Tarjetas · Seguridad · relevado al 10 de setiembre de 2026
Cómo clonan una tarjeta en Uruguay
Y sobre todo: qué defensa existe de verdad. El sitio ya publica quién paga cuando ya pasó. Esta página es lo de antes, con una pregunta que nadie tiene contestada en un cuadro: qué controles te da tu emisor — si avisa por cada compra, si la apagás desde la app, si podés bajar el tope del canal por el que entra el fraude.
El hallazgo que ordena todo: la recomendación 7 del BCU es «establezca alertas para las compras realizadas con sus tarjetas», y en el banco más usado del país esa alerta completa es paga.
Un hilo de r/uruguay de setiembre de 2026: alguien va a pedir su primera tarjeta de crédito, lee los casos de clonación del propio sub y pregunta tres cosas concretas. ¿Cómo las clonan? ¿Le filtraron los sistemas al banco? ¿Sirve ponerle cinta negra arriba de los números? Y una cuarta, que es la que más circula: su tarjeta no tiene Apple Pay, ¿eso lo deja expuesto? Las cuatro están contestadas acá abajo, con la fuente de cada afirmación al lado.
Cómo pasa, ordenado por cuánto pasa
La columna que decide es la segunda: qué necesita quien lo hace. Si lo que necesita son datos y no el plástico, entonces nada de lo que hagas con tu billetera física lo frena. Ese es el caso de los dos primeros, y son los dos que cuenta la gente acá.
Necesita: El número, el vencimiento y los tres dígitos del dorso. La tarjeta no se va a ningún lado.
La tarjeta sale de tu vista unos segundos —se la llevan a la caja, al fondo, detrás de una vidriera— y eso alcanza para anotar o fotografiar las dos caras. Después las compras entran por internet, donde el plástico no hace falta. En los relatos locales el gasto aparece en compras web de comercios grandes y en apps de delivery, no en un POS.
Lo frena
- Que la tarjeta no salga de tu vista: el POS se acerca a la tarjeta, no al revés.
- Un número que no sirva para una segunda compra: tarjeta virtual o prepaga con saldo acotado para lo de internet.
- El aviso por cada compra, que es lo que convierte tres días de gasto en diez minutos.
No lo frena, aunque se diga
- Tapar los últimos cuatro dígitos con cinta: el que copia tiene la tarjeta en la mano.
- La billetera con bloqueo RFID: acá nadie leyó el chip.
Necesita: Los mismos datos, pero los entrega un tercero: el comercio, la app donde quedó la tarjeta guardada, o la lista que se vende después.
La tarjeta nunca se tocó: aparece gastada una que está guardada en un cajón o que sólo se usó para una suscripción. Es el caso que desarma la teoría del contactless, porque no hubo contacto con nada.
Lo frena
- No dejar la tarjeta principal guardada en cada sitio: un número distinto por suscripción, si el emisor lo da.
- Revisar el resumen con el aviso prendido, no a fin de mes.
- Pagar lo de internet desde una prepaga que cargás al momento.
No lo frena, aunque se diga
- Cambiar de plástico sin cambiar dónde está guardado el número.
- Cualquier cosa que protejas en tu billetera física.
Necesita: Que vos le pases el código de un solo uso que te llega al celular, o la clave.
Con ese código se autentica una compra o se habilita el acceso. Es el único vector donde la autenticación funciona perfecto y el resultado igual es malo, porque el segundo factor lo entregó el titular. El BCU lo pone primero en su lista de recomendaciones, y tiene consecuencia concreta: una compra autenticada así es la más difícil de desconocer después.
Lo frena
- Cortar y llamar vos al número impreso en la tarjeta. Ningún emisor pide por teléfono el código que te acaba de llegar.
- Saber de antemano que ese código es la firma: si lo dictás, firmaste.
No lo frena, aunque se diga
- Tener la tarjeta guardada, virtual o tokenizada: el problema no es el plástico.
- Que el número de quien llama parezca el del banco.
Necesita: El plástico en la mano. Nada más, mientras cada compra quede por debajo del monto que no pide PIN.
No es clonación: es tu tarjeta, funcionando. Importa porque el monto sin PIN está publicado y casi nadie lo sabe: en la MI BROU, las compras menores a $ 2.000 (o U$S 50) en modalidad sin contacto no piden el PIN; en la Tarjeta Joven, menores a $ 1.500 (o U$S 30). Varias compras chicas seguidas no piden nada.
Lo frena
- Bloquear desde la app en el minuto, no ir a la sucursal al otro día.
