me lo solucionaron, según me dijeron más tarde, en el departamento de fraude. Realmente, como se verá más tarde, el departamento correcto es el de «medios de pago», no el de fraude.

Podría haber pagado por Paypal nuevamente, pero me fastidia no poder utilizar mi tarjeta. También quería entender el motivo, por si me ocurriese en el futuro, y poner a prueba el servicio de atención al cliente de Openbank.

Primera llamada (a Openbank)

Después de preguntar al «departamento especializado», el operador me indica que:

han quitado la alerta que se lanzó en su tarjeta y que puede volver a utilizar la misma

Al cabo de unos minutos, vuelvo a intentar la operación y falla.

Segunda llamada (a Openbank)

No pueden ver el intento de compra. Sólo pueden ver la última carga en la tarjeta prepago. El operador está conversando con la «coordinadora». Esta vez, me indican que:

Tiene que esperar que el sistema actualice la recarga de la tarjeta.

Esto es totalmente falso, porque en numerosas compras pasadas, el saldo cargado está inmediatamente disponible. Pido que me pasen con el departamento de fraude, pero me contestan que sólo están disponibles de lunes a viernes, de 10 a 22h. Pido que me pasen con la coordinadora, pero

Lo lamento, pero no es la operativa que se maneja acá en el banco. Yo no puedo pasarle con la coordinadora, porque tenemos una cola de llamadas… hay otros compañeros que están hablando con la coordinadora, o que necesitan hablar…

Le indico que me puedo esperar, pero se niega:

Lamentándolo mucho, no puedo comunicarle con la coordinadora, como le indiqué, hay mucha cola de llamadas y hay compañeros que necesitan hablar con la coordinadora, si usted desea hablar con el departamento de fraude, como le indiqué, el departamento de fraude está de 9 de la mañana a 10 de la noche.

Tercera llamada (a Redsys)

Ven el intento de compra; no en dólares, sino el contravalor en euros. Al preguntar el código de respuesta, responden lo siguiente:

… deme un segundo… me aparece además que quien los está denegando somos nosotros, que es Redsys, eh… «tarjeta ajena al servicio«… eh… «denegado por Lynx«, o sea, L, Y, N, X.
[…]
El error está siendo un 180…

Al cuestionar sobre Lynx, me lee una nota de «los superiores»:

…cuando se deniega por Lynx, que hay que hablar con el banco.

Lynx se refiere a Lynx Financial Crime Tech, S.A., una empresa que por lo visto desarrolla una herramienta antifraude para Redsys. Ver: Lynx: AI and ML to Combat Fraud and Financial Crime.

Cuarta llamada (a Openbank).

Al indicarles que el sistema antifraude me bloquea la operación:

… es que usted no lo puede decidir, si quiere que se lo bloqueen o no, eso la pasarela de pago y Redsys…

Intento que me pase con el departamento de fraude, y me ignora. Por fin mira las operaciones «en la pasarela de pago», observa que procede de EE.UU., y el nombre del comercio. Pido que supriman el filtro de seguridad:

… es que eso no se puede quitar…

Le explico que Openbank (como cualquier otro miembro de Redsys), tiene acceso a un panel de control donde añadir excepciones. Tras mantenerme a la espera, me indica:

Ya está… la tarjeta, por la alerta, se había bloqueado, por eso la segunda vez no le dejó hacer la operación, y ya está desbloqueada

Intenté reintentar el pago antes de colgar, pero ahora el comercio me pedía añadir dirección de facturación de la tarjeta. Por no hacer perder tiempo al operador (y porque necesitaba un descanso), terminé la llamada para intentarlo en unos minutos. Volvió a fallar.

