Bancomat: come funziona dall'inserimento della carta al prelievo

Cosa succede quando inserisci la carta

Un bancomat non è una scatola unica: è un piccolo insieme di macchine specializzate che lavorano insieme. La CPU gestisce l’interfaccia a schermo e coordina tutto il resto. Il lettore, a banda magnetica o a chip, identifica la carta appena la inserisci. La tastiera dedicata e protetta, chiamata in gergo tecnico EPP4, è costruita apposta per ricevere e cifrare il PIN che digiterai subito dopo. A questi si aggiungono il display, i tasti funzione o lo schermo touch, la stampante dello scontrino e, dentro il caveau, il meccanismo che eroga le banconote.

Le macchine più recenti hanno smesso di usare componenti elettronici proprietari e microcontrollori dedicati, e sono passate ad architetture hardware simili a quelle di un normale personal computer, con connessioni USB per le periferiche ed Ethernet per la rete. È un’evoluzione non troppo diversa da quella raccontata nella storia del computer: hardware sempre più standardizzato, meno “macchina speciale” e più semplice combinazione di componenti comuni collegati tra loro.

Esempio pratico: immagina il bancomat come un impiegato di sportello automatizzato che fa tre cose in sequenza, mai insieme: prima controlla il tuo documento (il lettore legge la carta), poi ti chiede una parola d’ordine che solo tu conosci (la tastiera protetta cifra il PIN), infine telefona alla tua banca per avere il via libera prima di aprire il cassetto dei contanti.

Il PIN cifrato prima ancora di uscire dalla macchina

Il momento in cui digiti il PIN è quello in cui entra in gioco la parte più delicata di tutto il sistema: la sicurezza deve valere già dal primo istante, non dopo. Il PIN che digiti deve corrispondere a quello registrato nel chip della carta, se la carta ne è dotata, oppure a quello conservato nel database della banca che ha emesso la carta. Ma quel confronto non avviene mai su un numero “in chiaro”: viene cifrato immediatamente, dentro la stessa tastiera protetta, con algoritmi come il DES o, più spesso nei sistemi recenti, il Triple DES.

A rendere possibile tutto questo è un dispositivo che ha una storia precisa: l’HSM, Hardware Security Module. Il primo esemplare fu inventato da Mohamed Atalla, che depositò il relativo brevetto statunitense nel marzo del 1972 e fondò nello stesso anno la Atalla Corporation, nota anche come Utimaco Atalla. Il dispositivo, battezzato “Atalla Box”, fu lanciato commercialmente nel 1973: cifrava il PIN e i messaggi del bancomat, e proteggeva i dispositivi anche offline con una chiave di generazione del PIN impossibile da indovinare. Il sistema era composto da una console per il lettore di carte, due tastierine per il PIN del cliente, un controllore intelligente e un’interfaccia elettronica integrata: il cliente digitava il proprio codice segreto, e il dispositivo lo trasformava, tramite un microprocessore, in un altro codice destinato allo sportello.

I prodotti HSM discendenti da quella prima invenzione proteggevano, nel 2013, 250 milioni di transazioni con carta al giorno in tutto il mondo, e nel 2014 coprivano la maggior parte delle operazioni ai bancomat a livello globale. La cifratura del PIN, insomma, non è un’aggiunta recente alla sicurezza bancaria: è vecchia quanto il bancomat “in rete” stesso.

Il linguaggio con cui il bancomat chiede il permesso

Una volta cifrato, il PIN deve viaggiare fino alla banca che ha emesso la carta perché questa possa dare, o negare, l’autorizzazione al prelievo. Questo scambio segue uno standard internazionale chiamato ISO 8583, nato alla fine degli anni ‘80 e aggiornato più volte, nel 1993 e nel 2003. Non è un dettaglio tecnico isolato: è il linguaggio comune su cui si basano le comunicazioni di autorizzazione di reti come Mastercard e Visa, e che usano anche i terminali di pagamento (POS) nei negozi, oltre a numerose altre istituzioni finanziarie.

Un messaggio ISO 8583 è composto, in sintesi, da tre parti: un identificativo del tipo di messaggio a quattro cifre (che indica, per esempio, se si tratta di una richiesta di autorizzazione o di una risposta), un insieme di campi dati che possono arrivare fino a 128 nelle specifiche originarie (numero di carta, importo, informazioni sull’esercente, esito dell’autorizzazione), e una mappa binaria che indica quali di questi campi sono effettivamente presenti nel messaggio. La transazione parte dal bancomat, attraversa una serie di reti intermedie, e arriva al sistema della banca emittente, che autorizza o rifiuta l’operazione entro tempi prestabiliti. È un procedimento scandito da regole fisse e ripetibili, non troppo diverso nella logica da come un algoritmo segue passi precisi per arrivare a un risultato verificabile. In aggiunta alla cifratura del PIN, il traffico tra il bancomat e il centro di elaborazione delle transazioni può essere ulteriormente protetto con metodi come SSL, lo stesso principio di comunicazione cifrata su cui si regge buona parte di come funziona internet quando visiti un sito sicuro.

