August 31, 2026
El PayFac como servicio llevó la incorporación de subcomercios de semanas a minutos. Ese único cambio explica por qué las empresas de software adoptaron el modelo tan rápido, y por qué la conversación sobre riesgo a su alrededor se ha vuelto urgente. La aprobación se aceleró en órdenes de magnitud. La exposición que conlleva aprobar a un comercio fraudulento no se movió en absoluto.
Esta guía cubre qué es el modelo, qué ha cambiado en el mercado y qué exige a los equipos de riesgo que soportan la responsabilidad sobre los comercios.
Comparación entre la adquirencia tradicional y el modelo PayFac como servicio, mostrando cómo los subcomercios se incorporan bajo el facilitador de pagos
En junio de 2026, Robert Kraal se incorporó a nuestro consejo como consejero independiente. Cofundó Silverflow, fue COO en Adyen y antes trabajó en Bibit, el primer PSP global que después adquirió Worldpay. Ha construido infraestructura de pagos a lo largo de tres eras distintas del sector, y no se incorporó a una empresa de pagos. Se incorporó a una empresa de fraude.
No escribimos sobre PFaaS desde fuera. Proporcionamos detección de fraude y AML a proveedores de infraestructura de pagos, entre ellos Silverflow, Spell y Akurateco, empresas que construyen los raíles que describe este artículo.
Él tampoco llegó a esto desde fuera. Silverflow integra Fraudio directamente como socio principal de gestión de fraude y riesgo, de modo que Robert tuvo una visión de primera mano del rendimiento del producto en entornos de procesamiento reales antes de unirse al consejo.
Su razonamiento, según se recogió en su momento, es el argumento de este artículo formulado por alguien que ha dirigido la parte operativa. A lo largo de una carrera escalando infraestructura global de pagos, ha visto cómo las reglas de fraude tradicionales y rígidas se quedan cortas frente a las redes distribuidas modernas. Describe convertir datos interconectados en prevención de fraude en tiempo real como «exactamente hacia donde tiene que ir el sector».
El PayFac como servicio es un modelo en el que un facilitador de pagos registrado pone sus capacidades de facilitación de pagos a disposición de otra empresa como infraestructura. La empresa de software incorpora subcomercios y procesa pagos bajo su propia marca, sin registrarse directamente ante las redes de tarjetas. El proveedor asume el patrocinio de adquirencia, el marco de cumplimiento, la suscripción y la liquidación.
La alternativa es registrarse directamente como facilitador de pagos, lo que implica construir internamente el cumplimiento, la suscripción y la liquidación, y responder ante las redes en nombre propio. Ese camino tarda meses. El PFaaS tarda semanas.
Esa diferencia de velocidad es todo el argumento comercial del modelo. También es donde empieza la cuestión del riesgo.
Mastercard y Cardstream publicaron un informe sobre el auge del PayFac como servicio en febrero de 2025 que sigue siendo la lectura más clara sobre hacia dónde va este mercado. Su planteamiento merece tomarse en serio: el PFaaS no es una moda pasajera, sino un cambio estructural en el funcionamiento del sector de pagos, que empuja a los procesadores tradicionales a innovar y convierte a los ISV en participantes reales del negocio de pagos.
Tres conclusiones de ese informe importan especialmente a quien asume riesgo.
El tiempo de salida al mercado de un nuevo PayFac se desplomó de meses a semanas. Lo que antes era un largo desarrollo de cumplimiento es ahora una decisión de compra.
La incorporación de comercios pasó de semanas a minutos. Este es el beneficio principal para las empresas de software. Y es también, exactamente, la nueva superficie de ataque.
El ritmo de constitución se está acelerando. El informe anticipa cientos de nuevos PayFacs por trimestre, expansión hacia nuevos verticales y más innovación en evaluación de riesgo y prevención del fraude.
Esa última frase es la que la mayoría de los comentarios se salta. El mismo informe que celebra la velocidad señala la evaluación de riesgo y la prevención del fraude como las áreas que tienen que evolucionar a continuación.