Quinta llamada (a Openbank)

Esta operadora no puede acceder a la operación:

Ninguna de esas tarjetas tiene hecho el cargo de ese movimiento

Tras un buen rato a la espera:

… estábamos haciendo la consulta para ver por qué se le estaba denegando… no sé si los compañeros, en las llamadas anteriores, le indicaron que el error que nos salta a nosotros es porque el propio comercio no acepta ese tipo de tarjetas…

Refuté esa afirmación, puesto que Redsys ya me había confirmado que la denegación era por bloqueo de seguridad. Más tiempo de espera. Al final

Estábamos revisando la consulta, y, efectivamente, hemos consultado y el error que ha saltado fue por nuestro sistema, ¿de acuerdo? … el motivo: porque ha utilizado la tarjeta ya muchas veces con el contactless, y necesitamos verificar la tarjeta… entonces, lo que va a tener que hacer es lo siguiente: la siguiente compra que vaya a realizar, ¿de acuerdo?, o si necesita hacer la compra por internet… pero antes de hacer la compra por internet, necesitamos que introduzca la tarjeta en el cajero con una consulta de saldo, para que lo actualice el sistema.

Aquí ya directamente me parto el culo, hacíendole ver encarecidamente que es una tarjeta virtual

la tarjeta es física

Le comento nuevamente «con entusiasmo» que es una Openbank e-commerce. Pido que me pasen con el departamento de fraude:

… es que no le puedo pasar con el departamento de fraude, porque la operativa… el error que le ha dado ayer con la tarjeta física, ¿de acuerdo?…

Vuelvo a insistir que es virtual, y le leo el SMS con los cuatro últimos dígitos de la tarjeta para que no quede duda. Más tiempo de espera.

Estamos haciendo consultas internas antes de transferirle con el departamento de fraude, ¿de acuerdo? eh… una consulta, el movimiento que está intentando hacer con la tarjeta e-commerce, ¿es alguna compra de algunos productos informáticos, y el comercio está fuera del país…?

Contesto afirmativamente.

Lo estamos consultado porque ha saltado una alerta en el mes anterior también sobre estos movimientos, ¿de acuerdo? entonces, estamos confirmando…

Le confirmo que introduje el CVV mal dos veces hace un mes. Más espera.

quitamos las alertas con el departamento especializado… como el mes anterior, ¿de acuerdo? saltó una alerta por este mismo comercio, por X casuísticas, saltó la alerta, ¿de acuerdo?… la alerta se ha quedado ahí como pendiente, ¿de acuerdo? entonces, al volver a intentar hacer este cargo, nos ha saltado nuevamente la alerta interna, pero ya lo hemos actualizado y la tarjeta ya está operativa. Es esperar unos diez minutos, que el sistema actualice la alerta que acabamos de levantar en este momento, y va a poder utilizar la tarjeta, y ya no le va a saltar ninguna alerta y le va a permitir hacer el pago con la tarjeta e-commerce… si, en caso de que le vuelva a dar el fallo, ya a nosotros ya nos aparece ya la la alerta nuevamente de forma inmediata, pues igual… quitamos las alertas con el departamento especializado… pero ahora ya, de manera interna, lo ha quitado el departamento.

Le comento que el servicio me parece de pena, y que Redsys, de primeras, me dio más información que Openbank, indicándome que era efectivamente el sistema antifraude

Efectivamente, es por eso… la alerta ha saltado de manera interna, pero no nos ha saltado como le indico… es que el error ya lo tuvo en el mes anterior… usted reconoció los movimientos…

Nuevamente, vuelvo a reconocer el error del CVV, pero les recuerdo que deberían ser capaces de informarme desde el primer momento del motivo real del fallo del pago: el sistema antifraude; y no excusas, como la de los días anteriores (supuesta carga «retardada»de la tarjeta prepago) o de esta misma conversación (rechazo por el comercio o demasiados intentos por contactless).

Después de esperar unos 15 minutos, reintento la operación y falla.

Sexta llamada (a Openbank)

Me preguntan sobre la operación. Respondo que compra online en EE.UU.

