Si pagas acercando la tarjeta o el móvil al datáfono y te preocupa que alguien te la «clone» en el metro, esta guía separa lo que dicen los datos de lo que circula por WhatsApp. Resumen: el pago sin contacto tiene límites legales que acotan el daño, los datos europeos de fraude apuntan a otros sitios y los riesgos reales pasan casi siempre por engañarte a ti, no por leer tu bolsillo.
Conviene empezar por las cifras, porque el miedo al contactless suele ir por delante de ellas. Según el informe conjunto de la Autoridad Bancaria Europea y el BCE sobre fraude en pagos, publicado en diciembre de 2025, el fraude con tarjetas emitidas en la UE y el EEE sumó 1.300 millones de euros en 2024, un 0,033 % del valor de las operaciones. Y el reparto es elocuente: alrededor del 83 % de ese fraude se produjo en pagos a distancia (internet, teléfono), aunque esos pagos solo suponían en torno al 28 % del valor total con tarjeta.
¿Qué límites tiene un pago sin contacto sin PIN?
El tope es de 50 euros por operación, con un segundo freno acumulado. Lo fija el artículo 11 del Reglamento Delegado (UE) 2018/389, aplicable desde el 14 de septiembre de 2019: el banco puede no pedir autenticación reforzada en un pago sin contacto si no pasa de 50 euros y, además, si desde la última vez que se te pidió el PIN no se han superado 150 euros acumulados o cinco operaciones consecutivas (la norma deja elegir uno de los dos contadores).
Traducido: aunque alguien lograra cobrar con tu tarjeta sin que lo notes, el sistema le obligaría a pedir el PIN mucho antes de vaciarte nada. El Portal del Cliente Bancario del Banco de España lo resume en la versión práctica: por encima de 50 euros te van a pedir la clave sí o sí, y por debajo lo sensato es mirar la pantalla del datáfono antes de acercar la tarjeta, porque el error más probable es un importe mal tecleado.
En el móvil puedes ir más lejos. El mismo portal recuerda en su guía para pagar con el móvil que se puede fijar un importe a partir del cual se exija el PIN (por defecto, 50 euros) y que el teléfono debe tener bloqueo para que solo el titular pueda pagar.
Mito: «te clonan la tarjeta acercando un lector al bolsillo»
Leer algo, se puede; pagar con ello, es otra historia. El INCIBE reconoce en su guía sobre el carding que existen lectores NFC capaces de obtener datos de una tarjeta a menos de 15 centímetros en cuestión de segundos. Hasta ahí, el bulo tiene base.
Lo que el bulo omite es cómo funciona el pago. Según EMVCo, el consorcio que mantiene el estándar de los chips de pago, en cada operación sin contacto se genera un código de seguridad de un solo uso. Mi lectura: lo que se lleva un lector furtivo no sirve para fabricar una tarjeta física que pague una y otra vez como hacían las copias de banda magnética, y los datos estadísticos van en esa línea. En el informe europeo, las tarjetas falsificadas explican solo el 11 % del valor del fraude presencial, frente al 42 % de las tarjetas perdidas o robadas.
Con el móvil la barrera es aún mayor. El Banco de España destaca la tokenización, y EMVCo explica que el token de pago sustituye el número real de la tarjeta por un valor alternativo limitado a un comercio, dispositivo o escenario concreto. Si quieres el detalle de esa capa, lo explicamos en cómo funcionan Apple Pay, Google Pay y Samsung Pay y por qué son seguros.
¿Significa esto que el contactless es invulnerable? No. En 2020, investigadores de la Escuela Politécnica Federal de Zúrich describieron fallos en el protocolo EMV sin contacto que permitían, en tarjetas Visa, pagar por encima del límite sin PIN, según recogió el INCIBE-CERT. Según ese resumen, para explotarlo había que hacerse con la tarjeta o acercarle un móvil con NFC.
Los riesgos que sí son reales
Hay tres, y ninguno necesita que alguien se cruce contigo en el autobús con un lector.
1. El engaño para que tú mismo acerques la tarjeta. El INCIBE-CERT describió en mayo de 2025 SuperCard X, un malware para Android detectado en una campaña contra usuarios en Italia. Los delincuentes convencían a la víctima, por SMS y llamadas, de instalar una aplicación; cuando la persona acercaba la tarjeta al móvil infectado, la app retransmitía la comunicación NFC en tiempo real a un dispositivo del atacante, que pagaba en tiendas o sacaba dinero en cajeros. Aquí el punto débil no es el chip: es la llamada que te pide «verificar» la tarjeta pegándola al teléfono. Ningún banco necesita eso.
2. El cajero manipulado y la distracción. La Policía Nacional alertó en marzo de 2023 de la llamada estafa contactless en cajeros, detectada en todo el territorio: obstruían la ranura del cajero, uno de los delincuentes se ofrecía a ayudar a una persona mayor y otro hacía reintegros de entre 200 y 1.150 euros. Sus consejos son de sentido común y funcionan: no aceptar ayuda de desconocidos junto al cajero, ir acompañado si hace falta y tapar el teclado con la mano al teclear el PIN.
3. Que te roben la cartera. Es el caso más mundano y el que más pesa en las estadísticas presenciales. Con la tarjeta física en la mano, el ladrón puede encadenar pagos pequeños hasta que salte el PIN. Por eso conviene pedir a tu banco un aviso por cada cargo, como sugiere el Banco de España, y tener a mano la forma de bloquear la tarjeta.
¿Merece la pena una funda RFID o desactivar el NFC?
Es una medida barata que no estorba, pero no es donde está el grueso del riesgo. El INCIBE la incluye entre sus consejos, junto con desactivar el NFC del móvil cuando no lo usas y, si tu banco lo permite, el pago sin contacto de la tarjeta si nunca lo utilizas.
Mi postura: tiene más impacto revisar los movimientos con regularidad y saber qué hacer si aparece algo raro. Para eso, la ley te da plazos concretos que explicamos en cómo reclamar al banco un cargo que no reconoces en la tarjeta. Y si te preocupa el fraude de verdad, el frente está en internet: el informe europeo señala que el fraude con tarjeta fue 17 veces mayor cuando el comercio estaba fuera del EEE, donde la autenticación reforzada no es obligatoria. Ahí sí rinde aprender a pagar online con tarjetas virtuales, CVV dinámico y 3D Secure.
El pago sin contacto se ha convertido en el chivo expiatorio de un fraude que ocurre, sobre todo, en otra parte. Los datos de los supervisores europeos no dicen que sea perfecto; dicen que los límites de 50 y 150 euros, el código de un solo uso y la tokenización hacen su trabajo. Por eso los delincuentes ya no intentan leer tu bolsillo: te llaman, te piden que acerques la tarjeta al móvil o se ofrecen a ayudarte en el cajero.
Ninguna funda te protege de una llamada convincente. Lo que protege es una regla simple: tu tarjeta solo se acerca al datáfono de una tienda, nunca a un teléfono porque alguien te lo pide.