El Global Payments Report 2025 de McKinsey plantea el mismo cambio desde el lado adquirente. Los proveedores de pagos a comercios, sostiene, tienen que pasar de habilitar la aceptación a ofrecer infraestructura de pagos autónoma, donde el enrutamiento inteligente, la liquidación en tiempo real y el cumplimiento automatizado dejan de ser diferenciadores y pasan a darse por supuestos.
Aquí está la tensión que hay en el centro del modelo.
Un facilitador de pagos tradicional suscribía comercios despacio porque la suscripción era manual. La lentitud era cara, pero también era, de forma accidental, un control. Se revisaban documentos. Se verificaban negocios. Una persona miraba la solicitud.
El PFaaS elimina la lentitud. No elimina la exposición. Lo que ha cambiado es que un mal actor puede quedar aprobado y procesando en menos de una hora, a escala, dentro de una cartera que quizá esté sumando miles de comercios al mes.
Según nuestros datos de cartera, alrededor del 3% de las pymes recién incorporadas de forma digital resultan fraudulentas. Con cien comercios al mes, eso es una cola de investigación manejable. Con diez mil, es un problema estructural que ningún sistema basado en reglas y ningún equipo de analistas puede absorber.
Dos modos de fallo explican la mayor parte del daño en carteras de crecimiento rápido.
Un comercio procesa grandes volúmenes de transacciones de apariencia legítima, cobra la liquidación y desaparece antes de que lleguen los contracargos. Cuando aparecen las disputas, los fondos y el comercio ya no están. La responsabilidad se queda.
Nada en el flujo de transacciones parece incorrecto mientras esto ocurre. Los pagos son reales, las tarjetas son válidas, las autorizaciones se aprueban. Lo que lo delata es la forma del comportamiento del comercio a lo largo de semanas, no el contenido de ningún pago concreto.
Un comercio se da de alta declarando que vende bienes de bajo riesgo y después procesa pagos por algo completamente distinto. Este caso añade multas de las redes por encima de las pérdidas, y es invisible para cualquier control que examine transacciones de forma aislada.
Ambos son problemas de entidad más que de transacción. Cada pago individual puede parecer limpio mientras el comercio que hay detrás no lo es. Esa distinción lo es todo.
Es también aquello por lo que ahora te evalúan las redes de tarjetas. Visa VAMP y Mastercard SMMP se endurecieron en 2026, y ambos penalizan la misma debilidad: no saber que un comercio se ha torcido hasta que ya es tarde para actuar.
La última fila es donde las carteras se hacen daño. Con frecuencia las empresas asumen que, como el proveedor se encarga del cumplimiento en el alta, también se encarga de la monitorización continua del fraude a nivel de comercio. Son capacidades distintas.
El alta comprueba quién dice ser un comercio en un único momento. La monitorización de comercios observa lo que realmente hace, de forma continua, después. Un comercio puede superar honestamente todas las comprobaciones de alta y volverse fraudulento en el cuarto mes.
Esta es la pregunta que la mayor parte del marketing de PFaaS responde de forma vaga, y merece una respuesta directa: depende del contrato, y hay que leerlo.
Algunos proveedores asumen el riesgo ante las redes como facilitador de pagos registrado y lo dicen con claridad. Otros aportan la infraestructura mientras la empresa de software conserva la exposición sobre los subcomercios. Ambos modelos existen y ambos se venden bajo las mismas siglas.
Lo que no varía es esto: quien esté registrado ante las redes responde ante las redes. Bajo el programa de monitorización de adquirentes de Visa, la ratio de cartera se evalúa a nivel de la entidad registrada, y una cartera concentrada de comercios de riesgo arrastra a todo el portafolio por encima del umbral. Bajo el programa de monitorización de comercios de Mastercard, el adquirente o facilitador de pagos registrado dispone de 72 horas para investigar un comercio señalado, y responde por la decisión de alta que lo dejó entrar.