- El aviso por cada compra: es lo único que te avisa mientras pasa.
- Tener en la tarjeta del día a día saldo acotado, y no la cuenta entera.
No lo frena, aunque se diga
- El PIN: por debajo de ese monto no se pide.
- La firma en el dorso.
Necesita: Pasar la banda por un lector adulterado, y después un plástico en blanco.
Es la clonación en sentido literal: la banda es un archivo estático y copiarlo alcanza para rehacer la tarjeta. Por eso sobrevive donde todavía se acepta banda —cajeros viejos, comercios del exterior— y por eso los relatos de clonación "presencial" suelen venir de un viaje. El chip no se copia así: responde cada compra con un criptograma distinto, y el número que usó ayer no sirve hoy.
Lo frena
- Pagar con chip o sin contacto siempre que el comercio lo permita.
- Avisar el viaje antes de salir, para que el emisor corte lo que venga de otro lado.
No lo frena, aunque se diga
- Pedir una tarjeta vieja "porque la de antes era más segura": la de antes es justamente la que se copia.
Necesita: Un lector a centímetros de la tarjeta, y además un sistema que acepte una compra sin criptograma válido.
Se puede leer el número y el vencimiento de algunas tarjetas sin contacto. Lo que no se obtiene es el código del dorso ni un criptograma reutilizable, que es lo que el emisor verifica en cada compra. Por eso sirve —si sirve— para lo mismo que una foto de la tarjeta: comprar por internet. No para fabricar una copia que funcione en un POS.
Lo frena
- Lo mismo que frena las compras por internet: número virtual, saldo acotado, aviso por compra.
No lo frena, aunque se diga
- Nada que tenga que ver con la billetera: el problema no es la lectura, es el uso del número después.
Qué control te da cada emisor
9 emisores uruguayos, 5 controles, todo contrastado contra la página del propio emisor el 10 de setiembre de 2026. «Sin publicar» no es «no tiene»: es que el emisor no lo documenta, y acá una casilla no se rellena con la app de otro país ni con lo que cuenta un usuario. El puntaje mide lo publicado, y por eso se muestra al lado cuántas casillas quedaron en blanco.
| Emisor | Aviso por cada compra | Bloqueo y desbloqueo en la app | Límites por canal | Número virtual | Billetera (Apple/Google Pay) | Puntaje |
|---|---|---|---|---|---|---|
| emisora de dinero electrónico | sí | sí | sí | sin publicar | sí | 851 sin publicar |
| banco | sí | sí | parcial | sin publicar | sí | 751 sin publicar |
| emisora de dinero electrónico | sí | sí | parcial | sin publicar | sí | 751 sin publicar |
| administradora de crédito | sí | sí | sin publicar | parcial | sí | 731 sin publicar |
| emisora de dinero electrónico | sí | sin publicar | parcial | sí | parcial | 601 sin publicar |
| banco | sí | sí | sin publicar | sin publicar | parcial | 602 sin publicar |
| banco | parcial | sí | sin publicar | sin publicar | sí | 502 sin publicar |
| banco | sí, pago | parcial | parcial | sin publicar | parcial | 431 sin publicar |
| banco | sin publicar | sí | sin publicar | sin publicar | sí | 353 sin publicar |
Tocá el nombre de un emisor para ver qué dice exactamente cada casilla y su fuente.
Lo que circula, y lo que hace
Cada respuesta trae el mecanismo adelante, porque «no sirve» sin explicación se olvida. Y ninguna termina en «no hagas nada»: si el miedo es razonable, hay un control que sí aplica.
Si ya pasó: la primera hora
El detalle legal —qué te deben devolver, con el artículo al lado— está en Me estafaron. Acá va sólo el orden, porque el orden cambia el resultado: hay un instante que parte la responsabilidad en dos.
Bloqueá, por el canal más rápido que tengas
La app si tu emisor la tiene para eso; si no, el teléfono. El instante del aviso es el que parte la responsabilidad en dos según la Ley 19.731: lo posterior lo paga el emisor salvo que pruebe que fuiste vos.
Pedí la constancia del bloqueo con hora
Es el documento que fija ese instante. Sin él, la discusión sobre qué compra entró antes y qué después la gana quien tenga el registro, y ese es el emisor.
Desconocé cada compra por escrito, una por una
Por el canal que deje rastro (la app, el formulario, el correo del banco). El emisor tiene 15 días corridos para contestarte, y el reclamo escrito es lo que hace correr ese plazo.
