Tabla de contenidos
Tabla de contenidos
Tabla de contenidos
Skimming de tarjetas: señales en el cajero y qué hacer
El skimming de tarjetas es el robo de los datos de una tarjeta en el punto en que entra en contacto con una máquina: la ranura de un cajero, el surtidor de una gasolinera, el lector de una caja de autoservicio. Un dispositivo colocado sobre el lector o dentro de él copia lo que la tarjeta transmite, mientras una cámara o un teclado falso registra el PIN. Con esos datos se fabrica una tarjeta falsa que casi siempre se usa lejos de donde se robó.
Ese último detalle explica cómo funciona este fraude en Europa. El chip hace muy difícil clonar una tarjeta para usarla aquí, así que los datos robados valen más donde los controles del chip son débiles. Según el informe de 2025 de la ABE y el BCE sobre fraude en los pagos, el 70 % del fraude con tarjeta, medido en importe, fue transfronterizo, aunque la mayoría de los pagos con tarjeta son nacionales.
Cómo funcionan los skimmers de cajero
Casi todos los montajes tienen dos piezas. Una lee la tarjeta: una carcasa que se encaja sobre la ranura, una lámina fina que se introduce hasta el fondo o un dispositivo escondido dentro de una terminal sin personal, como un surtidor. La otra captura el PIN: una microcámara oculta en un panel o en una tira de luz, o un teclado superpuesto pegado sobre el original. Los cajeros no son el único objetivo. Europol incluye los datáfonos de bares y restaurantes, los parquímetros y las gasolineras desatendidas entre los lugares donde se produce skimming.
La banda magnética guarda una copia fija del número de tarjeta, la fecha de caducidad y un código de verificación, y esa copia se puede grabar en cualquier tarjeta en blanco que tenga banda. Es el skimming clásico. En un cajero hace más daño porque el PIN se captura a la vez y permite sacar efectivo. En un surtidor sin teclado para el PIN, los datos robados solo sirven en terminales que todavía aceptan la banda.
Skimming y shimming
Un shimmer es un circuito del grosor de una hoja de papel que se introduce en la ranura y queda entre el chip de tu tarjeta y el lector del cajero. Registra lo que el chip transmite durante una operación normal.
Copiar esos datos sirve de poco. No permiten fabricar un chip clonado, porque el chip firma cada operación con claves que nunca salen de él, y una banda grabada con ellos lleva un código de verificación que el emisor debería rechazar. Por eso los delincuentes han pasado de copiar a retransmitir. El informe de 2025 del European Payments Council sobre amenazas y tendencias de fraude describe ataques de retransmisión en cajeros: el shimmer envía en directo la comunicación del chip a una tarjeta introducida en otro cajero, mientras alguien graba cómo tecleas el PIN y se lo pasa a un cómplice, que lo marca y recoge el dinero allí. El EPC detectó un fuerte aumento de estos ataques en varios países europeos en 2024.
¿Se puede hacer skimming a una tarjeta con chip? A su banda, sí. Los datos del chip se pueden capturar con un shimmer, y en un ataque de retransmisión el chip se usa a distancia durante tu propia operación. Todas estas vías necesitan tu PIN. Para ti, la diferencia entre skimming y shimming cambia el camino que sigue el delincuente hasta el dinero, no lo que debes hacer.
desplazamiento horizontal
| Skimmer | Shimmer | |
|---|---|---|
| Dónde se coloca | Sobre el lector de banda o dentro de él, o escondido en una terminal sin personal | Dentro de la ranura, contra los contactos del chip |
| Qué captura | Los datos de la banda y el PIN, con cámara o teclado falso | La comunicación del chip, grabada o retransmitida en directo, y el PIN con cámara |
| Qué obtiene el delincuente | Tarjetas falsas de banda | Copias de banda que el emisor debería rechazar, o una retirada en directo en otro cajero |
| Tu mejor defensa | Pagar sin contacto o con chip en vez de pasar la banda; tapar el PIN | Pagar sin contacto en vez de insertar la tarjeta; tapar el PIN |
Skimmers y shimmers atacan partes distintas de la tarjeta, y los dos necesitan capturar el PIN.
Fuente: European Payments Council, 2025; Europol
Cómo detectar un skimmer
Para detectar un skimmer en un cajero, compara: las carcasas están hechas para pasar desapercibidas, pero casi nunca coinciden del todo con la máquina de al lado. En una gasolinera la lógica es la misma. Antes de introducir la tarjeta, fíjate en:
- Una ranura que sobresale más que la del cajero contiguo o que tiene otro color o textura
- Un teclado más alto que el panel que lo rodea, o que se nota blando o suelto al pulsarlo
- Restos de pegamento o cinta, arañazos o un panel agrietado alrededor de la ranura o del teclado
- Un agujero diminuto o una tira nueva sobre el teclado o la pantalla, donde podría haber una cámara
- En gasolineras, un precinto roto o ausente en la puerta del surtidor, o un surtidor fuera de la vista del personal
La inspección visual tiene un límite. Las láminas insertadas, los shimmers y los dispositivos ocultos en terminales sin personal están dentro de la máquina, así que un lector de aspecto normal no demuestra nada. Europol aconseja colocarse cerca del cajero, tapar el teclado con la otra mano y con el cuerpo y elegir otra máquina si alguien está mirando. Si algo no te cuadra, no tires de la pieza ni intentes quitarla: usa otro cajero y avisa a la entidad que lo gestiona o a la policía.
