Por qué usamos navegadores reales, no rastreadores, para cazar skimmers
Los ataques modernos se esconden de los escáneres de solo cabeceras. Así ejecuta nuestra flota de Chromium instrumentado las páginas como lo haría un comprador real, y por qué importa.
Un rastreador de solo cabeceras ve el HTML que envía el servidor. Los skimmers modernos no viven ahí. Los inyecta un service worker, se decodifican desde un blob WASM o se importan de forma diferida solo tras superar una comprobación de huella anti-bot.
Para ver lo que ve un visitante real, ejecutamos una flota de instancias de Chromium totalmente instrumentadas. Cada una ejecuta JavaScript, acepta cookies, registra service workers y completa una interacción sintética como un flujo de pago.
La instrumentación es lo esencial. Registramos cada iniciador de red, cada elemento de script insertado dinámicamente y cada postMessage entre marcos. La carga del atacante se dispara una vez por sesión realista, y como parecemos una sesión realista, la capturamos.
Por eso también resistimos la evasión. Los skimmers que comprueban navigator.webdriver, indicadores headless o plugins ausentes reciben un navegador que responde como uno real. El coste es cómputo; el beneficio es una detección que un WAF o un filtro DNS no pueden igualar estructuralmente.