In breve
- La clonazione è la copia dei dati della tua carta per usarli senza il tuo consenso: può avvenire fisicamente (skimming su ATM e POS) o digitalmente (dati rubati online).
- Lo skimming copia la banda magnetica con un lettore nascosto e ruba il PIN con una microcamera o una tastiera finta; il chip EMV e l'autenticazione forte rendono la copia quasi inutile in Europa.
- Il contactless non trasmette il PIN né il CVV e genera codici monouso: la paura del «furto in metropolitana» è molto sovrastimata.
- Oggi la clonazione più frequente è quella digitale: numero, scadenza e CVV sottratti da siti violati o da moduli di phishing e usati per acquisti online.
- Le difese efficaci sono poche e semplici: notifiche istantanee, blocco selettivo di prelievi e operazioni all'estero, carte virtuali per gli acquisti online e controllo regolare dei movimenti. Se succede, la legge limita la perdita a un massimo di 50 euro prima della segnalazione.
Che cosa si intende per clonazione della carta
La clonazione della carta è la copia dei dati necessari a eseguire un pagamento o un prelievo al posto tuo. A seconda di quali dati vengono copiati e come, si parla di:
- clonazione fisica: i dati della banda magnetica vengono letti da un dispositivo nascosto (skimmer) e trasferiti su una carta bianca, usata poi agli sportelli o nei negozi;
- clonazione digitale: numero a 16 cifre, scadenza e codice CVV vengono sottratti da un sito violato, da un modulo di phishing o da un software malevolo, e usati per acquisti online o per aggiungere la carta a un wallet sul telefono del truffatore.
Le due forme hanno difese diverse. La prima è stata resa marginale in Europa dal chip e dall'obbligo del PIN; la seconda è oggi la principale fonte di operazioni non autorizzate ed è contrastata dall'autenticazione forte del cliente (SCA) e dalle carte virtuali. Capire quale delle due ti riguarda evita di preoccuparsi delle cose sbagliate.
Come funziona lo skimming agli ATM e ai POS
Lo skimming funziona con due componenti: un lettore che copia la banda magnetica quando inserisci la carta e un sistema che cattura il PIN. Il lettore, lo skimmer, è una sagoma applicata sopra la fessura dell'ATM, spesso ben imitata nel colore e nella forma; in alcuni casi è inserito all'interno della fessura (deep insert skimmer) e non si vede. Il PIN viene rubato con una microcamera nascosta in un pannello sopra la tastiera o con una tastiera finta sovrapposta a quella vera, che registra i tasti premuti e li inoltra.
Con i due elementi il truffatore ha quello che serve per una carta bianca con banda magnetica e PIN, da usare per prelevare in Paesi dove gli sportelli accettano ancora la sola banda. Perché proprio all'estero? Perché in Europa quasi tutti gli ATM e i POS richiedono il chip, e la copia della banda non contiene il chip.
Sui POS lo skimming è più raro ma esiste: un terminale manomesso in un esercizio compiacente, o un lettore portatile usato da un dipendente infedele quando la carta esce dalla tua vista. Anche qui la banda magnetica è l'obiettivo, perché il chip non si copia.
Come riconoscere un ATM manomesso
Prima di inserire la carta, dedica cinque secondi a un controllo che, con un po' di abitudine, diventa automatico. Questi sono i segnali più comuni.
| Elemento da controllare | Segnale sospetto | Cosa fare |
|---|---|---|
| Fessura della carta | Sporge, ha colore o materiale diverso, si muove se tirata | Non usare lo sportello e segnalalo alla banca |
| Tastiera | Più spessa o rialzata rispetto alla cornice, tasti «molli» | Non digitare il PIN |
| Pannello sopra lo schermo o sopra la tastiera | Elementi aggiunti, forellini, adesivi non uniformi | Sospetta una microcamera: cambia sportello |
| Luci e guide della fessura | Spente o coperte quando dovrebbero lampeggiare | Preferisci un ATM in filiale |
| Persone nelle vicinanze | Qualcuno che «aiuta» o osserva da vicino | Interrompi e vai altrove |
Due regole generali: preferisci gli ATM all'interno delle filiali, più sorvegliati, e copri sempre la tastiera con l'altra mano mentre digiti il PIN, anche se ti sembra eccessivo. La microcamera non vede attraverso la mano.
