Targetes · Seguretat · rellevat a l'11 de setembre de 2026
Com clonen una targeta a l'Uruguai
I sobretot: quina defensa hi ha de veritat. El lloc ja publica qui paga quan ja va passar. Aquesta pàgina és abans, amb una pregunta que ningú té contestada en un quadre: quins controls et dóna el teu emissor — si avisa per cada compra, si l'apagues des de l'app, si pots baixar el topall del canal per on entra el frau.
La troballa que ordena tot: el que es roba gairebé mai és la targeta, és el número, i viatja sense. Per això el control que més serveix no es guarda a la cartera.
- Gairebé mai no et clonen el xip: s'emporten el número, el venciment i el codi, i compren per internet. Tot el que facis amb el plàstic a la mà protegeix el cas que menys passa.
- Vaig engegar l'avís per cada compra abans que res. És gratis a gairebé tots els emissors —a BROU també, encara que hagi circulat el contrari— i és l'únic que t'assabenta mentre passa, no al tancament del mes.
- La targeta no pot sortir de la teva vista, i menys si és American Express: aquí el codi va al capdavant i una sola foto arriba.
Un fil de r/uruguai de setembre de 2026: algú demanarà la primera targeta de crèdit, llegeix els casos de clonació del propi sub i pregunta tres coses concretes. Com les clonen? Li van filtrar els sistemes al banc? ¿Serveix posar-li cinta negra a dalt dels números? I una quarta, que és la que més circula: la targeta no té Apple Pay, això ho deixa exposat? Totes quatre estan contestades aquí a baix, amb la font de cada afirmació al costat.
I una segona volta: aquesta pàgina es va publicar a aquest fil, i el que va tornar va ser una correcció. El titular anterior deia que l'avís per compra del BROU era pagament i l'autor del fil va contestar que el banc l'avisa per cada compra sense cobrar-li res. Tenia raó pel que importa. Està corregit a dalt i la discussió sencera -vuit afirmacions, cadascuna contra la font que la confirma o la desmenteix- està més avall.
Com passa, ordenat per quant passa
La columna que decideix és la segona: què necessita qui ho fa. Si el que necessita són dades i no el plàstic, aleshores res del que facis amb la teva cartera física ho frena. Aquest és el cas dels dos primers, i són els dos que explica la gent aquí.
Necessita: El número, el venciment i els tres dígits del revers. La targeta no se'n va enlloc.
La targeta surt de la teva vista uns segons —se la porten a la caixa, al fons, darrere d'una vidriera— i això arriba per anotar o fotografiar les dues cares. Després les compres entren per internet, on el plàstic no cal. Als relats locals la despesa apareix en compres web de comerços grans i en apps de delivery, no en un POS. Quant ha de durar aquesta distracció depèn de la marca: a Visa i Mastercard calen les dues cares, a American Express no, perquè el codi de seguretat són quatre dígits impresos al capdavant, a dalt del número.
El frena
- Que la targeta no surti de la vostra vista: el POS s'acosta a la targeta, no al revés.
- Un número que no serveixi per a una segona compra: targeta virtual o prepaga amb saldo acotat per a internet.
- L?avís per cada compra, que és el que converteix tres dies de despesa en deu minuts.
No ho frena, encara que es digui
- Tapar els últims quatre dígits amb cinta: el que copia té la targeta a la mà.
- La cartera amb bloqueig RFID: aquí ningú va llegir el xip.
Necessita: Les mateixes dades, però les lliura un tercer: el comerç, l'app on va quedar la targeta guardada, o la llista que es ven després.
La targeta mai no es va tocar: apareix gastada una que està guardada en un calaix o que només es va fer servir per a una subscripció. És el cas que desarma la teoria del contactless, perquè no hi va haver contacte amb res.
El frena
- No deixeu la targeta principal desada a cada lloc: un número diferent per subscripció, si l'emissor ho dóna.
- Reviseu el resum amb l'avís arrestat, no a final de mes.
- Pagar això d'internet des d'una prepaga que carreguis al moment.
