Tarjetas · Seguridad · relevado al 11 de setiembre de 2026
Cómo clonan una tarjeta en Uruguay
Y sobre todo: qué defensa existe de verdad. El sitio ya publica quién paga cuando ya pasó. Esta página es lo de antes, con una pregunta que nadie tiene contestada en un cuadro: qué controles te da tu emisor — si avisa por cada compra, si la apagás desde la app, si podés bajar el tope del canal por el que entra el fraude.
El hallazgo que ordena todo: lo que se roba casi nunca es la tarjeta, es el número, y viaja sin ella. Por eso el control que más sirve no se guarda en la billetera.
- Casi nunca te clonan el chip: se llevan el número, el vencimiento y el código, y compran por internet. Todo lo que hagas con el plástico en la mano protege el caso que menos pasa.
- Prendé el aviso por cada compra antes que nada. Es gratis en casi todos los emisores —en BROU también, aunque haya circulado lo contrario— y es lo único que te entera mientras pasa, no al cierre del mes.
- La tarjeta no puede salir de tu vista, y menos si es American Express: ahí el código va al frente y una sola foto alcanza.
Un hilo de r/uruguay de setiembre de 2026: alguien va a pedir su primera tarjeta de crédito, lee los casos de clonación del propio sub y pregunta tres cosas concretas. ¿Cómo las clonan? ¿Le filtraron los sistemas al banco? ¿Sirve ponerle cinta negra arriba de los números? Y una cuarta, que es la que más circula: su tarjeta no tiene Apple Pay, ¿eso lo deja expuesto? Las cuatro están contestadas acá abajo, con la fuente de cada afirmación al lado.
Y una segunda vuelta: esta página se publicó en ese hilo, y lo que volvió fue una corrección. El titular anterior decía que el aviso por compra del BROU era pago y el autor del hilo contestó que su banco le avisa por cada compra sin cobrarle nada. Tenía razón en lo que importa. Está corregido arriba y la discusión entera —ocho afirmaciones, cada una contra la fuente que la confirma o la desmiente— está más abajo.
Cómo pasa, ordenado por cuánto pasa
La columna que decide es la segunda: qué necesita quien lo hace. Si lo que necesita son datos y no el plástico, entonces nada de lo que hagas con tu billetera física lo frena. Ese es el caso de los dos primeros, y son los dos que cuenta la gente acá.
Necesita: El número, el vencimiento y los tres dígitos del dorso. La tarjeta no se va a ningún lado.
La tarjeta sale de tu vista unos segundos —se la llevan a la caja, al fondo, detrás de una vidriera— y eso alcanza para anotar o fotografiar las dos caras. Después las compras entran por internet, donde el plástico no hace falta. En los relatos locales el gasto aparece en compras web de comercios grandes y en apps de delivery, no en un POS. Cuánto tiene que durar ese descuido depende de la marca: en Visa y Mastercard hacen falta las dos caras, en American Express no, porque el código de seguridad son cuatro dígitos impresos al frente, arriba del número.
Lo frena
- Que la tarjeta no salga de tu vista: el POS se acerca a la tarjeta, no al revés.
- Un número que no sirva para una segunda compra: tarjeta virtual o prepaga con saldo acotado para lo de internet.
- El aviso por cada compra, que es lo que convierte tres días de gasto en diez minutos.
No lo frena, aunque se diga
- Tapar los últimos cuatro dígitos con cinta: el que copia tiene la tarjeta en la mano.
- La billetera con bloqueo RFID: acá nadie leyó el chip.
Necesita: Los mismos datos, pero los entrega un tercero: el comercio, la app donde quedó la tarjeta guardada, o la lista que se vende después.
La tarjeta nunca se tocó: aparece gastada una que está guardada en un cajón o que sólo se usó para una suscripción. Es el caso que desarma la teoría del contactless, porque no hubo contacto con nada.
Lo frena
- No dejar la tarjeta principal guardada en cada sitio: un número distinto por suscripción, si el emisor lo da.
- Revisar el resumen con el aviso prendido, no a fin de mes.