Perché il chip EMV e il PIN rendono la copia quasi inutile
Il chip EMV rende inutile la copia della banda magnetica perché genera per ogni operazione un codice crittografico unico, calcolato da una chiave che resta dentro il chip e non può essere letta o copiata. Una carta bianca con la sola banda magnetica, presentata a un terminale che richiede il chip, viene rifiutata; e un terminale che accetta la banda «per ripiego» (fallback) segnala comunque all'emittente un'operazione anomala, che i sistemi antifrode tendono a bloccare.
È la ragione per cui in Europa lo skimming classico ha perso molto terreno e sopravvive soprattutto nei flussi verso Paesi con terminali meno aggiornati. Questo non significa che la banda magnetica sia sparita: molte carte la conservano per compatibilità con alcuni mercati, e alcuni provider permettono di disattivarla dall'app quando non serve. Se la tua carta lo consente e non viaggi fuori dall'Europa, è un'opzione da considerare.
Il contactless è un rischio?
Il contactless è un rischio molto più piccolo di quanto la sua fama suggerisca: la comunicazione tra carta e terminale avviene a pochi centimetri, trasmette solo i dati necessari all'operazione (non il PIN, non il CVV) e include un codice monouso che rende inutile qualunque «registrazione». Un lettore nascosto in uno zaino potrebbe, in teoria, tentare un singolo addebito di piccolo importo sotto la soglia del PIN, ma dovrebbe farlo tramite un esercente registrato presso un acquirer, quindi tracciabile, e l'operazione comparirebbe subito nelle notifiche e sarebbe rimborsabile come non autorizzata.
Le custodie schermate non fanno male, ma la protezione più efficace contro un uso improprio del contactless è un'altra: le notifiche in tempo reale e il limite cumulativo oltre il quale la carta chiede comunque il PIN, previsto dai circuiti e dalla normativa sulla SCA. Il tema è approfondito nella guida su 3D Secure e SCA.
La clonazione digitale: dove finiscono davvero i tuoi dati
Oggi la clonazione più frequente non ha bisogno né di ATM né di carte bianche: si basa sul furto di numero, scadenza e CVV e sul loro uso online. Le fonti principali sono tre.
- Violazioni di siti e negozi online. I dati delle carte salvati dai negozi possono essere sottratti in massa e rivenduti. Non dipende da te, ma puoi ridurre l'esposizione non salvando la carta dove non serve e usando carte virtuali.
- Phishing e finti moduli. La finta consegna del pacco che chiede «1,99 euro per la riconsegna» esiste solo per raccogliere numero, scadenza e CVV completi.
- Software malevolo su computer o telefono, che legge quello che digiti o intercetta le pagine dei pagamenti.
Con questi dati il truffatore tenta acquisti su siti che non applicano l'autenticazione forte (per esempio esercenti extra-europei, o operazioni in esenzione), oppure prova ad aggiungere la carta a un wallet: per questo la conferma dell'aggiunta di una carta a un wallet richiede un passaggio di verifica con l'emittente. Ne parliamo nella guida su Apple Pay e Google Pay.
La difesa strutturale contro la clonazione digitale è la carta virtuale usa e getta, che cambia numero dopo ogni pagamento: i dati sottratti sono già scaduti quando qualcuno prova a riutilizzarli. Tra i prodotti del nostro confronto la carta di debito multivaluta di Revolut la offre esplicitamente, come descritto nella recensione Revolut.
Le abitudini che riducono il rischio quasi a zero
Le abitudini che contano contro la clonazione sono poche, e quasi tutte si impostano una volta sola nell'app del tuo conto.
- Attiva le notifiche istantanee per ogni operazione. È la singola misura più efficace: trasforma una frode scoperta a fine mese in una frode scoperta in dieci secondi.