Hacé la denuncia, aunque la ley no te la exija para cobrar
Varios emisores la piden como condición de trámite: Santander dice que hasta que no la hagas te identifica como titular responsable de las compras. La ley no pone ese requisito para los casos en que el emisor responde, pero la denuncia le saca al trámite la excusa más fácil. Los delitos informáticos se denuncian en [email protected] o al 152 2296, y hay denuncia en línea del Ministerio del Interior.
Cerrá la puerta por donde entró
El plástico nuevo no arregla nada si el número viejo quedó guardado en las suscripciones de siempre. Cambiá el número en cada servicio y, si tu emisor lo permite, dejá para eso un número que no sea el de tu tarjeta principal.
Lo que no sabemos
Una página de seguridad que no publica sus huecos está vendiendo una sensación de cobertura que no tiene.
Preguntas frecuentes
- ¿Sirve taparle los números a la tarjeta con cinta negra?
- No. Quien copia los datos en un mostrador tiene la tarjeta en la mano y la cinta se levanta; y en el resto de los casos el número no sale de tu plástico sino de un comercio donde quedó guardado. Además te deja sin el código que te piden a vos en las compras legítimas y puede dar fallas de lectura. Si lo que te incomoda es el número a la vista, hay emisores que ya lo resolvieron: la prepaga de Mercado Pago se emite sin datos impresos.
- ¿Cómo clonan las tarjetas en Uruguay?
- En los relatos locales, casi siempre sin clonar nada: se llevan el número, el vencimiento y los tres dígitos del dorso —copiados en un mostrador o filtrados desde un comercio donde la tarjeta quedó guardada— y compran por internet, donde el plástico no hace falta. La copia literal, la de la banda magnética, sobrevive sobre todo en viajes. El chip no se duplica así: responde cada compra con un criptograma distinto.
- ¿No será que le filtraron los sistemas al banco?
- Es la explicación más repetida y la que menos respaldo tiene: ninguno de los casos locales identifica una filtración del emisor, y varios se explican con un número que quedó guardado en un comercio. La diferencia es práctica: si el problema fuera del banco no habría nada que hacer de tu lado, y sí lo hay.
- Mi banco no tiene Apple Pay. ¿Estoy más expuesto?
- Un poco, y menos de lo que parece. La billetera evita entregarle el número al comercio en la compra presencial, que es justamente el canal que menos aparece en el fraude local. BROU tiene Google Pay; el hueco es iPhone. Pesa más tener aviso por cada compra y bloqueo desde la app que tener billetera: con esos dos, te enterás mientras pasa y lo cortás en el minuto.
- ¿El sin contacto es más riesgoso que meter la tarjeta?
- No por la lectura, sí por el monto. Leer el chip a distancia no permite fabricar una copia que funcione. Lo que sí importa es que por debajo de cierto monto no se pide PIN: en la MI BROU, $ 2.000 o U$S 50; en la Tarjeta Joven, $ 1.500 o U$S 30. Si te roban la tarjeta, eso es lo que se puede gastar sin saber nada tuyo, varias veces.
- Es mi primera tarjeta de crédito. ¿Qué configuro el primer día?
- Tres cosas, en este orden: el aviso por cada compra (si tu emisor sólo lo da pago, sabelo antes de decidir), el bloqueo y desbloqueo desde la app, y el tope más bajo que aguantes para compras por internet. Después, si hay billetera, cargala. Y dejá la tarjeta principal fuera de las suscripciones si tenés un número alternativo.
- ¿Conviene pagar con débito o con crédito para estar más cubierto?
- La ley uruguaya no los distingue: la Ley 19.731 pone al débito, al crédito y al dinero electrónico en el mismo pie. La diferencia es de caja, no de derecho: en débito la plata ya salió de tu cuenta mientras se resuelve el reclamo, y en crédito se discute sobre un saldo que todavía no pagaste. Por eso, para internet, una prepaga que cargás al momento acota el daño mejor que cualquiera de las dos.
- ¿Es normal que me cobren por las alertas de compra?
- Pasa, y es el dato que más sorprende del cuadro. El BCU recomienda establecer alertas para las compras con tarjeta; en BROU la notificación gratuita cubre las compras que no piden PIN y las rechazadas, mientras el servicio que avisa todas las compras cuesta $ 75 + IVA por un paquete de 25 mensajes al mes. Otros emisores las dan configurables sin costo. No es un detalle menor: es la diferencia entre enterarte mientras pasa o al cierre del estado de cuenta.