No ho frena, encara que es digui
- Canviar de plàstic sense canviar on està desat el número.
- Qualsevol cosa que protegeixis a la teva cartera física.
Necessita: Que us passis el codi d'un sol ús que t'arriba al mòbil, o la clau.
Amb aquest codi s'autentica una compra o s'habilita l'accés. És l'únic vector on l'autenticació funciona perfecte i el resultat és igual dolent, perquè el segon factor el va entregar el titular. El BCU el posa primer a la llista de recomanacions, i té conseqüència concreta: una compra autenticada així és la més difícil de desconèixer després.
El frena
- Tallar i trucar-vos al número imprès a la targeta. Cap emissor no demana per telèfon el codi que t'acaba d'arribar.
- Saber per endavant que aquest codi és la signatura: si ho dictes, vas signar.
No ho frena, encara que es digui
- Tindre la targeta guardada, virtual o tokenitzada: el problema no és el plàstic.
- Que el número de qui truca sembli el del banc.
Necessita: El plàstic a la mà. Només, mentre cada compra quedi per sota de la suma que no demana PIN.
No és clonació: és la targeta, funcionant. Importa perquè la suma sense PIN està publicat i gairebé ningú ho sap: a la MI BROU, les compres menors a $ 2.000 (o U$S 50) en modalitat sense contacte no demanen el PIN; a la Targeta Jove, menors a $ 1.500 (o U$S 30). Diverses compres noies seguides no demanen res.
El frena
- Bloquejar des de lapp al minut, no anar a la sucursal a laltre dia.
- L'avís per cada compra: és l'únic que us avisa mentre passa.
- Tenir a la targeta del dia a dia saldo acotat, i no el compte sencer.
No ho frena, encara que es digui
- El PIN: per sota aquesta suma no es demana.
- La signatura al dors.
Necessita: Passar la banda per un lector adulterat i després un plàstic en blanc.
És el clonatge en sentit literal: la banda és un arxiu estàtic i copiar-lo arriba per refer la targeta. Per això sobreviu on encara s'accepta banda -caixers vells, comerços de l'exterior- i per això els relats de clonació "presencial" solen venir d'un viatge. El xip no es copia així: respon cada compra amb un criptograma diferent, i el número que va fer servir ahir no serveix avui.
El frena
- Pagar amb xip o sense contacte sempre que el comerç ho permeti.
- Avisar el viatge abans de sortir, perquè l'emissor talli allò que vingui d'una altra banda.
No ho frena, encara que es digui
- Demanar una targeta vella "perquè la d'abans era més segura": la d'abans és justament la que es copia.
Necessita: Un lector a centímetres de la targeta, ia més a més un sistema que accepti una compra sense criptograma vàlid.
Podeu llegir el número i el venciment d'algunes targetes sense contacte. El que no s'obté és el codi del dors ni un criptograma reutilitzable, que és el que verifica l'emissor a cada compra. Per això serveix -si serveix- per al mateix que una foto de la targeta: comprar per internet. No per fabricar una còpia que funcioni en un POS.
El frena
- El mateix que frena les compres per internet: número virtual, saldo fitat, avís per compra.
No ho frena, encara que es digui
- Res que tingui a veure amb la cartera: el problema no és la lectura, és l'ús del número després.
Quin control et dóna cada emissor
9 emissors uruguaians, 5 controls, tot contrastat contra la pàgina del propi emissor el 11 de setembre de 2026. «Sense publicar» no és «no en té»: és que l'emissor no ho documenta, i aquí una casella no s'omple amb l'app d'un altre país ni amb allò que compta un usuari. La puntuació mesura el que s'ha publicat, i per això es mostra al costat quantes caselles van quedar en blanc.
