¿Se puede clonar una tarjeta bancaria al acercarla?
No. Una tarjeta sin contacto no entrega ningún secreto reutilizable. Cada operación implica un valor calculado para esa operación, así que capturar un intercambio le da al atacante algo que ya se ha gastado. Esa es la propiedad sobre la que se construyó el esquema entero, y es la razón de que la clonación de tarjetas se mudara a otro sitio.
Por qué una grabación no vale nada
El principio de diseño es que la tarjeta nunca se repite. Cada operación lleva un valor propio de esa operación, y un valor ya usado es un valor que se rechazará.
Así que un atacante que grabe un intercambio completo tiene una transcripción de algo que ya ha ocurrido. Repetirlo no produce un segundo pago.
El mecanismo exacto pertenece a las especificaciones EMV sin contacto publicadas por EMVCo, y no a una guía general.
Lo útil aquí es la forma de la respuesta, porque explica por qué una categoría entera de ataque temido no funciona: clonar depende de la repetición, y las tarjetas de pago se diseñaron para no repetirse.
Qué puede obtener un lector
Menos de lo que la gente espera y más que nada. Una aplicación en un teléfono puede obtener normalmente parte de lo que hay impreso en la cara de la tarjeta.
Eso es información que la tarjeta le enseña a cualquiera que la mire, cosa que conviene recordar antes de concluir que leerla constituye una brecha.
Lo que no se obtiene es nada que autorizara un pago, porque eso es justo lo que el diseño retiene.
La guía sobre qué recibe un terminal de pago entra en qué cruza de verdad durante una compra.
Adónde se fue el fraude real
Lejos de la tarjeta. Cuando duplicar el objeto físico dejó de funcionar, el fraude se mudó a vías que no lo necesitan: datos tecleados en una web, cuentas tomadas, personas convencidas de autorizar cosas ellas mismas.
Por eso los consejos prácticos sobre el fraude con tarjeta casi nunca tratan de la tarjeta que llevas en el bolsillo.
Y por eso la ansiedad con el contactless está mal dirigida. El toque es el eslabón más fuerte de la cadena y es el que atrae más preocupación.
Qué merece la pena hacer
Revisar los movimientos, que detecta todo al margen de cómo haya ocurrido, y avisar pronto de cualquier cosa que no reconozcas.
Entender que una tarjeta en una cartera junto a otras puede dejar de funcionar en vez de estar en riesgo, que es un problema de interferencia y no de seguridad.
Tratar los productos de apantallamiento como algo que atiende una amenaza pequeña. Funcionan; la cuestión es si la amenaza los justifica.
Y no perder la tarjeta de vista durante un pago, cosa que atiende los riesgos corrientes que no tienen nada que ver con la radio.
Preguntas frecuentes
¿Pueden grabar mi tarjeta y repetirlo?
No. El valor intercambiado es propio de esa operación, así que una repetición presenta algo ya usado.
¿Puede una aplicación leer mi tarjeta?
Normalmente puede obtener parte de lo que hay impreso en su cara, que es información que la tarjeta ya enseña.
¿Debo usar una cartera apantallada?
Funciona, contra una amenaza pequeña. Decide sobre esa base y no sobre la fuerza del marketing.
¿Por qué hay tanta preocupación entonces?
Porque acercar la tarjeta parece pasivo. En la práctica el toque es el eslabón más fuerte, y el fraude se mudó a vías que no tocan la tarjeta.