Difícil de detectar y muy preocupante: ¿qué es el “shimming”, la nueva estafa con tarjetas bancarias?

Un método perverso que puede volverte paranoico. El sitio web Signal Arnaques, que enumera estafas y guía a las víctimas para obtener una compensación, emitió una advertencia el viernes sobre el "shimming". Este fraude permite a los hackers secuestrar datos bancarios y robar cuentas sin que sus víctimas se den cuenta. El modus operandi, las precauciones a tomar... Lo analizamos.

"El principio es colocar un dispositivo en un lector de tarjetas (por ejemplo en un cajero automático o en una gasolinera) que registra los datos de todas las tarjetas que pasan por él", explica Signal Arnaques en su mensaje difundido en X.

Este pequeño dispositivo electrónico, llamado "shimmer", puede insertarse en cualquier lector de tarjetas de crédito. Según la Alianza Nacional de Ciberseguridad , se inserta en la ranura de la tarjeta con chip. Transmite toda la información bancaria a un hacker remoto. Si un cliente introduce el PIN de su tarjeta de crédito en una máquina trampa, los delincuentes también tendrán acceso a él, además de a su información bancaria.

Una vez obtenida la información, los hackers cuentan con todos los elementos necesarios para vaciar las cuentas bancarias de sus víctimas. Como revelamos el 19 de junio , los estafadores lograron extraer grandes sumas de dinero de Madrid y Barcelona tras colocar "brillantes" en los terminales de una gasolinera en Vitry-sur-Seine (Val-de-Marne).

Tras arrestar a los cuatro sospechosos en Essonne unos días después, los investigadores realizaron varios registros. Encontraron material de calce y poco menos de 9.000 € en efectivo, lo que confirmó sus sospechas.

El skimming es una estafa similar que ha estado en el punto de mira de las autoridades durante varios años. «La diferencia es mínima: mientras que el skimming registra datos mediante la banda magnética de la tarjeta, el shimming utiliza el chip de la tarjeta», explica Signal Arnaques.

Esta es la complejidad de esta estafa: las víctimas no pueden realmente anticiparla. Dado que el "brillo" es prácticamente indetectable, es imposible saber si la terminal de pago, sea cual sea, ha sido manipulada por un hacker.

"La única forma real de evitar ser víctima es supervisar sus cuentas e informar a su banco sobre cualquier actividad inusual", aconseja Signal Arnaques. "Luego, deberá recibir el reembolso de acuerdo con el Código Monetario y Financiero".

Al otro lado del Atlántico, la Alianza Nacional de Ciberseguridad afirma que el pago sin contacto, o el pago a través de la billetera digital de un teléfono inteligente, ayuda a evitar que las personas sean víctimas de este fraude.

Según la fiscalía de París, la gasolinera de Vitry-sur-Seine podría no haber sido el único objetivo de estos estafadores. Dado que el equipo es móvil, otras gasolineras y cajeros automáticos en Francia podrían haber estado equipados con los mismos dispositivos. Una fuente policial nos informó el 19 de junio que se estaban evaluando los daños.

En 2023, el shimming representó, según datos del Observatorio de Seguridad de Pagos, una pérdida financiera estimada de 36.000 € en Francia. Esta cantidad es inferior a la del año anterior, cuando se malversaron casi 50.000 €.