| Emissor | Avís per cada compra | Bloqueig i desbloqueig a l'app | Límits per canal | Número virtual | Bitlletera (Apple/Google Pay) | Puntuació |
|---|---|---|---|---|---|---|
| emissora de diners electrònics | sí | sí | sí | sense publicar | sí | 851 sense publicar |
| administradora de crèdit | sí | sí | parcial | parcial | sí | 83tot publicat |
| banc | sí | sí | parcial | sense publicar | sí | 751 sense publicar |
| emissora de diners electrònics | sí | sí | parcial | sense publicar | sí | 751 sense publicar |
| emissora de diners electrònics | sí | sense publicar | parcial | sí | parcial | 601 sense publicar |
| banc | sí | sí | sense publicar | sense publicar | parcial | 602 sense publicar |
| banc | parcial | sí | sense publicar | sense publicar | sí | 502 sense publicar |
| banc | parcial | parcial | parcial | sense publicar | parcial | 431 sense publicar |
| banc | sense publicar | sí | sense publicar | sense publicar | sí | 353 sense publicar |
Toqueu el nom d'un emissor per veure què diu exactament cada casella i la font.
El que circula, i el que fa
Cada resposta porta el mecanisme endavant, perquè no serveix sense explicació s'oblida. I cap acaba en «no facis res»: si la por és raonable, hi ha un control que sí que aplica.
El que van discutir al fil
Aquesta pàgina es va publicar al fil que li va donar origen i va tornar amb correccions. Van totes, incloses les que ens van deixar mal aturats, de manera que diu la font al costat. «No ho vam poder verificar» també és un resultat: que alguna cosa no es pugui contrastar no ho torna fals, i esborrar-ho seria pitjor que publicar-ho amb aquesta etiqueta.
«Ara el BROU està enviant notificacions amb cada compra.» I un segon usuari: «no només dèbit, a mi em notifica l?app totes les compres, dèbit o crèdit, targeta principal i extensió».
Ho diu el mateix BROU i és gratis: la bústia d'eBROU i el push de l'App eBROU avisen per cada compra presencial sense PIN, per cada compra no presencial sense segon factor i per tota compra rebutjada, aconseguint Crèdit, Dèbit i Prepaga, pròpies i addicionals. Aquesta pàgina titulava abans que «l'alerta del BROU és paga» i l'enquadrament estava malament: el pagament és el SMS, que afegeix les compres autenticades amb PIN o amb Visa Secure/MCIDcheck. Corregit l'11/9/2026, que va sortir d'aquesta secció.
«Al BROU es paga la notificació per cel·lular, però és gratis la notificació per mail.»
Està girat. El canal gratuït al mòbil existeix i és el push de l'App eBROU; el correu electrònic no figura a la lletra del servei, que nomena dos canals i cap és mail: «rebis una notificació de la transacció a la bústia d'eBROU (aplica per a versió web i per a App) i alhora una PUSH al mòbil». Si t'arriben correus igual, és una cosa que BROU no documenta i per això aquí no s'explica.
«No crec que una targeta en si sigui més clonable que una altra, o sigui la tecnologia que usen és la mateixa.» Va ser el comentari més votat del fil.
Del plàstic cap a dins té raó: el xip EMV és el mateix en totes i cap no es duplica llegint-la. El que canvia no és la targeta, és l'emissor —què t'avisa, què pots bloquejar sol, quin topall pots baixar—, i això és tot el quadre de dalt. L?única diferència física que trobem és de marca i no de banc: l?American Express porta el codi de seguretat al capdavant, així que una foto d?una sola cara arriba.
«L'Amex té tots els codis del mateix costat de la targeta. Amb això te la clonen fent-te una foto al costat teu.»
American Express ho publica: «El Codi de Seguretat de les Targetes American Express es troba al capdavant de la targeta, té 4 dígits i està ubicat sobre el número de targeta». És el disseny de la marca a tot el món, no una decisió de l'emissor local. A Uruguai les Amex les emet Scotiabank.
«L'Amex no es pot fer servir per contacte, només per xip o banda.»
Depèn del producte, i al principal no és així: la fitxa de la Targeta American Express de Scotiabank llista «Pagaments sense contactes» entre les seves característiques. La de Gavines American Express no ho esmenta, així que l'observació pot ser certa per a una targeta concreta; com a afirmació general sobre la marca, la fitxa de l'emissor la contradiu.
