Cómo funciona el RFID skimming en el punto de venta: mitos y amenazas reales

El RFID skimming existe, pero el robo a distancia de tarjetas sin contacto es más mito que realidad: las tarjetas están cifradas y los verdaderos riesgos llegan por skimmers físicos en terminales, cajeros y bombas de gasolina. Aquí te explico cómo opera cada método y cómo protegerte al pagar.

¿Qué es el RFID skimming y en qué se diferencia del skimming de tarjetas?

El RFID skimming consiste en usar un lector portátil para escanear sin contacto las señales de tarjetas, billeteras digitales y teléfonos con NFC, con la idea de robar datos. El skimming de tarjetas es otra cosa: hablamos de un dispositivo camuflado que se coloca en cajeros automáticos, terminales punto de venta (POS) o bombas de gasolina para capturar la banda magnética cuando el cliente desliza o inserta su plástico. Ahora, ¿qué tan real es el riesgo de que lean tu tarjeta a distancia? Los expertos del Roy Howard Community Journalism Center señalaron en julio de 2025 que las tarjetas sin contacto están cifradas y no son vulnerables al escaneo de largo alcance. O sea, la amenaza de verdad está en el hardware físico que alguien instala, no en el aire.

El skimming de tarjetas casi siempre viene acompañado de cámaras escondidas o teclados superpuestos que graban el PIN. Ya con los datos de la banda magnética y el PIN, los delincuentes clonan el plástico y lo usan para compras o retiros que el dueño nunca autorizó. Según el FBI, estos dispositivos se instalan de manera ilegal en cajeros automáticos, terminales punto de venta y bombas de combustible, y su meta es justamente esa: capturar los datos y los PINs de los tarjetahabientes. El skimming pasa por cuatro fases: conseguir el dispositivo, instalarlo, capturar los datos y darles uso fraudulento. Lo loco es que la instalación puede tomar apenas unos segundos, y muchas veces el delincuente distrae al empleado para poder colocarlo sin que nadie se dé cuenta.

¿Cómo instalan los criminales skimmers en las terminales punto de venta?

En el punto de venta, lo más común es que estos dispositivos sean superposiciones colocadas sobre la terminal, con capacidad para transmitir datos de forma inalámbrica. Los grupos criminales se aprovechan de momentos de descuido: cuando el cajero se distrae, durante un cambio de turno o fingiendo una visita técnica que nadie anunció, y en cuestión de segundos dejan el aditamento instalado. Hay equipos que guardan la información para descargarla más tarde, pero otros la envían en tiempo real a un dispositivo que está cerca. Por eso conviene que los comercios hagan varias revisiones: confirmar que el número de serie de la terminal coincida con el que tienen registrado, revisar los cables y buscar sellos de seguridad dañados o que hayan sido reemplazados.

Un blanco recurrente son las tarjetas EBT, que desde al menos 2021 han sido objetivo clave de las bandas porque en buena medida no tienen chip. MidSouth Community Federal Credit Union explicó en diciembre de 2024 que esa falta de chip facilita el compromiso y el retiro de los beneficios. En una terminal POS, el skimmer captura la banda magnética y, con apoyo de una cámara o un teclado sobrepuesto, obtiene el PIN. Con ambos datos, el delincuente puede clonar la tarjeta y disponer del saldo antes de que el titular lo note.

¿De verdad los escáneres RFID pueden leer tarjetas a distancia?

No, eso no pasa. La idea de que un escáner RFID puede sacar los datos de tu tarjeta a 15 o 20 pies (más o menos 4.5 a 6 metros) es sencillamente falsa. Las tarjetas sin contacto manejan su información cifrada, no la andan transmitiendo abierta por ahí, y hasta ahora no existe ninguna evidencia seria de que alguien haya robado datos así a esa distancia. De hecho, la mayoría de los skimmers RFID apenas alcanzan unas 19 pulgadas, o sea unos 50 centímetros. Y ya en la vida real la cosa se complica todavía más: el cuerpo, la ropa, la cartera y el ruido electromagnético del entorno hacen que una captura a larga distancia sea prácticamente imposible, según los expertos que consultó el Roy Howard Community Journalism Center en julio de 2025.

Para entender bien cuál es el alcance real de esto, vale la pena detenerse un momento en las frecuencias y los rangos de lectura que maneja la tecnología RFID. En la siguiente tabla se resumen los parámetros comparables entre los distintos tipos de etiquetas y lectores, tomando como base las especificaciones técnicas que difunden fabricantes como atlasRFIDstore y ButterflyMX.

