¿Cómo de seguro es el pago sin contacto, en realidad?
Más seguro que la banda magnética a la que sustituyó y más seguro que entregar una tarjeta. El intercambio no se puede repetir, exige un terminal acreditado, y funciona solo al contacto. Lo que queda es una pérdida pequeña si alguien encuentra una tarjeta y la usa, y vías que no tocan la tarjeta en absoluto.
La forma de la respuesta
Tres propiedades hacen casi todo el trabajo, y se sostienen juntas y no por separado.
El intercambio es propio de una operación, así que grabarlo no rinde nada que se pueda volver a usar. El dinero solo se mueve a través de un terminal que un banco adquirente ha acreditado, así que un intercambio capturado no tiene adónde ir. Y la tarjeta tiene que estar a un par de centímetros, que es un límite del campo y no del software.
El mecanismo que hay detrás, y las dos capas de las que está hecha una tarjeta sin contacto, están en el lado de las normas del sitio en vez de repetirse aquí.
De ahí se deriva que el escenario que la gente describe, alguien sacando dinero en una multitud, exige que las tres cosas fallen a la vez.
Qué queda en realidad
Una tarjeta perdida o robada la puede acercar a un terminal quien la tenga, hasta el límite que se aplique antes de exigir verificación. Esa es una pérdida real y es el riesgo que los límites existen para acotar.
Un comercio puede cobrar más de lo acordado, o cobrar dos veces, que es una disputa y no un ataque y se resuelve a través del banco.
Y un teléfono puede quedar comprometido, que es otro asunto distinto de la radio y más serio, porque un teléfono comprometido es un problema mucho antes de ser un problema de pago.
Fíjate en que a ninguno de esos tres le afecta apantallar una cartera, que es adonde va casi todo el gasto en protección.
Los riesgos que no van del NFC
Datos de tarjeta tecleados en una web, sacados de una filtración, o dados por teléfono. Ninguno de ellos implica que la tarjeta esté presente siquiera.
La toma de una cuenta, donde el atacante no toca ninguna tarjeta y no lo necesita.
Y la persuasión: convencer a alguien de que autorice un pago, cosa que vence a todo control técnico porque el control quedó satisfecho.
Esas vías existen precisamente porque la vía con la tarjeta presente se cerró. El fraude se fue a donde no había defensas, que es lo que hace siempre.
Qué merece la pena hacer
Leer los movimientos, que detecta todas las vías a la vez sea cual sea la que ocurrió, y avisar sin demora de cualquier cosa que no reconozcas.
Preferir el pago con el móvil cuando se pueda, por razones que se tratan aparte, porque añade una comprobación que ninguna tarjeta de plástico ofrece.
Avisar de inmediato de una tarjeta perdida en vez de buscarla primero, porque la ventana anterior al aviso es la que importa.
Y no gastar nada en apantallamiento hasta haber decidido cuál de los riesgos de arriba atiende. La respuesta es que atiende el más pequeño.
Preguntas frecuentes
¿Puede alguien sacarme dinero poniéndose a mi lado?
No. Hace falta proximidad de un par de centímetros, un terminal acreditado, y un intercambio que no se puede repetir. Tendrían que fallar las tres cosas.
¿Cuál es el riesgo real entonces?
Que una tarjeta perdida o robada se use antes de avisar, y las vías que no implican a la tarjeta en absoluto, como unos datos de una filtración.
¿Es más seguro pagar con el móvil?
Sí, por dos razones que se suman: el teléfono comprueba quién lo tiene en la mano, y lo que presenta es propio de ese aparato.
¿Ayuda una cartera apantallada?
Contra el menor de los riesgos. Leer los movimientos y avisar pronto los atiende todos.