Carta clonata: come riconoscere lo skimming e cosa fare dopo

Che cos’è lo skimming

Lo skimming è il modo più conosciuto per clonare una carta: un dispositivo nascosto legge i dati della carta mentre la usi in uno sportello automatico, in una colonnina di benzina self service o in un terminale di pagamento. La macchina continua a funzionare, il prelievo o il pagamento va a buon fine e i dati vengono copiati di passaggio.

Quasi sempre il sistema ha due parti. Una legge la carta, ed è il cosiddetto skimmer. L’altra serve a scoprire il PIN. La Polizia Postale, nella pagina di consigli su carte di credito e bancomat, spiega che lo skimmer di solito viene nascosto nella fessura dove si inserisce la carta, che una tastiera del tutto simile all’originale può essere sovrapposta per leggere il PIN e che il codice può essere ripreso anche da microtelecamere nascoste in punti strategici dello sportello.

Uno sportello o una colonnina sono macchine pubbliche che chi le usa non può aprire né controllare dentro. Non accorgersi di un dispositivo non dice niente su chi ha usato la macchina. La responsabilità della clonazione è di chi ha montato il dispositivo. Il controllo descritto qui sotto vale la pena perché costa pochi secondi, non perché saltarlo renda qualcuno responsabile di un reato.

Cosa controllare allo sportello prima di inserire la carta

Allo sportello automatico il controllo riguarda tre punti: la fessura della carta, la tastiera e tutto quello che sembra appoggiato o incollato invece che costruito insieme alla macchina. La pagina della Polizia Postale su come bloccare la carta e cosa fare prima di usare uno sportello descrive proprio questi passi.

1. Guarda lo sportello nel suo insieme. Cerca modifiche o parti strane, per esempio una microtelecamera sopra la tastiera o di lato, puntata su quello che digiti.
2. Tocca la bocca della fessura. Deve essere ben fissa. Se si muove o addirittura si stacca, la Polizia spiega che è stata coperta da uno skimmer.
3. Controlla la tastiera. Anche lei deve essere ben fissa. Una tastiera finta sovrapposta a quella vera lascia spesso un gradino di un paio di millimetri sul bordo.
4. Copri il PIN con il palmo dell’altra mano. Così una telecamera non lo riprende. Non serve contro una tastiera finta, ed è per questo che la tastiera va guardata a parte.
5. Nel dubbio, non usare quello sportello. Non inserire la carta e non digitare il PIN. Allontanati e avvisa le forze dell’ordine o la banca che gestisce lo sportello.

Quando puoi, scegli uno sportello dentro la filiale o in una zona ben visibile. Montare un dispositivo richiede tempo e tranquillità, quindi uno sportello isolato è più facile da manomettere senza essere visti.

Alla colonnina di benzina self service

Le colonnine self service sono un altro posto dove i dispositivi vengono montati, perché restano spesso senza nessuno intorno, soprattutto di notte. Il controllo è lo stesso dello sportello: il lettore della carta e la tastiera devono essere fissi e non devono avere parti che sporgono, si muovono o sembrano aggiunte.

• Confronta la colonnina con quella accanto. I dispositivi di solito vengono montati su una o due colonnine, non su tutte. Un lettore o una tastiera diversi da quelli vicini meritano una seconda occhiata.
• Guarda se ci sono pannelli forzati, segni di colla, nastro adesivo o graffi intorno al lettore.
• Se il distributore ha un gestore presente, pagare alla cassa è un’alternativa semplice quando qualcosa non ti convince.

Se trovi qualcosa di strano, non provare a staccarlo. Avvisa il gestore e le forze dell’ordine. Il dispositivo è una prova, e tirarlo via può distruggere quello che serve a chi indaga.

Perché il bersaglio è la banda magnetica

La banda magnetica contiene gli stessi dati ogni volta che viene letta, ed è questo che rende utile una copia. Un pagamento con chip o contactless produce invece un valore legato a quella singola operazione, quindi registrarlo serve molto meno per farne un altro. La Banca d’Italia, nella pagina sulla carta di credito, ricorda che le carte hanno microchip e banda magnetica e che la banda viene usata sempre meno.

Per questo, quando puoi, usa il chip o il pagamento contactless invece di strisciare la carta. Il contactless ha un suo limite da conoscere: la Banca d’Italia spiega nella pagina Pagamenti in sicurezza che senza PIN si pagano somme fino a 50 euro, per un massimo di 5 pagamenti consecutivi o fino a 150 euro di spesa, e consiglia di tenere una certa distanza dalle altre persone nei luoghi affollati.

I dati della carta da soli sono un problema. I dati della carta insieme al PIN sono un problema più grande, perché con il PIN si può prelevare contante dal conto. È il motivo per cui il PIN va coperto sempre, anche quando lo sportello sembra a posto.

Cosa fare se pensi che la carta sia stata clonata

Blocca la carta prima di qualunque altra cosa. Chiama il numero che trovi sul retro della carta, nell’app della banca che hai già installato o sull’estratto conto, oppure usa la funzione di blocco dentro l’app. Non usare numeri arrivati per SMS, email o telefonata.