Actualmente nos aparece que la tarjeta está denegada para hacer ese tipo de servicio… ¿es la primera vez que hace la compra en este comercio, con esta tarjeta?

Contesto afirmativamente.

De acuerdo, porque lo que va a pasar es que el comercio no acepte esa tarjeta…

Rechazo esa respuesta, indicando que Redsys ya me informó de código 180 y denegada por Lynx

Correcto, porque… exactamente, 180 porque la tarjeta es ajena a hacer esa operación de compra. Es lo que a mí me aparece directamente.

Le indico que el código era 180 pero además denegado por Lynx, el sistema antifraude de Redsys. Como información adicional, le leo el SMS «por motivos de seguridad…».

Como le había pedido que me pasase con el departamento de fraude, me corrige:

Voy a hacer una consulta, el departamento de fraude no hace directamente esta gestión, sino el departamento de coordinación con el que voy a realizar la consulta…

Pregunto quién tiene acceso al panel de control de Redsys en Openbank:

Primero hago una confirmación con el departamento de coordinación, para que me ayude a hacer ese tipo de gestión, pero normalmente siempre es el departamento de medios de pago, puede que abra un expediente interno para que comprueben el movimiento y para evitar futuros problemas que tenga actualmente con este comercio. Se hace por expediente. El primer paso es… fraude no tiene nada que ver en esta operación… primero confirmarlo con el departamento de coordinación, para que me ayude a hacer la gestión, y después, abrir un expediente al departamento de medios de pago si no se aclara con el departamento de coordinación.

Al cabo de un tiempo de espera:

Sigo a la espera a hablar con el departamento de coordinación… de momento ya he podido aclarar el error… el primer error que aparece, que es el código 180, ese código 180 significa que actualmente, quien está denegando la operación no es el banco, es el comercio.

Rechazo esa respuesta.

El código 180, yo… me indica que son dos distintos códigos. El 180, que es el que le aparece en el código de error, y luego aparece otro código de error que es el 80185. El código 180 es tarjeta ajena a este servicio, porque el comercio no está aceptando la tarjeta para hacer la operación, no es el banco.

Le señalo dos contradicciones sobre esa afirmación: primera, el comercio responde «payment declined» y «authorization declined»; segunda, el SMS reza «por motivos de seguridad».

No, no, no, yo le indicaría… es correcto que denegado por Lynx es una operativa de seguridad para que el cliente no tenga ningún tipo de fraude con la tarjeta, pero el primer código de error, el 180, es el código que actualmente, le llega a la operación pero por parte del comercio, lo tengo justamente aquí, los códigos de error, se lo voy a leer directamente, deme un segundo… código 180: el comercio no acepta el tipo de tarjeta utilizado, por ejemplo una tarjeta prepago.

Reitero que no tiene sentido. Si eso fuese así, ni siquiera llegaría la transacción al banco.

… da el error… llega porque da el error y se paraliza justamente en esa gestión… porque nosotros emitimos el pago…

Aquí percibo un error de concepto del operador. Durante la fase de autorización, el comercio es el que emite una petición de pago, y el banco responde autorizando o denegando. La fase de «captura» para «emitir el pago» empieza más tarde, al final del día, y tarda varios días en completarse. En el transcurso de la autorización el banco no emite ningún pago ni tampoco «pregunta» al comercio si le gusta o no le gusta la tarjeta. Si el comercio quiere por ejemplo rechazar una tarjeta prepago, lo puede consultar en una tabla de rangos de cuentas BIN, sin necesidad de preguntar a nadie. Este trabajo también lo puede hacer su pasarela de pago estableciendo comprobaciones previas a la autorización.

Tiempo de espera para hablar con el coordinador.

