Una carta bancaria si può clonare avvicinandola?
No. Una carta contactless non consegna un segreto riutilizzabile. Ogni transazione coinvolge un valore calcolato per quella transazione, quindi catturare uno scambio dà a chi attacca qualcosa che è già stato speso. È la proprietà attorno a cui è costruito tutto lo schema, ed è per questo che la clonazione delle carte si è spostata altrove.
Perché una registrazione non vale niente
Il principio di progetto è che la carta non si ripete mai. Ogni transazione porta un valore che è specifico di quella transazione, e un valore già usato è un valore che verrà rifiutato.
Quindi chi attacca e registra uno scambio completo ha in mano la trascrizione di qualcosa che è già avvenuto. Ripeterlo non produce un secondo pagamento.
Il meccanismo preciso appartiene alle specifiche EMV contactless pubblicate da EMVCo, e non a una guida generale.
Quello che è utile qui è la forma della risposta, perché spiega perché un'intera categoria di attacchi temuti non funziona: la clonazione dipende dalla ripetizione, e le carte di pagamento sono state progettate per non ripetersi.
Che cosa può ottenere un lettore
Meno di quanto si aspetti e più di niente. Un'applicazione su un telefono può tipicamente ottenere una parte di quello che è stampato sulla faccia della carta.
Sono informazioni che la carta mostra a chiunque la guardi, cosa che vale la pena ricordare prima di concludere che leggerle sia una violazione.
Quello che non si ottiene è qualsiasi cosa che autorizzerebbe un pagamento, perché è esattamente quello che il progetto trattiene.
La guida su che cosa riceve un terminale di pagamento entra nel merito di quello che passa davvero durante un acquisto.
Dove è andata la frode vera
Lontano dalla carta. Quando duplicare l'oggetto fisico ha smesso di funzionare, la frode si è spostata su strade che non ne hanno mai bisogno: dati inseriti su un sito, conti presi in mano da altri, persone convinte ad autorizzare da sé.
È per questo che i consigli pratici sulla frode con le carte non riguardano quasi mai la carta che hai in tasca.
Ed è anche per questo che l'ansia per il contactless è mal diretta. L'avvicinamento è l'anello più forte della catena e attira la preoccupazione maggiore.
Che cosa vale la pena fare
Controllare gli estratti conto, che prende tutto a prescindere da come sia avvenuto, e segnalare subito qualsiasi cosa non si riconosca.
Capire che una carta in un portafoglio accanto ad altre carte può non funzionare invece di essere a rischio, che è un problema di interferenza e non di sicurezza.
Trattare i prodotti schermanti come qualcosa che affronta una minaccia piccola. Funzionano; la domanda è se la minaccia li giustifichi.
E tenere la carta a vista durante un pagamento, cosa che affronta i rischi ordinari, quelli che non hanno niente a che fare con la radio.
Domande frequenti
Qualcuno può registrare la mia carta e ripeterla?
No. Il valore scambiato è specifico di quella transazione, quindi una ripetizione presenta qualcosa di già usato.
Un'applicazione può leggere la mia carta?
Può tipicamente ottenere una parte di quello che è stampato sulla sua faccia, che è un'informazione che la carta mostra già.
Dovrei usare un portafoglio schermato?
Funziona, contro una minaccia che è piccola. Decidi su questa base invece che sulla forza del marketing.
Perché allora se ne parla tanto?
Perché avvicinare la carta sembra passivo. Nella pratica l'avvicinamento è l'anello più forte, e la frode si è spostata su strade che non toccano mai la carta.