«OCA, almenys amb la Blue, no et deixa augmentar el límit d'ús diari. Em van fer anar com 3 vegades i no ho vaig poder fer.»
Coincideix amb el publicat: la cartilla de OCA Blue fixa un límit diari de compres locals i internacionals de $ 20.000 i U$S 500, i OCA no documenta cap via per moure'l des de l'app ni des del meu compte. L'augment de límit que sí que està documentat és el del límit de crèdit de la targeta de crèdit, transitori per 60 dies: una altra cosa. Pel titular que vol gastar més és una molèstia; per a aquesta pàgina és un sostre que acota quant es pot gastar en un dia amb un número robat, i per això la casella de límits va passar de «sense publicar» a «parcial».
«Prex és del pitjor. Les clonen i fan estafes cada estona, fins al punt que si fes una transferència mitjana gran a Prex des d'un banc et demanen algun tipus de confirmació.»
La freqüència no es pot contrastar: no hi ha estadística pública de frau per emissor a Uruguai, i tampoc no trobem publicat el requisit extra de confirmació per transferir a Prex. El que sí que està documentat és d'un altre tipus: els casos de premsa són preses de compte per phishing —a un exedil li van treure US$ 3.000 en tres transferències de Prex a Prex—, no còpies del plàstic. Importa perquè la defensa és diferent: aquí no el frena el límit ni la cartera, el frena no lliurar l'accés.
«Potser amb el BROU és més tràngol resoldre'l; amb altres bancs la dónes de baixa per telèfon i t'envien la nova.»
És la dimensió que aquest quadre no mesura i no pot mesurar amb allò publicat: cap emissor uruguaià diu en quant de temps reposa el plàstic, ni si el tràmit de desconeixement es fa per l'app o en una sucursal. Queda anotat entre els buits, no disfressat de casella.
Si ja va passar: la primera hora
El detall legal —què t'han de tornar, amb l'article al costat— és a Em van estafar. Aquí només va l'ordre, perquè l'ordre canvia el resultat: hi ha un instant que parteix la responsabilitat en dos.
Bloqueja, pel canal més ràpid que tinguis
L'app si el teu emissor en té per això; si no, el telèfon. L'instant de l'avís és el que parteix la responsabilitat en dos segons la Llei 19.731: el posterior ho paga l'emissor llevat que provi que vas ser vós.
Vaig demanar la constància del bloqueig amb hora
És el document que fixa aquest instant. Sense ell, la discussió sobre quina compra va entrar abans i què després la guanya qui tingui el registre, i aquest és l?emissor.
Vaig desconèixer cada compra per escrit, una per una
Pel canal que deixi rastre (l'app, el formulari, el correu del banc). L'emissor té 15 dies correguts per contestar-te, i el reclam escrit és el que fa córrer aquest termini.
Vaig fer la denúncia, encara que la llei no te l'exigeixi per cobrar
Diversos emissors la demanen com a condició de tràmit: Santander diu que fins que no la facis t'identifica com a titular responsable de les compres. La llei no posa aquest requisit per als casos en què l'emissor respon, però la denúncia treu al tràmit l'excusa més fàcil. Els delictes informàtics es denuncien a delitosinformaticos@policia.gub.uy o al 152 2296, i hi ha denúncia en línia del Ministeri de l'Interior.
Tancarà la porta per on va entrar
El plàstic nou no arregla res si el número vell va quedar guardat a les subscripcions de sempre. Canvia el número a cada servei i, si el teu emissor ho permet, deixa per això un número que no sigui el de la teva targeta principal.
El que no sabem
Una pàgina de seguretat que no publica els seus buits està venent una sensació de cobertura que no en té.
Preguntes freqüents
- Serveix tapar els números a la targeta amb cinta negra?
- No. Qui copia les dades en un taulell té la targeta a la mà i la cinta s'aixeca; ia la resta dels casos el número no surt del teu plàstic sinó d'un comerç on va quedar guardat. A més et deixa sense el codi que et demanen a vós a les compres legítimes i pot donar falles de lectura. Si el que t'incomoda és el número a la vista, hi ha emissors que ja ho van resoldre: la prepaga de Mercado Pago s'emet sense dades impreses.