Si nos fijamos en la tabla, queda bastante claro que las etiquetas pasivas funcionan con la energía que les manda el lector, y que el alcance cambia según el tipo de etiqueta, la potencia del lector, la antena y hasta el entorno donde estén. Un lector activo sí puede llegar a cientos de pies, o incluso a 1,500 pies si le pones un repetidor de señal, pero ojo: eso es para etiquetas activas que traen su propia batería, no para las tarjetas bancarias sin contacto que uno carga en la cartera. Entonces, la idea del «carterista electrónico» que te clona la tarjeta desde varios metros simplemente no se sostiene cuando la revisas técnicamente.

¿Cuáles son los riesgos reales del RFID skimming al pagar?

Más que preocuparte por que alguien te escanee la tarjeta desde el otro lado del pasillo, el verdadero problema está en que un skimmer físico capture tu banda magnética y tu PIN en una terminal manipulada. Gorilla Technology calculó en marzo de 2025 que el skimming RFID les cuesta a las instituciones financieras y a los consumidores más de 1,000 millones de dólares al año tan solo en Estados Unidos. Y no es cosa menor: según el Orion Policy Institute, en abril de 2025 FICO reportó un alza de 452% en los puntos de compromiso entre 2021 y 2022, lo que deja ver que la actividad fraudulenta creció bastante en ese periodo.

Las tarjetas con chip son bastante más seguras que la banda magnética, eso ni quién lo discuta. Pero ojo: los datos de la banda que todavía vienen impresos en el reverso de esas tarjetas siguen siendo vulnerables si alguien alcanza a capturarlos. Y ahí no acaba la cosa. Las tarjetas EBT, al no tener chip, son mucho más fáciles de comprometer y de convertir en efectivo, y para colmo sus titulares cuentan con protecciones limitadas si los comparas con los de tarjetas de crédito y débito. Ahora, ¿qué tan probable es que te toque? La verdad es que la probabilidad de ser blanco es baja, aunque las consecuencias pueden ser serias. El riesgo sube en lugares concurridos como centros comerciales, aeropuertos y nodos de transporte.

¿Cómo pueden protegerse consumidores y comercios del skimming?

Para el consumidor, la primera defensa es la inspección física. Revisa cajeros, terminales y lectores en busca de piezas flojas, torcidas, dañadas o rayadas; jala los bordes del teclado; cubre el teclado al ingresar tu PIN y usa la tarjeta con chip o el pago sin contacto cuando esté disponible. Evita las tarjetas de débito vinculadas a varias cuentas, monitorea tus estados de cuenta y, si detectas cargos extraños, congela la tarjeta y avisa a tu banco de inmediato. En las bombas de gasolina, elige la más cercana a la tienda y a la vista del despachador, pasa la débito como crédito y, de ser posible, paga dentro del establecimiento.

Los comercios deben confirmar que el número de serie de la terminal coincida con el registrado, buscar cambios extraños, sellos de seguridad dañados o cables reemplazados, y desconfiar de visitas de servicio no anunciadas. También conviene capacitar al personal y usar sistemas POS cifrados. Para los titulares de EBT, la recomendación es nunca compartir el PIN, verificar cualquier mensaje con la agencia estatal de beneficios y usar solo las líneas oficiales de consulta de saldo. Un reembolso por beneficios robados puede tardar semanas o no cubrirse por completo, así que la prevención pesa más que la recuperación.

¿Qué papel juegan los productos de bloqueo RFID?

Las carteras, fundas y tarjetas con bloqueo RFID crean una barrera que impide que las señales del escáner lleguen al chip. Sin embargo, los expertos coinciden en que la amenaza del RFID de largo alcance está enormemente exagerada: la tecnología existe, pero las condiciones reales dificultan copiar datos de forma ilegítima. Por eso estos productos son una capa extra opcional, no una necesidad. Si te da tranquilidad llevar la cartera blindada, adelante, pero no sustituye las buenas prácticas: revisar la terminal, cubrir el PIN y monitorear tus cuentas.

También vale la pena distinguir entre el skimming RFID y el fraude sin presencia de tarjeta (card-not-present). Los datos robados por un lector o un skimmer pueden usarse después para compras en línea, donde el comercio no ve el plástico. En México, como en el resto de la región, el uso de billeteras digitales como Apple Pay y Google Pay añade una capa de tokenización que reduce la exposición de los datos reales. Aun así, la disciplina al pagar y la revisión constante de movimientos siguen siendo la defensa más confiable.

¿Qué obligaciones y límites legales rodean el skimming?