Le indico por qué ha saltado este aviso. El primer motivo, es verdad que el comercio deniega la operación, pero cuando ha entrado el pago, nostros tenemos la opción de pagarlo, pero ha saltado el error que ha saltado denegado por Lynx… es porque ha detectado que esa forma de pago, ese comercio, podría darle problemas de tipo de fraude. Entonces, nosotros tenemos la opción, o intentar la opción, de hablar con el banco y levantar ese aviso, pero si levanta ese aviso, sería con su responsabilidad…

Confirmo, adelante.

Indicarle, vamos a intentar hacer esa gestión, vamos a dar la orden, porque no está dentro de lo habilitado entre los comercios que podemos levantar la denegación por Lynx, pero vamos a intentarlo. Le voy a pedir dos posiciones de su clave de firma para hacer la autorización, y confirmarlo con el… lo único que… le puedo indicar que puede ser que no sea inmediato, que estamos dando la orden ahora mismo, e inmediato no es… envían lo que es la excepción el coordinador al departamento, y en ese momento ya nos confirmarían que se ha levantado.

Tras tiempo de espera:

Ya hemos traspasado… ya el departamento de coordinación ha traspasado directamente al equipo interno de medios de pago… solicitando el levantamiento de las medidas de segurdad por Lynx, y ya ellos nos confirmarán si es posible levantarlo porque no aparece dentro del listado que tenemos actualmente para hacer esa… ese levantamiento. Se lo vamos a confirmar a lo largo de la mañana, medio día-mañana… si se ha podido hacer la gestión, y le enviaremos un mensaje para que se ponga en contacto con nosotros.

Séptima llamada (desde Openbank)

Le estoy llamando de Openbank, porque me ha pasado el equipo especialista su ficha para darle una información. Por su seguridad, necesitaría que me confirmase su DNI, por favor.

[…]

Le voy a pasar con la locución, es totalmente anónima, para que le valide la clave, y enseguida retomamos y le doy la información, ¿de acuerdo?

[…]

Mi llamada es, como le indicaba… me ha pasado el número el equipo especialista para que le contactara, para informale que se ha dado de alta el comercio , que es de compra de equipos informáticos, en la lista blanca de la tarjeta, porque le estaba saltando todo el rato las alertas, y ya puede realizar la compra. Me indican que se ha habilitado el tema de que no se salte la alerta de hoy a mañana, tiene que hacer la compra antes de las 12 de la noche de mañana.

Reintento la operación al cabo de un par de minutos y falla nuevamente.

Octava llamada (a Openbank)

Me preguntan cuándo me han levantado el bloqueo, y cuándo intenté realizar la última operación con ella.

Vamos a ver si está levantada correctamente… porque como sea una de estas alertas de comercio que nos saltan por fraude, hasta pasadas 24 horas, nanai… porque, en las mismas 24 horas, sigue saltando automáticamente, desde el mismo comercio… a ver… expedientes de esta tarjeta… vamos a comprobar las operaciones de movimientos de hoy, y a ver qué error es el que está dando… denegados por Lynx, <CANTIDAD>. Se trata de MasterCard, a ver… vale, permítame un segundo, vamos a ver si los compañeros de tarjetas nos pueden indicar algo.

Tiempo de espera…

Le voy a pedir dos posiciones de su clave de firma…

Le doy las posiciones

Confirmamos… perfecto, permítame un segundo…

Más tiempo de espera

Ya tiene usted de nuevo habilitada la tarjeta. Intente realizar ahora mismo la compra, por favor.

Reintento y por fin se acepta la compra.

Le comento todos los problemas que he tenido con los departamentos.

Realmente, ni siquiera es el departamento, es Redsys, es la red de pago…

Le comento que me parece estupendo que Redsys identifique la transacción como posiblemente fraudulenta, y que el banco, en su legítimo interés, quiera defenderse del fraude. Sin embargo, que es ridículo que tenga que llamar seis veces a Openbank para desbloquear una operación, más la malinformación por excusas de todo tipo.