- Pagar lo de internet desde una prepaga que cargás al momento.
No lo frena, aunque se diga
- Cambiar de plástico sin cambiar dónde está guardado el número.
- Cualquier cosa que protejas en tu billetera física.
Necesita: Que vos le pases el código de un solo uso que te llega al celular, o la clave.
Con ese código se autentica una compra o se habilita el acceso. Es el único vector donde la autenticación funciona perfecto y el resultado igual es malo, porque el segundo factor lo entregó el titular. El BCU lo pone primero en su lista de recomendaciones, y tiene consecuencia concreta: una compra autenticada así es la más difícil de desconocer después.
Lo frena
- Cortar y llamar vos al número impreso en la tarjeta. Ningún emisor pide por teléfono el código que te acaba de llegar.
- Saber de antemano que ese código es la firma: si lo dictás, firmaste.
No lo frena, aunque se diga
- Tener la tarjeta guardada, virtual o tokenizada: el problema no es el plástico.
- Que el número de quien llama parezca el del banco.
Necesita: El plástico en la mano. Nada más, mientras cada compra quede por debajo del monto que no pide PIN.
No es clonación: es tu tarjeta, funcionando. Importa porque el monto sin PIN está publicado y casi nadie lo sabe: en la MI BROU, las compras menores a $ 2.000 (o U$S 50) en modalidad sin contacto no piden el PIN; en la Tarjeta Joven, menores a $ 1.500 (o U$S 30). Varias compras chicas seguidas no piden nada.
Lo frena
- Bloquear desde la app en el minuto, no ir a la sucursal al otro día.
- El aviso por cada compra: es lo único que te avisa mientras pasa.
- Tener en la tarjeta del día a día saldo acotado, y no la cuenta entera.
No lo frena, aunque se diga
- El PIN: por debajo de ese monto no se pide.
- La firma en el dorso.
Necesita: Pasar la banda por un lector adulterado, y después un plástico en blanco.
Es la clonación en sentido literal: la banda es un archivo estático y copiarlo alcanza para rehacer la tarjeta. Por eso sobrevive donde todavía se acepta banda —cajeros viejos, comercios del exterior— y por eso los relatos de clonación "presencial" suelen venir de un viaje. El chip no se copia así: responde cada compra con un criptograma distinto, y el número que usó ayer no sirve hoy.
Lo frena
- Pagar con chip o sin contacto siempre que el comercio lo permita.
- Avisar el viaje antes de salir, para que el emisor corte lo que venga de otro lado.
No lo frena, aunque se diga
- Pedir una tarjeta vieja "porque la de antes era más segura": la de antes es justamente la que se copia.
Necesita: Un lector a centímetros de la tarjeta, y además un sistema que acepte una compra sin criptograma válido.
Se puede leer el número y el vencimiento de algunas tarjetas sin contacto. Lo que no se obtiene es el código del dorso ni un criptograma reutilizable, que es lo que el emisor verifica en cada compra. Por eso sirve —si sirve— para lo mismo que una foto de la tarjeta: comprar por internet. No para fabricar una copia que funcione en un POS.
Lo frena
- Lo mismo que frena las compras por internet: número virtual, saldo acotado, aviso por compra.
No lo frena, aunque se diga
- Nada que tenga que ver con la billetera: el problema no es la lectura, es el uso del número después.
Qué control te da cada emisor
9 emisores uruguayos, 5 controles, todo contrastado contra la página del propio emisor el 11 de setiembre de 2026. «Sin publicar» no es «no tiene»: es que el emisor no lo documenta, y acá una casilla no se rellena con la app de otro país ni con lo que cuenta un usuario. El puntaje mide lo publicado, y por eso se muestra al lado cuántas casillas quedaron en blanco.