El skimming se considera una forma de fraude informático y robo bajo el título 18 del Código de Estados Unidos, sección 1030. En el caso de las tarjetas EBT, los titulares podrían no recibir reembolso total o parcial por los beneficios perdidos a manos de criminales, y el proceso de reposición puede tardar semanas. Esa asimetría explica por qué las autoridades y las instituciones financieras insisten en la prevención y en la denuncia temprana. Las normas de seguridad de la industria, como las del PCI Security Standards Council, también empujan a los comercios a proteger las terminales y a cifrar los datos en el punto de venta.

¿Cómo identificar una terminal manipulada antes de pagar?

Una terminal manipulada suele delatarse por detalles: piezas que no embonan, teclados que se levantan con facilidad, sellos de seguridad rotos o cables que no corresponden al equipo original. Antes de insertar tu tarjeta, compara la terminal con otras del mismo comercio y observa si hay cámaras pequeñas o aditamentos pegados. Si algo te parece raro, paga en efectivo o acude a otra caja. En cajeros automáticos, revisa el lector de tarjetas y el teclado; si el plástico se siente flojo o hay un borde adicional, no lo uses y reporta el hallazgo al banco.

La instalación de un skimmer toma segundos, así que la vigilancia del personal también cuenta. Los comercios pueden establecer un protocolo de revisión al inicio y al final de cada turno, y los clientes pueden preferir terminales atendidas por un empleado antes que equipos desatendidos en zonas de poco tráfico. Ninguna medida es infalible, pero la combinación de inspección visual, pago con chip y monitoreo de estados de cuenta reduce de forma significativa la exposición al fraude.

¿Vale la pena preocuparse por el RFID skimming en la vida diaria?

La respuesta corta es sí, pero con proporción. El RFID skimming es real como método, aunque el robo a larga distancia carece de sustento y las tarjetas sin contacto están cifradas. Lo que sí ocurre con frecuencia son los skimmers físicos en terminales, cajeros y bombas, y ahí es donde conviene concentrar la atención. Mantener hábitos simples —revisar el equipo, cubrir el PIN, usar chip o pago sin contacto y revisar movimientos— protege más que cualquier gadget. La conciencia tranquila viene de la rutina, no del miedo.

Este artículo es informativo y no constituye asesoría financiera ni de inversión. Las cifras citadas provienen de fuentes como el FBI, FICO, el Orion Policy Institute, Gorilla Technology, MidSouth Community Federal Credit Union y el Roy Howard Community Journalism Center, y corresponden a los periodos indicados en cada caso.

Preguntas frecuentes sobre el RFID skimming en el punto de venta

¿Es cierto que pueden clonar mi tarjeta con un escáner RFID a varios metros de distancia?

No. Los expertos señalan que las tarjetas sin contacto están cifradas y no transmiten información sensible de forma abierta. Los escáneres RFID no pueden leer los datos completos de la tarjeta a 15 o 20 pies, y no hay evidencia creíble de ese tipo de robos. La mayoría de los skimmers leen hasta unas 19 pulgadas, y las condiciones reales dificultan la captura a distancia.

¿Cuál es la diferencia entre un skimmer de tarjetas y el RFID skimming?

Un skimmer de tarjetas es un dispositivo oculto que se instala en cajeros, terminales POS o bombas para capturar la banda magnética, a menudo con cámaras o teclados superpuestos para grabar el PIN. El RFID skimming usa un lector portátil para escanear señales de tarjetas sin contacto, pero como están cifradas, no son vulnerables al escaneo de largo alcance.

¿Cómo puedo protegerme del skimming en una terminal punto de venta?

Revisa la terminal en busca de piezas flojas, torcidas, dañadas o rayadas. Jala los bordes del teclado y cubre el teclado al ingresar tu PIN. Usa tarjeta con chip o pago sin contacto cuando esté disponible, evita tarjetas de débito vinculadas a varias cuentas y monitorea tus estados de cuenta para detectar cargos no autorizados a tiempo.

¿Son necesarias las carteras con bloqueo RFID para evitar el RFID skimming?

Las carteras, fundas y tarjetas con bloqueo RFID pueden bloquear las señales de los escáneres, pero los expertos dicen que la amenaza del RFID de largo alcance está enormemente exagerada. La tecnología existe, aunque las condiciones reales dificultan copiar datos de forma ilegítima. Son una capa extra opcional, no una necesidad para la mayoría de las personas.

¿Vale la pena comprar una cartera con bloqueo RFID?

Puede ser una capa extra de tranquilidad, pero no es indispensable. Los expertos coinciden en que la amenaza del RFID de largo alcance está muy exagerada y que las tarjetas sin contacto están cifradas. Es más importante revisar la terminal, cubrir el PIN y monitorear tus cuentas que depender solo de un producto de bloqueo.