Tu tarjeta puede ser clonada sin salir de tu cartera: así funciona el skimming
No hace falta perder la tarjeta para que alguien robe sus datos. En un cajero manipulado, un lector falso puede copiar la banda magnética mientras una cámara diminuta o un teclado superpuesto captura el PIN. Esa combinación se llama skimming y puede terminar en retiradas, compras no autorizadas y una tarjeta bloqueada cuando más la necesitas.
Cómo se ejecuta el engaño
El delincuente coloca un dispositivo sobre la ranura del cajero o altera un terminal de pago. El usuario realiza una operación normal y el aparato recoge la información. Después, los datos se graban en otra tarjeta o se venden. El Banco de España aconseja observar el lector, cubrir el teclado, desconfiar de piezas sueltas y no aceptar ayuda de desconocidos.
La copia de la banda no siempre basta: para retirar efectivo suele hacer falta el PIN. De ahí el uso de falsas botoneras, cámaras orientadas al teclado o personas que miran por encima del hombro. En otros casos, los datos se prueban en comercios electrónicos o entornos donde los controles permiten operaciones sin el chip físico.
Existe además el e-skimming: código malicioso insertado en la página de pago de una tienda online que intercepta lo que escribe el comprador. INCIBE recuerda a los comercios que deben actualizar su plataforma, limitar accesos, monitorizar cambios y proteger la cadena de proveedores. Para el cliente, una web conocida no garantiza por sí sola que el formulario no haya sido comprometido.
Skimming, phishing y carding no son lo mismo
En el skimming, la captura suele ocurrir sin que la víctima entregue voluntariamente los datos. En el phishing, un correo y una web falsa la convencen para revelarlos; si llega por SMS es smishing y por llamada, vishing. El carding es el uso o la comprobación posterior de credenciales de tarjeta ya robadas. Por eso el registro de alias SMS de la CNMC combate una puerta distinta del mismo problema.
Por qué el chip ayuda, pero no elimina el riesgo
El chip genera información dinámica para la operación y dificulta crear una copia funcional equivalente. El pago móvil añade otra barrera mediante la tokenización: el comercio no recibe necesariamente el número real de la tarjeta. Sin embargo, la banda sigue presente en muchos plásticos por compatibilidad y los datos robados pueden reutilizarse en canales con seguridad desigual.
Las webs comprometidas, la ingeniería social y las compras en países con controles distintos mantienen abierto el riesgo. El informe conjunto de BCE y EBA situó el fraude en pagos del EEE en 4.200 millones de euros en 2024; es fraude total, no solo skimming. La autenticación reforzada funciona, pero los delincuentes adaptan sus métodos y buscan el eslabón menos protegido.
Señales que justifican cancelar la operación
Una ranura que sobresale, un teclado demasiado grueso, piezas desalineadas, restos de adhesivo o una pantalla con instrucciones inusuales son motivos suficientes para utilizar otro cajero. Es preferible operar en máquinas situadas dentro de oficinas o lugares vigilados, especialmente de noche o durante un viaje.
Configurar un límite bajo de retirada, desactivar temporalmente la banda o las compras internacionales cuando la aplicación lo permita y activar avisos para cada movimiento reduce el impacto. Usar el pago móvil evita exponer la tarjeta en muchos comercios, aunque el teléfono también debe estar protegido con bloqueo biométrico o código.
Qué hacer si aparecen cargos
Hay que bloquear la tarjeta, avisar al banco, guardar capturas y justificantes, cambiar claves relacionadas y denunciar. El Real Decreto-ley 19/2018 fija un máximo de 13 meses para comunicar una operación no autorizada, pero esperar es una mala idea. En general, el proveedor debe devolverla con rapidez salvo sospecha razonable de fraude o negligencia grave. En quién responde ante un fraude en pagos explicamos los matices.
Bloquear no es lo mismo que apagar temporalmente la tarjeta: ante un fraude confirmado conviene pedir su cancelación y sustitución. También hay que revisar cargos de importe pequeño, porque pueden ser una prueba previa a operaciones mayores. La denuncia y la comunicación escrita al banco crean una cronología útil si surge una disputa.
Conclusión: toca, tapa y revisa
Mover ligeramente el lector, cubrir el PIN y activar alertas instantáneas lleva segundos. Revisar movimientos completa la defensa: cuanto antes se detecte una clonación, menos margen tendrá el delincuente para convertir datos en dinero.
TerritorioFintech es un medio digital dirigido a la Digital Money Generation y especializado en la actualidad de los nuevos modelos bancarios y financieros. Su equipo editorial publica contenidos informativos y divulgativos con el objetivo de contribuir a mejorar la educación financiera de sus lectores.
Todos los contenidos tienen una finalidad exclusivamente informativa y educativa. En ningún caso deben interpretarse como asesoramiento financiero ni como recomendaciones de inversión.