| Emisor | Aviso por cada compra | Bloqueo y desbloqueo en la app | Límites por canal | Número virtual | Billetera (Apple/Google Pay) | Puntaje |
|---|---|---|---|---|---|---|
| emisora de dinero electrónico | sí | sí | sí | sin publicar | sí | 851 sin publicar |
| administradora de crédito | sí | sí | parcial | parcial | sí | 83todo publicado |
| banco | sí | sí | parcial | sin publicar | sí | 751 sin publicar |
| emisora de dinero electrónico | sí | sí | parcial | sin publicar | sí | 751 sin publicar |
| emisora de dinero electrónico | sí | sin publicar | parcial | sí | parcial | 601 sin publicar |
| banco | sí | sí | sin publicar | sin publicar | parcial | 602 sin publicar |
| banco | parcial | sí | sin publicar | sin publicar | sí | 502 sin publicar |
| banco | parcial | parcial | parcial | sin publicar | parcial | 431 sin publicar |
| banco | sin publicar | sí | sin publicar | sin publicar | sí | 353 sin publicar |
Tocá el nombre de un emisor para ver qué dice exactamente cada casilla y su fuente.
Lo que circula, y lo que hace
Cada respuesta trae el mecanismo adelante, porque «no sirve» sin explicación se olvida. Y ninguna termina en «no hagas nada»: si el miedo es razonable, hay un control que sí aplica.
Lo que discutieron en el hilo
Esta página se publicó en el hilo que le dio origen y volvió con correcciones. Van todas, incluidas las que nos dejaron mal parados, con lo que dice la fuente al lado. «No lo pudimos verificar» también es un resultado: que algo no se pueda contrastar no lo vuelve falso, y borrarlo sería peor que publicarlo con esa etiqueta.
«Ahora el BROU anda mandando notificaciones con cada compra.» Y un segundo usuario: «no sólo débito, a mí me notifica la app todas las compras, débito o crédito, tarjeta principal y extensión».
Lo dice el propio BROU y es gratis: el buzón de eBROU y el push de la App eBROU avisan por cada compra presencial sin PIN, por cada compra no presencial sin segundo factor y por toda compra rechazada, alcanzando Crédito, Débito y Prepaga, propias y de adicionales. Esta página titulaba antes que «la alerta del BROU es paga» y el encuadre estaba mal: lo pago es el SMS, que agrega las compras autenticadas con PIN o con Visa Secure / MCIDcheck. Corregido el 11/9/2026, que es de donde salió esta sección.
«En el BROU es paga la notificación por celular, pero es gratis la notificación por mail.»
Está dado vuelta. El canal gratuito al celular existe y es el push de la App eBROU; el correo electrónico no figura en la letra del servicio, que nombra dos canales y ninguno es mail: «recibas una notificación de la transacción en el buzón de eBROU (aplica para versión Web y para App) y a su vez una PUSH en el celular». Si te llegan correos igual, es algo que BROU no documenta y por eso acá no se cuenta.
«No creo que una tarjeta en sí sea más clonable que otra, o sea la tecnología que usan es la misma.» Fue el comentario más votado del hilo.
Del plástico para adentro tiene razón: el chip EMV es el mismo en todas y ninguna se duplica leyéndola. Lo que cambia no es la tarjeta, es el emisor —qué te avisa, qué podés bloquear solo, qué tope podés bajar—, y eso es todo el cuadro de arriba. La única diferencia física que encontramos es de marca y no de banco: la American Express trae el código de seguridad al frente, así que una foto de una sola cara alcanza.
«La Amex tiene todos los códigos del mismo lado de la tarjeta. Con eso te la clonan sacándote una foto al lado tuyo.»
American Express lo publica: «El Código de Seguridad de las Tarjetas American Express se encuentra al frente de la tarjeta, tiene 4 dígitos y está ubicado sobre el Número de Tarjeta». Es el diseño de la marca en todo el mundo, no una decisión del emisor local. En Uruguay las Amex las emite Scotiabank.
«La Amex no se puede usar por contacto, sólo por chip o banda.»
Depende del producto, y en el principal no es así: la ficha de la Tarjeta American Express de Scotiabank lista «Pagos sin contactos» entre sus características. La de Gaviotas American Express no lo menciona, así que la observación puede ser cierta para una tarjeta concreta; como afirmación general sobre la marca, la propia ficha del emisor la contradice.