L’erogazione del contante

Solo dopo il via libera della banca il bancomat passa all’ultima fase: l’erogazione. Dentro il caveau, il meccanismo di distribuzione conta ed espelle le banconote richieste; nella stessa struttura protetta si trovano spesso anche il modulo per la lettura degli assegni, sensori antimanomissione di tipo magnetico, termico, sismico o a gas, serrature dedicate e sistemi di registrazione (journaling) che tengono traccia di ogni operazione. L’architettura è pensata, fin dall’inizio, per rendere il prelievo di contante il più possibile automatico, affidando però la protezione di tutto ciò che vale — contanti, chiavi di cifratura, meccanismi interni — a barriere fisiche robuste, oltre che a quelle informatiche.

Una storia con più padri

Chi ha inventato il bancomat? La risposta onesta è: non una sola persona, e nemmeno un solo Paese. Nel 1960 Luther Simjian brevettò un “automated deposit machine”, il Bankograph, che accettava monete, contanti e assegni ma non erogava denaro; un esemplare sperimentale fu installato a New York dalla City Bank of New York nel 1961, e rimosso dopo sei mesi per lo scarso interesse dei clienti.

Il primo apparecchio generalmente considerato il vero antenato del bancomat moderno comparve il 27 giugno 1967, quando una cassa automatica fu installata alla filiale Barclays di Enfield, a nord di Londra, inaugurata dall’attore Reg Varney come parte del lancio pubblicitario. Il progetto fu realizzato dal team guidato da John Shepherd-Barron per la ditta De La Rue (il sistema si chiamava DACS, De La Rue Automatic Cash System), che raccontò di essere arrivato all’idea pensando a un distributore di barrette di cioccolato, con il contante al posto del cioccolato. Ma quella macchina batté i sistemi concorrenti per un margine sottilissimo: appena nove giorni sulla rivale svedese (un dispositivo chiamato Bankomat, della società Metior) e un mese sul sistema britannico Chubb MD2, sviluppato da Smith Industries Chubb. Tre sistemi diversi, quasi nello stesso momento, nello stesso angolo di mondo.

Fu proprio sul Chubb MD2 che un gruppo di ingegneri della Smiths Group sviluppò, nel 1965, l’idea di un PIN “legato” alla carta: un’invenzione attribuita a James Goodfellow, che depositò il relativo brevetto britannico nel maggio del 1966 insieme ad Anthony Davies. Tra i sistemi pionieristici, peraltro, solo un terzo apparecchio, lo Speytec, usava già una carta con banda magnetica sul retro; DACS e Chubb MD2 accettavano invece un gettone o voucher monouso, trattenuto dalla macchina.

L’ATM arriva negli Stati Uniti, e diventa “in rete”

Negli Stati Uniti il bancomat arrivò poco dopo, grazie a Donald Wetzel, responsabile di un reparto della società Docutel, che si mise al lavoro dopo aver osservato da vicino le esperienze europee. Il 2 settembre 1969 la Chemical Bank installò un ATM prototipo nella sua filiale di Rockville Centre, a New York, con una pubblicità che prometteva: la banca avrebbe aperto alle nove del mattino e non avrebbe più chiuso. Nel 1995 lo Smithsonian National Museum of American History riconobbe ufficialmente Docutel e Wetzel come inventori dell’ATM “in rete”, cioè collegato a un sistema centrale invece che a una singola filiale isolata; entro il 1974 Docutel arrivò a controllare il 70% del mercato statunitense.

Anche l’hardware interno seguì l’evoluzione generale dell’informatica: nell’aprile del 1971 la società Busicom cominciò a costruire bancomat basati sul primo microprocessore commerciale della storia, l’Intel 4004. Nel dicembre del 1972, alla filiale Lloyds Bank di Brentwood, in Inghilterra, entrò in uso l’IBM 2984, descritto come un vero e proprio bancomat moderno: da lì nacque anche il marchio “Cashpoint”, registrato da Lloyds ma diventato, nel linguaggio comune britannico, un termine generico per indicare qualunque sportello automatico. Il tassello che mancava per avere una vera rete di bancomat condivisa tra banche diverse arrivò solo il 3 febbraio 1979, a Denver, in Colorado, con il primo sistema di smistamento pensato per collegare ATM di istituti diversi.