- Com clonen les targetes a l'Uruguai?
- Als relats locals, gairebé sempre sense clonar res: s'emporten el número, el venciment i els tres dígits del dors —copiats en un taulell o filtrats des d'un comerç on la targeta va quedar guardada— i compren per internet, on el plàstic no cal. La còpia literal, la de la banda magnètica, sobreviu sobretot en viatges. El xip no es duplica així: respon cada compra amb un criptograma diferent.
- No serà que els sistemes van filtrar-los al banc?
- És l'explicació més repetida i la que té menys suport: cap dels casos locals identifica una filtració de l'emissor, i diversos s'expliquen amb un número que va quedar guardat en un comerç. La diferència és pràctica: si el problema fora del banc no hi hauria res a fer del teu costat, i sí que n'hi ha.
- El meu banc no té Apple Pay. Estic més exposat?
- Una mica, i menys del que sembla. La cartera evita lliurar el número al comerç en la compra presencial, que és justament el canal que menys apareix al frau local. BROU té Google Pay; el buit és iPhone. Pesa més tenir avís per cada compra i bloqueig des de l'app que tenir cartera: amb aquests dos, t'assabentaràs mentre passa i el talles al minut.
- El sense contacte és més arriscat que ficar la targeta?
- No per la lectura, sí per la suma. Llegir el xip a distància no permet fabricar una còpia que funcioni. El que sí que importa és que per sota d'una certa suma no es demana PIN: a la MI BROU, $ 2.000 o U$S 50; a la Targeta Jove, $ 1.500 o U$S 30. Si et roben la targeta, això és el que es pot gastar sense saber res teu, diverses vegades.
- És la meva primera targeta de crèdit. Què configuro el primer dia?
- Tres coses, en aquest ordre: l'avís per cada compra (si el teu emissor només ho dóna pagament, sap-ho abans de decidir), el bloqueig i desbloqueig des de l'app, i el topall més baix que aguants per a compres per internet. Després, si hi ha cartera, carrega-la. I deixa la targeta principal fora de les subscripcions si tens un número alternatiu.
- Convé pagar amb dèbit o amb crèdit per estar més cobert?
- La llei uruguaiana no els distingeix: la Llei 19.731 posa el dèbit, el crèdit i els diners electrònics al mateix peu. La diferència és de caixa, no de dret: en dèbit la plata ja va sortir del teu compte mentre es resol el reclam, i en crèdit es discuteix sobre un saldo que encara no vas pagar. Per això, per a internet, una prepaga que carreguis al moment acota el mal millor que qualsevol de les dues.
- El BROU m'avisa de cada compra o cal pagar per això?
- T'avisa gratis, i més del que acostuma a creure's. Sense contractar res arriben a la bústia d'eBROU i com a push a l'App eBROU les compres presencials que no van demanar PIN, les d'internet sense segon factor i totes les rebutjades, en crèdit, dèbit i prepaga, incloses les dels teus addicionals. El que afegeix el servei pagament de SMS —75 $ + IVA per 25 missatges al mes— són justament les compres autenticades amb el teu PIN o amb Visa Secure / MCIDcheck. Perquè el push arribi cal habilitar-lo una vegada: App eBROU › Informació Personal › Configura dispositius push. El dèbit Mestre queda fora del servei gratuït.
- Hi ha targetes més clonables que altres? La BROU Recompensa és insegura?
- El plàstic no: el xip EMV és el mateix a totes i cap es duplica llegint-la. El que canvia és l'emissor —si t'avisa per cada compra, si la bloquegessis i desbloquejaràs sol, quin topall pots baixar— i això és el que compara el quadre de dalt. L'única diferència física que trobem és de marca: l'American Express porta el codi de seguretat al capdavant, així que arriba a una foto d'una sola cara. Que una targeta aparegui més als relats sol dir quanta gent la fa servir, no com de fràgil és.