¿Qué pasa si acercas la tarjeta a un terminal en el que no confías?
La tarjeta responde, porque no tiene forma de juzgar con qué está hablando. La protección está un paso más allá: un intercambio solo se convierte en un pago si llega a un banco adquirente a través de un comercio que ese banco acreditó. Un aparato que capture el intercambio ha capturado algo que no puede gastar.
La tarjeta responde a cualquier cosa
Una tarjeta no tiene noción de quién pregunta. Se alimenta, se le habla, y participa en el intercambio para el que se construyó.
Así que un aparato con forma de terminal, o ningún terminal en absoluto, obtiene una respuesta. La tarjeta no autentica al lector en el sentido que la gente supone.
Suena alarmante y no lo es, porque la respuesta solo vale algo para quien pueda presentarla a un banco.
Dónde está la protección
Un pago no es un mensaje de una tarjeta. Es una operación presentada por un comercio, a través de un banco adquirente que ha aceptado a ese comercio, sujeta a unas normas que el comercio aceptó.
Un intercambio capturado por un aparato que no forma parte de esa cadena no tiene dónde presentarse. Quien lo tenga tiene el registro de una interacción.
La consecuencia es que el atacante interesante no es alguien con un lector escondido. Es alguien que ha obtenido una acreditación de comercio, que es un fraude contra el sistema bancario y no contra el NFC.
Cómo se concede y se retira una acreditación, y qué comprobaciones aplica un esquema, pertenece a los esquemas de pago y no a una guía general.
La versión de esto que sí es real
Un terminal que enseña un importe y presenta otro, o un comercio que cobra dos veces. Las dos cosas son disputas corrientes y las dos se resuelven a través del banco y no por ninguna propiedad de la tarjeta.
Un terminal en un sitio donde no elegirías pagar, que es un juicio sobre el comercio y no sobre la tecnología.
Y una tarjeta acercada por accidente a un terminal que no pensabas usar, y por eso un pago suele enseñar una confirmación y un importe.
Ninguna de esas cosas se resuelve negándose a acercar la tarjeta. Se resuelven mirando el importe y leyendo los movimientos.
Qué hacer en un terminal
Mira el importe antes de presentar la tarjeta, que es la única comprobación que la tecnología no puede hacer por ti.
Ten la tarjeta en tu propia mano en vez de entregarla, porque los riesgos corrientes de una tarjeta son físicos y no de radio.
Prefiere el móvil cuando el importe sea inusual, porque el paso de confirmación está en tu aparato y no en el suyo.
Y si algo va mal, el recurso es el banco, pronto. Ahí es donde se resuelve de verdad esta clase de problema.
Preguntas frecuentes
¿Puede un terminal falso cobrarme?
Puede completar un intercambio y no puede convertirlo en dinero, porque presentar una operación exige acreditación con un banco adquirente.
¿Mi tarjeta comprueba el terminal?
No. La tarjeta responde a lo que le hable. La comprobación ocurre más adelante en la cadena, no en la tarjeta.
¿Cuál es el riesgo realista en un terminal?
Que el importe sea distinto del acordado, o un cobro doble. Las dos cosas son disputas, y se resuelven a través del banco.
¿Debo evitar pagar en algunos sitios?
El juicio es sobre el comercio y no sobre la tecnología. Mira el importe y lee los movimientos después.