- Disattiva ciò che non usi. Molte app permettono di spegnere singolarmente prelievi, pagamenti a banda magnetica, pagamenti online e uso all'estero. Se non viaggi, tieni spento l'estero; se non prelevi con la carta di credito, spegni i prelievi.
- Non perdere di vista la carta al ristorante o in negozio: chiedi che il POS ti venga portato o accompagna la carta alla cassa.
- Usa carte diverse per usi diversi. Una carta di debito per i prelievi, una carta virtuale per gli acquisti online, la carta di credito per cauzioni e acquisti importanti. Se una si compromette, le altre continuano a funzionare.
- Controlla i movimenti almeno una volta a settimana e, per la carta di credito, leggi l'estratto conto prima della scadenza: con l'addebito differito le spese non «pesano» subito sul saldo ed è facile non accorgersi di piccoli importi di prova.
- Non salvare la carta sui siti che usi una volta sola, e preferisci i wallet quando disponibili: il negozio non riceve mai il tuo numero reale.
Per i prelievi all'estero valgono in più le regole della guida su come prelevare contanti all'estero: sportelli in filiale, mai di notte in luoghi isolati, e rifiuto della conversione dinamica proposta dall'ATM.
Cosa fare se la carta è stata clonata
Se scopri un'operazione che non riconosci, la sequenza è la stessa di ogni frode: blocca la carta dall'app, segnala l'operazione all'emittente senza indugio, presenta denuncia e compila il disconoscimento. La procedura di blocco e la guida al rimborso descrivono i passaggi nel dettaglio; qui contano tre precisazioni specifiche della clonazione.
La carta è ancora in tasca. Dillo subito e scrivilo nel disconoscimento: un'operazione eseguita con la carta fisica in un luogo dove tu non eri, mentre la carta era con te, è la prova tipica della clonazione ed è un elemento decisivo a tuo favore.
La franchigia di 50 euro. La normativa europea sui servizi di pagamento (PSD2) prevede che, per le operazioni non autorizzate avvenute prima della tua segnalazione, tu possa sopportare al massimo 50 euro, e nulla per quelle successive, salvo dolo o colpa grave. Nella clonazione la colpa grave è difficile da sostenere contro il cliente, a meno che il PIN fosse scritto sulla carta o comunicato a qualcuno.
Il chargeback non c'entra. Non serve contattare l'esercente presso cui la copia è stata usata: la contestazione va all'emittente come operazione non autorizzata, e sarà lui a gestire il recupero attraverso il circuito.
Con la carta di credito c'è un vantaggio pratico: l'operazione clonata intacca il plafond ma non è ancora stata addebitata sul conto, e se la segnali prima della chiusura dell'estratto conto viene spesso stornata senza che tu debba anticipare nulla. La carta sostitutiva, in molti prodotti, è gratuita: la carta di credito TF Mastercard Gold di TF Bank, per esempio, indica a 0 euro sia il blocco della carta sia la carta sostitutiva, come riportato nella recensione TF Bank.
Conclusione
La clonazione della carta è un rischio reale ma molto più gestibile di dieci anni fa: il chip e il PIN hanno reso quasi inutile lo skimming classico in Europa, il contactless è più sicuro di quanto sembri, e l'autenticazione forte ha ridotto l'uso dei dati rubati online. Quello che resta è soprattutto la clonazione digitale, contro cui le difese sono le carte virtuali, la prudenza con i moduli sospetti e le notifiche istantanee. Se nonostante tutto succede, la legge è chiara: blocco, segnalazione senza indugio, denuncia, e una perdita massima di 50 euro a tuo carico per quanto avvenuto prima della segnalazione. Le condizioni di blocco e sostituzione di ciascuna carta vanno verificate sul sito ufficiale del provider, ma le abitudini descritte qui valgono per qualunque carta tu abbia in tasca.
I limiti senza PIN e le protezioni del pagamento a sfioramento sono spiegati nella guida sui pagamenti contactless.