Malinformación por parte de los operadores

• Carga retardada de la tarjeta prepago (segunda llamada)
• Imposibilidad de suprimir el filtro antifraude / añadir a lista blanca (cuarta llamada)
• El comercio rechaza la tarjeta/pago (en dos ocasiones, quinta y sexta llamada)
• Reiterados intentos de compra contactless (quinta llamada)

Teorías:

¿Qué pasa con el sistema antifraude?

Una y otra vez, a lo largo de estas llamadas, me indican que han «quitado» las alertas generadas, pero eso no parece surtir efecto. Sospecho que eliminar esas alertas disminuye una puntuación/scoring de riesgo de fraude, pero realmente hay algo más… creo que Lynx aplica un bloqueo general sobre esa tienda online en concreto. Intuyo que, en la última llamada, han eliminado finalmente ese bloqueo general. Supongo que sólo se arriesgan por un corto período de tiempo, de ahí que el operador me instase a reintentar la compra «ahora mismo».

¿Externalización de los operadores?

Hay algo que me llama la atención: algunos operadores pueden ver directamente las operaciones rechazadas, pero otros no, sólo a través del «coordinador» (segunda y quinta llamada). Sospecho que al menos esos operadores están externalizados, y que por ello su nivel de acceso es muy limitado. Veo en Linkedin perfiles de empleados de Konecta que trabajan para Openbank, por ejemplo.

Además, hay ocasiones en las que el lenguaje delata:

• La palabra «coordinador» en general.
• «…quitamos las alertas con el departamento especializado«
• «Entonces, nosotros tenemos la opción, o intentar la opción, de hablar con el banco y levantar ese aviso.»
• «El departamento de coordinación ha traspasado directamente al equipo interno de medios de pago…»

Me queda claro que el departamento de medios de pago es realmente Openbank, y me da la impresión de que nunca estoy hablando directamente con Openbank (salvo quizá la última llamada). Nunca de los jamases me pueden transferir con un departamento en concreto porque sencillamente son empresas distintas. Tan sólo pueden crear peticiones/expedientes. Como cliente, no debería percibir de esto. Si me doy cuenta, es porque el servicio es penoso.

Sobre el código 180 «tarjeta ajena al servicio»

En la tercera llamada, a Redsys, me leyeron dos datos:

• código 180, con la descripción «tarjeta ajena al servicio»
• «denegado por Lynx»

Nuevamente, en la sexta llamada volvieron a surgir ambos datos. Está claro que denegado por Lynx es correcto, pero ¿qué hay de ese código 180? ¿Qué significa «tarjeta ajena al servicio»?

El TPV Virtual efectúa el envío de las notificaciones on-line para las operaciones de compra autorizadas y denegadas por la entidad emisora de la tarjeta, así como en aquellas situaciones en las que el proceso de compra ha sido interrumpido al haberse producido uno de los siguientes errores:

SIS0093 -> Tarjeta no válida. Se envía notificación con código 180.

SIS0093 – Tarjeta no encontrada en la tabla de rangos – MSG0006

Tabla de mensajes de error del TPV Virtual
En la siguiente tabla se muestran los mensajes que se muestran al titular. Solo se incluyen los textos en castellano, se debe tener en cuenta que estarán traducidos al idioma utilizado por el titular.

MSG0006 – Tarjeta ajena al servicio.

GUÍA GENÉRICA DE COMERCIOS TPV VIRTUAL SIS

No veo mucha información en internet. Igual esto:

Es posible que el usuario esté usando un tipo de tarjeta no soportada por el servicio. Normalmente las pasarelas de pago aceptan las redes más comunes (Visa, MasterCard) pero en algunas zonas geográficas también hay otros servicios, como AmericanExpress o JCB. Contacta con el usuario para conocer qué servicio está usando y con tu banco para conocer si tu contrato de TPV incluye dicho servicio.

https://freshcommerce.es/blog/errores-tpv-redsys-significado-solucion/

¿Qué significa tarjeta ajena al servicio?