Il cryptogram EMV: un codice che non si ripete mai

La parte più recente di questa storia riguarda lo standard EMV (dal nome dei suoi promotori originari, Europay, Mastercard e Visa), che governa il funzionamento delle carte a chip. La differenza cruciale rispetto alla vecchia banda magnetica è questa: la tecnologia a chip convalida l’autenticità della carta e genera, per ogni singola transazione, un codice di sicurezza monouso, chiamato cryptogram, che non può essere riutilizzato in un secondo momento. Il numero registrato sulla banda magnetica, invece, resta sempre lo stesso: copiarlo con uno skimmer basta, da solo, per poterlo riutilizzare all’infinito.

Secondo i dati diffusi da EMVCo — l’ente di proprietà dei principali circuiti di pagamento internazionali che gestisce e aggiorna le specifiche dello standard — a settembre 2026 erano in circolazione nel mondo oltre 15,6 miliardi di carte EMV, che coprivano il 96% delle transazioni in negozio in più di 80 Paesi. Va tenuto presente che si tratta di una cifra autodichiarata dall’ente che gestisce lo standard, e non di una stima indipendente di terze parti, per quanto in linea con l’esperienza comune di chi paga con carta ogni giorno.

Le frodi più comuni, e come difendersi

Nonostante cifratura, HSM e cryptogram monouso, il bancomat resta un bersaglio per criminali di tipo diverso, e non tutte le frodi passano dalla tecnologia. Alcune sono puramente fisiche: in Giappone bande criminali hanno usato camion con macchinari da cantiere per demolire o sradicare interi sportelli; nei Paesi Bassi si è diffusa una tecnica chiamata “plofkraak”, che sigilla le aperture della macchina con silicone e riempie il caveau di gas combustibile prima di innescarlo (il numero di bancomat nel paese è sceso da 20.000 a 5.000 anche per questo motivo). In Germania, nonostante oltre 300 milioni di euro spesi in sicurezza aggiuntiva, l’ufficio federale di polizia criminale ha stimato che nel 2024 il 60% degli attacchi ai bancomat nel paese sia comunque riuscito.

Altre frodi sono più sottili, e colpiscono direttamente i clienti:

• Skimming (clonazione della carta): un dispositivo nascosto sopra la fessura della carta legge la banda magnetica o il chip, spesso in abbinamento a una microtelecamera puntata sulla tastiera per registrare il PIN.
• Card trapping: un dispositivo, detto anche “Lebanese loop”, intrappola la carta dentro il lettore; il cliente, pensando di averla persa, si allontana frustrato, e il criminale la recupera per usarla. È una tecnica che ha conosciuto una recrudescenza proprio in aree come l’Europa, dove le carte chip and PIN sono aumentate in circolazione: non copia dati, intrappola l’oggetto fisico.
• Jackpotting: un attacco più sofisticato, in cui i criminali praticano un piccolo foro nella macchina, staccano il disco rigido esistente e ne collegano uno esterno tramite un endoscopio industriale, per far erogare contante al bancomat senza alcuna transazione autorizzata.

Uno dei primi casi noti di bancomat manomesso risale al 1993, in un centro commerciale di Manchester, nel Connecticut: la banda “Bucklands Boys” modificò un apparecchio Fujitsu per rubare i dati delle carte inserite dai clienti ignari.

Esempio pratico: il Secret Service statunitense, che ogni anno risponde a centinaia di episodi di skimming, consiglia alcune abitudini semplici: preferire i bancomat dentro le filiali o vicino agli sportelli drive-up; controllare segni evidenti di manomissione, come luci non funzionanti o tastiere che sembrano rialzate o poco fissate; coprire sempre la tastiera con la mano mentre si digita il PIN; e, quando si paga con carta in un negozio, preferire il contactless o il chip EMV alla banda magnetica.

Cosa fare se ti rubano la carta

La Banca d’Italia riassume la protezione del PIN in due principi semplici: segretezza (nessuno deve conoscerlo, oltre al legittimo titolare della carta) e separazione (PIN e carta non vanno mai tenuti insieme, perché faciliterebbero un prelievo fraudolento in caso di furto di entrambi). In caso di smarrimento o furto, la prima cosa da fare è contattare subito il numero verde della banca per bloccare la carta, e solo dopo sporgere denuncia: a differenza del contante rubato, che è perso per sempre, una carta bloccata in tempo può azzerare la perdita economica.

Se il blocco arriva in ritardo, la normativa fissa comunque una franchigia massima di 50 euro a carico del titolare per le operazioni non autorizzate, purché segnalate tempestivamente. L’Arbitro Bancario Finanziario ha inoltre stabilito che un breve intervallo di tempo tra il furto e l’uso fraudolento, unito alla presenza del chip e alla digitazione del PIN corretto, può essere considerato un indizio della custodia mantenuta dal titolare delle proprie credenziali. Anche i pagamenti contactless, che fino a 50 euro non richiedono la digitazione del PIN e avvengono tramite onde radio, restano un rischio statisticamente basso: mantenere una certa distanza dalle altre persone nei luoghi affollati resta comunque un accorgimento utile contro transazioni non autorizzate.