Prevención que funciona
La mejor prevención contra el skimming de tarjetas consiste en sacar la banda magnética de la operación. ¿Es más seguro pagar sin contacto que pasar la banda? Frente al skimming, sí: con un pago sin contacto la tarjeta no entra en la ranura, y cada operación envía un código de un solo uso que no sirve para fabricar una banda falsa. Insertar el chip es la segunda mejor opción. Pasar la banda, en los terminales que aún lo permiten, es lo que más datos expone.
Tapa el teclado siempre. El PIN es lo que convierte los datos robados en efectivo, y una mano basta para inutilizar la cámara. Los controles de la tarjeta también ayudan: los límites, los ajustes por ubicación o el bloqueo de ciertos tipos de operación dejan menos margen a una tarjeta clonada. Consulta qué controles de seguridad de Blackcat tienes disponibles en la app.
Un caso hipotético muestra por qué el PIN pesa tanto. Tomás saca 100 € a las 23:00 en un cajero de calle en una zona de bares de Granada. Dos días después, la app le muestra una retirada de 400 € en Bangkok, aunque la tarjeta no ha salido de su cartera. El skimmer copió la banda y la cámara grabó el PIN. Con el teclado tapado, esa copia habría servido de muy poco en un cajero.
Qué hacer si te han copiado la tarjeta
Tanto si ves una ranura suelta como si aparece un cargo que no reconoces, el orden de los pasos es el mismo:
1 . Deja de usar la máquina y avisa al personal o a la entidad que la gestiona. Anota la dirección y la hora.
2 . Congela o bloquea la tarjeta en la app, o llama al emisor al número que figura en la app o en su web, nunca a uno pegado en el cajero o cerca de él.
3 . Revisa los últimos movimientos, también los pequeños: a veces llegan primero cargos de prueba de pocos euros.
4 . Si hay cargos que no has hecho, presenta denuncia ante la Policía Nacional, la Guardia Civil o la policía autonómica.
5 . Sigue las instrucciones del emisor para sustituir la tarjeta y reclamar las operaciones no autorizadas.
6 . Guarda las pruebas: recibos, dirección del cajero, fecha y hora, y los identificadores de las operaciones que no reconoces.
¿Hay que sustituir una tarjeta copiada? Si tienes motivos para pensar que copiaron sus datos, sí. Congelarla detiene los pagos nuevos mientras lo compruebas, pero los datos copiados siguen sirviendo hasta que cambia el número, y una tarjeta nueva con otro número deja el clon sin valor.
El tiempo también cuenta. La normativa europea de servicios de pago te obliga a comunicar las operaciones no autorizadas sin demora indebida y fija un plazo máximo de 13 meses desde el cargo, pero el Banco de España recomienda avisar lo antes posible. El Tribunal de Justicia de la UE ha precisado que respetar los 13 meses no basta si, una vez detectado el cargo, tardas sin motivo en comunicarlo. Cada caso se valora por separado y la devolución no es automática.
Puntos clave
- Los skimmers copian la banda; los shimmers graban o retransmiten los datos del chip
- Un cajero de aspecto normal no garantiza nada, así que tapa siempre el PIN
- Al pagar sin contacto, la tarjeta no entra en la ranura
- Si sospechas una copia, bloquea la tarjeta, revisa los movimientos y pide un número nuevo
Protege la tarjeta que llevas encima
Consulta cómo funciona la protección de tarjetas de pago para clientes de Blackcat y qué ajustes puedes gestionar tú mismo.
Preguntas frecuentes
¿Cómo roban los skimmers los datos de la tarjeta y el PIN?
Un lector colocado sobre la ranura o dentro de ella copia los datos de la tarjeta, mientras una cámara oculta o un teclado falso registra el PIN. Con ambos se fabrica una tarjeta falsa para sacar efectivo.
¿Qué señales puedes revisar antes de usar un cajero?
Compara la ranura y el teclado con los del cajero de al lado y busca piezas sueltas, pegamento, restos de cinta o agujeros diminutos.
¿En qué se diferencia el shimming del skimming clásico de banda magnética?
El skimmer copia la banda; el shimmer se esconde en la ranura y lee el chip. Con esos datos no se puede clonar el chip, pero sí retransmitirlos en directo a otro cajero mientras un cómplice teclea el PIN grabado.
¿Una tarjeta con chip o sin contacto elimina todo riesgo de fraude?
No. Hacen mucho más difícil clonarla, pero los datos de la tarjeta se pueden robar en internet o mediante estafas.
¿Qué debes hacer nada más usar un lector sospechoso?
Avisar a quien gestiona la máquina, bloquear la tarjeta desde la app o en el número oficial del emisor y revisar tus movimientos.
¿Cuándo conviene congelar la tarjeta y contactar con el emisor?
En cuanto sospeches que un dispositivo manipulado la ha leído o veas un cargo que no reconoces. Congelarla tiene vuelta atrás; el retraso, no.
¿Qué datos debes guardar al reclamar un cargo desconocido?
La fecha, el importe, el nombre del comercio y el identificador de la operación, además de dónde y cuándo usaste la tarjeta por última vez en una máquina.
¿Qué es el skimming de tarjetas?
El robo de los datos de una tarjeta mediante un dispositivo oculto en un cajero, un surtidor o un datáfono, normalmente acompañado de una cámara o un teclado falso para capturar el PIN.
