Hacer pagos con tarjetas contactless (mediante NFC) es sencillo. Tal vez por eso robar dinero de tarjetas de este tipo podría parecer fácil. Simplemente acercando una tarjeta contactless a un POS con capacidad NFC se produce el cobro. Si la cantidad a cobrar es inferior a 20 euros (o 20 dólares en USA) no es necesario introducir el número PIN de la tarjeta. Esto permite agilizar el proceso de compra. En caso contrario, es necesario introducir el PIN para confirmar la compra.
En principio, el número de cobros consecutivos está limitado (normalmente al exceder 50 euros o a partir del tercer cobro, según el país). La penetración de NFC ha llegado también hasta los dispositivos móviles. De hecho, la tecnología NFC ha permitido “juntar” las tarjetas con los dispositivos móviles. Es de esperar que en unos años, incluso, desaparezcan las tarjetas tal y como las conocemos y únicamente hagamos uso del dispositivo móvil. Tarjetas de identificación, tarjetas de crédito, tarjetas de movilidad, etc. Todo puede estar integrado en nuestro teléfono. Actualmente hay infinidad de dispositivos móviles que hacen uso de la tecnología NFC.
Problemas de seguridad y soluciones
A pesar de este impacto en nuestro cambio de modo de pago, NFC hereda los problemas de seguridad de la tecnología RFID inalámbrica: eavesdropping (o escucha secreta), alteración de las ondas (modificación, inserción o destrucción) y retransmisión. En el resto de este artículo, vamos a detallar cómo afectan cada uno de estos problemas al caso concreto de las tarjetas contactless, dado que es donde más daño pueden hacer los ciber-criminales a los usuarios.
Eavesdropping
El problema del eavesdropping (o escucha secreta, en español) consiste en que una tarjeta contactless transmite su información a través del protocolo NFC sin verificar quién la está leyendo. Este problema de verificación viene realmente heredado del protocolo de las tarjetas de pago EMV, dado que EMV no comprueba la autenticidad del lector (es decir, el datáfono).
Mediante NFC, una tarjeta contactless se comunicará con cualquier dispositivo que implemente el protocolo de tarjetas contactless (público y accesible en Internet) mandándole la siguiente información: el número de la tarjeta (también llamado PAN, Primary Account Number), el nombre del titular, la fecha de expiración y el historial de las últimas transacciones realizadas con la tarjeta.
Con los tres primeros datos se pueden realizar compras en multitud de sitios de Internet (principalmente páginas de comercios americanos). Aunque inicialmente el nombre del titular era recuperado mediante una lectura NFC de la tarjeta, rápidamente vieron que suponía un problema grave de seguridad y las tarjetas contactless actuales ya no filtran esta información (muestran un titular de la tarjeta vacío). Respecto al historial de transacciones, cabe comentar que recoge todos los pagos realizados tanto mediante NFC como los mediante el chip (es decir, NFC actúa como una interfaz inalámbrica en una tarjeta contactless).
Algunos artículos de prensa han relatado la historia de la persona que iba en un metro (o en un lugar altamente concurrido) con un datáfono, dedicándose a “robar” mediante NFC de las tarjetas contactless que pudiera tener a su alcance (usando el famoso “ataque de arrimar la cebolleta”, bautizado así por Josemi Esparza en la NoConName de 2012).
A pesar de que técnicamente sería posible, esto no es viable (como bien ya se desmintió el bulo en algunos medios), dado que ese datáfono tendrá que ir contra alguna cuenta bancaria de donde posteriormente recuperaría el dinero el criminal, facilitando así la identidad del mismo.
Entonces, ¿pueden robarnos por NFC a distancia?
Sigue leyendo: Contra el mito de que te pueden robar dinero de tarjetas contactless sólo acercándose a ti