Así que la pregunta que hay que hacer a un proveedor no es si gestiona el riesgo. Es qué exposiciones concretas asume, cuáles traslada y qué monitorización se ejecuta sobre la cartera después de que un comercio queda aprobado.
Para quien gestiona el riesgo de una cartera que crece sobre raíles de PFaaS, los requisitos son concretos.
Monitorizar entidades a lo largo del tiempo, no solo eventos. El perfil de riesgo de un comercio es una trayectoria. Ratios de reembolso que se desplazan, patrones de liquidación que cambian, volúmenes que se disparan por delante de comercios similares de la misma categoría. Nada de eso aparece en el score de una transacción aislada.
Comparar con comercios similares, no solo con umbrales. Un umbral fijo o señala a todos los comercios legítimos de crecimiento rápido o se le escapa el fraudulento que se sitúa justo por debajo. La desviación respecto al grupo de pares es mucho más difícil de burlar.
Detectar antes de la liquidación, no después de los contracargos. Los datos de contracargos llegan con semanas de retraso. Cualquier control que dependa de ellos es una autopsia, no una defensa. Trabajando con Viva Wallet, detectamos intentos de fraude tres semanas antes que con su sistema anterior, que es la diferencia entre retener la liquidación y asumir la pérdida.
Desplegar en días, no en trimestres. Una cartera que incorpora miles de comercios al mes no puede esperar de cinco a catorce meses a que se integre un sistema de riesgo. Nuestras integraciones se completan entre tres y catorce días.
Soportar multi-tenancy de verdad. Un proveedor de PFaaS no gestiona una cartera. Gestiona las carteras de sus clientes, cada una con vistas aisladas, su propia configuración y sus propias reglas, sin perder la señal entre portafolios que hace que la detección funcione.
Nada de esto es una postura contracorriente. McKinsey incluye llevar la inteligencia al extremo entre sus seis estrategias para la próxima era de los pagos, y sostiene que la toma de decisiones tiene que ocurrir en el punto de la transacción, con la detección de fraude integrada directamente en las API y los flujos de trabajo en lugar de centralizada en sistemas por lotes o dirigida por personas. El mismo informe pide que el cumplimiento se vuelva programable, con motores de políticas modulares que sustituyan a los flujos manuales y a los libros de reglas fijos.
Ese último punto es donde un modelo centralizado demuestra su valor. Como nuestra IA aprende de miles de millones de transacciones de todos los proveedores conectados en lugar del historial aislado de cada cliente, un patrón de fraude que aparece en una cartera afina la detección para todas las demás. Para una operación de PFaaS nueva, sin historial de fraude propio, esa es la diferencia entre estar protegido desde la primera transacción y un periodo de rodaje medido en meses, que son los mismos meses que el PFaaS se adoptó para evitar.
Hay tres cosas que hacen de Fraudio una respuesta distinta a este problema.
Nuestra IA centralizada aprende de miles de millones de transacciones de cada adquirente, PSP y emisor conectado, de modo que un cliente nuevo queda protegido desde la primera transacción y no después de un periodo de entrenamiento. Nuestra detección de fraude iniciado por el comercio evalúa a los comercios como entidades a lo largo del tiempo en lugar de puntuar pagos aislados, que es lo que permite detectar el fraude de fuga y el blanqueo de transacciones semanas antes de que lleguen los contracargos. Y la integración se completa entre tres y catorce días, frente a los cinco a catorce meses que citan los incumbentes empresariales.
Está construido para adquirentes, facilitadores de pagos y PSP que gestionan riesgo de subcomercios a velocidad de onboarding, no para empresas que buscan raíles de pago.
Fraudio procesa 2.000 millones de transacciones al año en 188 países y cuenta con la certificación ISO 27001. Demostrado con Viva Wallet: ROI de 8x, un aumento del 600% en la eficiencia del equipo de fraude y fraude detectado tres semanas antes que con las herramientas heredadas. Pago por uso, sin costes de instalación, implementación ni mantenimiento.