1. Blocca la carta e chiedine una nuova. Indica le operazioni che non riconosci con data e importo.
2. Disconosci le operazioni. È la parola che usano le banche: dichiari che quei pagamenti non li hai fatti tu e chiedi il rimborso. Fatti dare un numero di pratica.
3. Rileggi gli ultimi estratti conto riga per riga. Un addebito piccolo da un esercente sconosciuto può essere una prova fatta prima di un addebito più grande. Segnala anche quello.
4. Se il PIN è stato digitato su uno sportello sospetto, consideralo conosciuto da altri.
5. Attiva le notifiche in tempo reale, come spiegato nella guida all’home banking sicuro.
6. Conserva tutto: date, orari, nomi, numeri di pratica e copia di quello che hai mandato.

La denuncia alle forze dell’ordine aiuta a combattere le truffe, ma la Banca d’Italia chiarisce, nella pagina sulle operazioni di pagamento non autorizzate, che la banca non può pretendere la denuncia per avviare la pratica di rimborso, anche se può chiederla più avanti. Prima il blocco e il disconoscimento, poi la denuncia.

Se gli addebiti riguardano il conto e non solo la carta, per esempio bonifici che non hai fatto o accessi strani all’home banking, segui la guida su cosa fare con un conto hackerato.

Il rimborso: cosa dice la legge in Italia

In Italia le regole sono quelle dei servizi di pagamento, il decreto legislativo 11/2010, e valgono per le carte di debito, di credito e prepagate. La Banca d’Italia spiega che per un’operazione non autorizzata la banca deve rimborsare immediatamente e comunque entro la fine della giornata operativa successiva a quella in cui ne viene a conoscenza, rimettendo il conto nello stato in cui sarebbe stato senza l’addebito.

Ci sono dei limiti da conoscere. Il rimborso può essere negato se la banca prova che il cliente ha agito con dolo o con colpa grave, cioè con una grave imprudenza nella custodia della carta o dei codici. La stessa pagina precisa che la semplice presenza dell’autenticazione forte non basta, da sola, per dire che c’è stata colpa grave. La contestazione va fatta il prima possibile e comunque entro 13 mesi dall’addebito.

Poi c’è la franchigia. La Banca d’Italia spiega in Pagamenti in sicurezza che il cliente può dover pagare al massimo 50 euro per le operazioni non autorizzate fatte prima di comunicare alla banca il furto o lo smarrimento. Serve a spingere tutti a bloccare subito la carta.

Come accorgersi presto di una carta clonata

I dati copiati spesso vengono usati settimane dopo, a volte venduti prima di essere usati, quindi tra lo sportello e il primo addebito può passare molto tempo. Accorgersene presto dipende da due cose: un avviso che ti arriva da solo e l’abitudine di leggere i movimenti.

Attiva le notifiche in tempo reale dei pagamenti e dei prelievi nell’app della banca o della carta, con la soglia più bassa che la banca permette. La Banca d’Italia lo consiglia nella pagina sulla carta di credito, e la Polizia Postale suggerisce il servizio di avviso via SMS dove è disponibile. La Banca d’Italia avverte che l’SMS alert può essere a pagamento: le notifiche dentro l’app di solito sono un’alternativa.

Poi guarda i movimenti con un ritmo fisso, una volta a settimana va bene per la maggior parte delle persone. Cerca nomi di esercenti che non conosci, importi piccoli di prova e prelievi in posti dove non sei stato. Usare una carta per benzina e negozi e un’altra per gli addebiti ricorrenti rende anche più facile bloccare quella colpita senza fermare tutto il resto.

Denuncia, smarrimento e dispositivo trovato

Se la carta è stata clonata, la denuncia si presenta agli uffici della Polizia di Stato o dei Carabinieri. Il portale della Polizia descritto nella pagina Denuncia per reati telematici permette una pre-denuncia online per alcuni reati, tra cui l’indebito utilizzo di carte di credito e di pagamento, ma per ora solo in alcune sedi in fase di sperimentazione, e va poi formalizzata di persona.

Se invece la carta l’hai persa, lo stesso portale permette in tutta Italia di segnalare online lo smarrimento del bancomat e della carta di credito, con accesso tramite SPID o CIE e verbale disponibile entro 96 ore, senza andare in un ufficio. Blocca comunque la carta prima.

Se hai trovato un dispositivo su uno sportello o su una colonnina, non toccarlo. Avvisa la banca che gestisce lo sportello o il gestore del distributore, che possono fermare la macchina in pochi minuti, e chiama le forze dell’ordine. Un dispositivo lasciato al suo posto continua a raccogliere i dati di chi usa la macchina dopo di te. Per un pericolo immediato il numero è il 112.

Se la banca rifiuta il rimborso o non risponde, puoi mandare un reclamo scritto, che sui servizi di pagamento ha 15 giorni per la risposta, e poi rivolgerti all’Arbitro Bancario Finanziario entro 12 mesi dal reclamo, con 20 euro di contributo spese e senza avvocato. Come funziona la contestazione passo per passo è spiegato in come contestare un addebito sulla carta.

Domande frequenti sulla carta clonata