«OCA, al menos con la Blue, no te deja aumentar el tope de uso diario. Me hicieron ir como 3 veces y no pude hacerlo.»
Coincide con lo publicado: la cartilla de OCA Blue fija un tope diario de compras locales e internacionales de $ 20.000 y U$S 500, y OCA no documenta ninguna vía para moverlo desde la app ni desde Mi Cuenta. El «aumento de límite» que sí está documentado es el del límite de crédito de la tarjeta de crédito, transitorio por 60 días: otra cosa. Para el titular que quiere gastar más es una molestia; para esta página es un techo que acota cuánto se puede gastar en un día con un número robado, y por eso la casilla de límites pasó de «sin publicar» a «parcial».
«Prex es de lo peor. Las clonan y hacen estafas a cada rato, al punto que si hacés una transferencia media grande a Prex desde un banco te piden algún tipo de confirmación.»
La frecuencia no se puede contrastar: no hay estadística pública de fraude por emisor en Uruguay, y tampoco encontramos publicado el requisito extra de confirmación para transferir a Prex. Lo que sí está documentado es de otro tipo: los casos de prensa son tomas de cuenta por phishing —a un exedil le sacaron US$ 3.000 en tres transferencias de Prex a Prex—, no copias del plástico. Importa porque la defensa es distinta: ahí no lo frena el tope ni la billetera, lo frena no entregar el acceso.
«Quizás con el BROU sea más tranza resolverlo; con otros bancos la das de baja por teléfono y te mandan la nueva.»
Es la dimensión que este cuadro no mide y no puede medir con lo publicado: ningún emisor uruguayo dice en cuánto tiempo repone el plástico, ni si el trámite de desconocimiento se hace por la app o en una sucursal. Queda anotado entre los huecos, no disfrazado de casilla.
Si ya pasó: la primera hora
El detalle legal —qué te deben devolver, con el artículo al lado— está en Me estafaron. Acá va sólo el orden, porque el orden cambia el resultado: hay un instante que parte la responsabilidad en dos.
Bloqueá, por el canal más rápido que tengas
La app si tu emisor la tiene para eso; si no, el teléfono. El instante del aviso es el que parte la responsabilidad en dos según la Ley 19.731: lo posterior lo paga el emisor salvo que pruebe que fuiste vos.
Pedí la constancia del bloqueo con hora
Es el documento que fija ese instante. Sin él, la discusión sobre qué compra entró antes y qué después la gana quien tenga el registro, y ese es el emisor.
Desconocé cada compra por escrito, una por una
Por el canal que deje rastro (la app, el formulario, el correo del banco). El emisor tiene 15 días corridos para contestarte, y el reclamo escrito es lo que hace correr ese plazo.
Hacé la denuncia, aunque la ley no te la exija para cobrar
Varios emisores la piden como condición de trámite: Santander dice que hasta que no la hagas te identifica como titular responsable de las compras. La ley no pone ese requisito para los casos en que el emisor responde, pero la denuncia le saca al trámite la excusa más fácil. Los delitos informáticos se denuncian en delitosinformaticos@policia.gub.uy o al 152 2296, y hay denuncia en línea del Ministerio del Interior.
Cerrá la puerta por donde entró
El plástico nuevo no arregla nada si el número viejo quedó guardado en las suscripciones de siempre. Cambiá el número en cada servicio y, si tu emisor lo permite, dejá para eso un número que no sea el de tu tarjeta principal.
Lo que no sabemos
Una página de seguridad que no publica sus huecos está vendiendo una sensación de cobertura que no tiene.
Preguntas frecuentes
- ¿Sirve taparle los números a la tarjeta con cinta negra?
- No. Quien copia los datos en un mostrador tiene la tarjeta en la mano y la cinta se levanta; y en el resto de los casos el número no sale de tu plástico sino de un comercio donde quedó guardado. Además te deja sin el código que te piden a vos en las compras legítimas y puede dar fallas de lectura. Si lo que te incomoda es el número a la vista, hay emisores que ya lo resolvieron: la prepaga de Mercado Pago se emite sin datos impresos.