Si al realizar una compra aparece un mensaje de “Tarjeta ajena al Servicio” significa que el tipo de tarjeta que has utilizado no es reconocida por el sistema.

Recuerda que Alsa acepta el uso de cualquier tarjeta financiera, incluidas las tarjetas extranjeras, siempre que sean Visa, MasterCard, Maestro o American Express.

https://www.alsa.es/-/trajeta-ajena-al-servicio

Entiendo que este mensaje sólo debería mostrarse si presentamos a Redsys, que supongo que es el «servicio», tarjetas de redes «raras», distintas al conjunto Visa, MasterCard, American Express, JCB, Diners y Unionpay.

Buscando en Redsys, encontré algo interesante:

Hay dos códigos 180: uno como código de error y otro como código Ds_Response. Son dos campos distintos. Probablemente se correspondan con los dos datos/puntos mencionados arriba. En mi caso, el código de error 180 «denegación emisor» podría cuadrar, porque en efecto, el emisor de mi tarjeta, Openbank, es el que deniega la operación. Sin embargo, ¿qué hay del código Ds_Response 180 «tarjeta ajena al servicio»? Desde la ignorancia, mi teoría es la siguiente: Openbank ha rellenado Ds_Response incorrectamente, utilizando el código de error como código Ds_Response, de manera que muestra a los operadores un texto «tarjeta ajena al servicio» que nada tiene que ver con la operación. Hay otros códigos que sí considero correctos. Por ejemplo:

Parece que el código de error sí está rellenado correctamente, aunque no es 180. Éste prodría cuadrar, pero los operadores me mencionaron «denegado por Lynx», que es más específico que «denegación emisor». No aparece literalmente, pero supongo que es uno de estos dos, probablemente el 9671:

¿Estoy en contra de los operadores?

En principio no. Los operadores con los que he conversado parecen tener poca formación. Probablemente están externalizados y les han impartido un cursillo de media tarde. Habitualmente se limitan a repetir lo que les comunique el «coordinador». Sobre los coordinadores, tengo más dudas de si malinforman por desconocimiento o si directamente desinforman, intentando quizá quitarse el muerto de encima lo antes posible con cualquier excusa inventada. Cuando se descubre el pastel, no quieren dar la cara. El responsable es por supuesto Openbank, que debe controlar la calidad del servicio prestado.

Preferiría menos operadores y con mejor formación. Esto implica mayores tiempos de espera, pero una atención de mayor calidad. En cuanto a tiempos, no vería con malos ojos un sistema con cita previa. En cualquier caso, veo difícil que alguien que no interactúa con el panel de control de Redsys pueda llegar a entender bien el funcionamiento del sistema antifraude. Todo conocimiento será de segunda mano, dando como resultado palos de ciego que sufre el cliente, creando malestar y mala hostia para aquél que esté previamente informado, y problemas en la vida diaria del que no lo esté.

Experiencias pasadas

Como contaba al comienzo de este artículo, en el pasado tuve un problema similar en el Banco Santander, con una tarjeta prepago declinada en un servicio de EE.UU. Utilicé en primer lugar una tarjeta virtual prepago. Se me declinó varias veces y se bloqueó. Llamé, y me respondieron incorrectamente que el comercio rechazaba la tarjeta virtual. Intenté con la física y se rechazó y bloqueó al igual que la virtual. La diferencia con Openbank es que en aquella ocasión, al llamar una segunda vez, me pasaron con otro departamento, donde puedieron ver los intentos fallidos en tiempo real, y me añadieron una excepción para desbloquearlo. Estuve hablando con una persona de carne y hueso con acceso al panel de control de Redsys. La experiencia fue imperfecta, por mala información de echar la culpa a la tarjeta prepago y requerir una segunda llamada. Sin embargo, estuvo a años luz de la tortura a la que me ha sometido ahora Openbank. Es es resultado de externalizar el servicio al cliente.