Descubre cómo Fraudio detecta el fraude de comercios →
El PayFac como servicio es un modelo en el que un facilitador de pagos registrado pone sus capacidades de facilitación de pagos a disposición de otra empresa como infraestructura. La empresa incorpora subcomercios y procesa pagos bajo su propia marca, sin registrarse directamente ante las redes de tarjetas. El proveedor se encarga del patrocinio de adquirencia, el cumplimiento en el alta, la suscripción y la liquidación. El lanzamiento tarda semanas en lugar de los meses que exige un registro directo.
La diferencia entre el PayFac como servicio y un facilitador de pagos tradicional es el registro. Un facilitador de pagos tradicional se registra directamente ante las redes de tarjetas y construye su propia infraestructura de cumplimiento, suscripción y liquidación, lo que tarda meses. El PFaaS aporta esa infraestructura como servicio, de modo que una empresa puede operar como facilitador de pagos sin registro directo. La incorporación baja de semanas a minutos y el lanzamiento de meses a semanas.
Que el proveedor de PFaaS asuma la responsabilidad por el fraude de los subcomercios depende del proveedor y del contrato. Algunos asumen el riesgo ante las redes como facilitador de pagos registrado. Otros aportan la infraestructura mientras la empresa de software conserva la exposición. Ambos modelos se venden bajo el mismo nombre, así que este es el punto más importante que confirmar antes de firmar. Quien esté registrado ante las redes responde ante las redes.
La monitorización del fraude de comercios normalmente no está incluida en un paquete de PFaaS, aunque el cumplimiento en el alta sí suele estarlo. Resuelven problemas distintos: el alta verifica quién dice ser un comercio en un momento concreto, mientras que la monitorización observa lo que hace de forma continua después. Un comercio puede superar honestamente todas las comprobaciones de alta y volverse fraudulento meses más tarde. Conviene confirmar qué monitorización se ejecuta sobre la cartera tras la aprobación.
El PayFac como servicio merece la pena para las empresas SaaS que quieren la economía de los pagos y el control de la relación con el comercio sin un desarrollo de cumplimiento de varios meses. El modelo captura ingresos que de otro modo irían a un procesador externo y elimina la necesidad de registrarse ante las redes de tarjetas. El coste es la exposición al fraude de subcomercios a velocidad de onboarding, con una referencia de aproximadamente el 3% de las pymes incorporadas digitalmente que resultan fraudulentas.
Los beneficios del PayFac como servicio para las empresas SaaS son velocidad, marca y economía de los pagos. El lanzamiento baja de meses a semanas y la incorporación de subcomercios de semanas a minutos, según Mastercard y Cardstream. Los pagos se ejecutan bajo la marca de la propia empresa y no bajo la de un tercero. La empresa captura una parte de los ingresos por procesamiento en lugar de derivarlos fuera.
Un negocio en crecimiento debe esperar que alrededor del 3% de las pymes recién incorporadas de forma digital resulten fraudulentas, según nuestros datos de cartera. La cifra absoluta escala con la velocidad de incorporación, que es exactamente lo que el PFaaS está diseñado para aumentar. Con cien comercios al mes eso es una cola de revisión. Con diez mil es un problema estructural que la revisión manual no puede absorber.
Las comprobaciones en el alta no son suficientes porque verifican la identidad en un único momento, mientras que el fraude es un comportamiento que se desarrolla después. Un comercio de fuga supera el alta honestamente, procesa volumen de apariencia limpia durante semanas, cobra la liquidación y desaparece antes de que lleguen los contracargos. Nada en las transacciones individuales parece incorrecto mientras ocurre. Solo la monitorización continua a nivel de entidad, comparando a un comercio con su propio historial y con su grupo de pares, detecta la desviación a tiempo para retener la liquidación.
¿Quieres probar nuestra solución y experimentar la próxima generación por ti mismo?