- ¿Cómo clonan las tarjetas en Uruguay?
- En los relatos locales, casi siempre sin clonar nada: se llevan el número, el vencimiento y los tres dígitos del dorso —copiados en un mostrador o filtrados desde un comercio donde la tarjeta quedó guardada— y compran por internet, donde el plástico no hace falta. La copia literal, la de la banda magnética, sobrevive sobre todo en viajes. El chip no se duplica así: responde cada compra con un criptograma distinto.
- ¿No será que le filtraron los sistemas al banco?
- Es la explicación más repetida y la que menos respaldo tiene: ninguno de los casos locales identifica una filtración del emisor, y varios se explican con un número que quedó guardado en un comercio. La diferencia es práctica: si el problema fuera del banco no habría nada que hacer de tu lado, y sí lo hay.
- Mi banco no tiene Apple Pay. ¿Estoy más expuesto?
- Un poco, y menos de lo que parece. La billetera evita entregarle el número al comercio en la compra presencial, que es justamente el canal que menos aparece en el fraude local. BROU tiene Google Pay; el hueco es iPhone. Pesa más tener aviso por cada compra y bloqueo desde la app que tener billetera: con esos dos, te enterás mientras pasa y lo cortás en el minuto.
- ¿El sin contacto es más riesgoso que meter la tarjeta?
- No por la lectura, sí por el monto. Leer el chip a distancia no permite fabricar una copia que funcione. Lo que sí importa es que por debajo de cierto monto no se pide PIN: en la MI BROU, $ 2.000 o U$S 50; en la Tarjeta Joven, $ 1.500 o U$S 30. Si te roban la tarjeta, eso es lo que se puede gastar sin saber nada tuyo, varias veces.
- Es mi primera tarjeta de crédito. ¿Qué configuro el primer día?
- Tres cosas, en este orden: el aviso por cada compra (si tu emisor sólo lo da pago, sabelo antes de decidir), el bloqueo y desbloqueo desde la app, y el tope más bajo que aguantes para compras por internet. Después, si hay billetera, cargala. Y dejá la tarjeta principal fuera de las suscripciones si tenés un número alternativo.
- ¿Conviene pagar con débito o con crédito para estar más cubierto?
- La ley uruguaya no los distingue: la Ley 19.731 pone al débito, al crédito y al dinero electrónico en el mismo pie. La diferencia es de caja, no de derecho: en débito la plata ya salió de tu cuenta mientras se resuelve el reclamo, y en crédito se discute sobre un saldo que todavía no pagaste. Por eso, para internet, una prepaga que cargás al momento acota el daño mejor que cualquiera de las dos.
- ¿El BROU me avisa de cada compra o hay que pagar por eso?
- Te avisa gratis, y más de lo que suele creerse. Sin contratar nada llegan al buzón de eBROU y como push a la App eBROU las compras presenciales que no pidieron PIN, las de internet sin segundo factor y todas las rechazadas, en crédito, débito y prepaga, incluidas las de tus adicionales. Lo que agrega el servicio pago de SMS —$ 75 + IVA por 25 mensajes al mes— son justamente las compras autenticadas con tu PIN o con Visa Secure / MCIDcheck. Para que el push llegue hay que habilitarlo una vez: App eBROU › Información Personal › Configurar dispositivos push. El débito Maestro queda afuera del servicio gratuito.
- ¿Hay tarjetas más clonables que otras? ¿La BROU Recompensa es insegura?
- El plástico no: el chip EMV es el mismo en todas y ninguna se duplica leyéndola. Lo que cambia es el emisor —si te avisa por cada compra, si la bloqueás y desbloqueás solo, qué tope podés bajar— y eso es lo que compara el cuadro de arriba. La única diferencia física que encontramos es de marca: la American Express lleva el código de seguridad al frente, así que le alcanza una foto de una sola cara. Que una tarjeta aparezca más en los relatos suele decir cuánta gente la usa, no cuán frágil es.