Um cartão bancário pode ser clonado com um toque?
Não. Um cartão por aproximação não entrega um segredo reutilizável. Cada transação envolve um valor calculado para aquela transação, então capturar uma troca dá ao atacante algo que já foi gasto. É a propriedade em torno da qual todo o esquema foi construído, e é por isso que a clonagem de cartões foi para outro lugar.
Por que uma captura não vale nada
O princípio do projeto é que o cartão nunca se repete. Cada transação carrega um valor específico daquela transação, e um valor já usado é um valor que vai ser recusado.
Então um atacante que captura uma troca completa tem nas mãos a transcrição de algo que já aconteceu. Reproduzi-la não gera um segundo pagamento.
O mecanismo exato pertence às especificações EMV de pagamento por aproximação publicadas pela EMVCo, e não a um guia geral.
O que é útil aqui é a forma da resposta, porque ela explica por que uma categoria inteira de ataque temido não funciona: a clonagem depende da repetição, e os cartões de pagamento foram projetados para não se repetir.
O que um leitor consegue obter
Menos do que as pessoas esperam, e mais do que nada. Um aplicativo num celular em geral consegue obter parte do que está impresso na frente do cartão.
É uma informação que o cartão mostra a qualquer pessoa que olhe para ele, o que vale lembrar antes de concluir que lê-la constitui uma violação.
O que não se obtém é qualquer coisa que autorize um pagamento, porque é exatamente isso que o projeto retém.
O guia sobre o que um terminal de pagamento recebe detalha o que de fato passa durante uma compra.
Para onde a fraude de verdade foi
Para longe do cartão. Quando duplicar o objeto físico parou de funcionar, a fraude passou para caminhos que nunca precisam dele: dados digitados num site, contas tomadas por terceiros, pessoas convencidas a autorizar coisas elas mesmas.
É por isso que o conselho prático sobre fraude com cartões quase nunca fala do cartão no seu bolso.
É também por isso que a ansiedade com o pagamento por aproximação está mal direcionada. O toque é o elo mais forte da corrente, e é o que atrai mais preocupação.
O que vale a pena fazer
Confira os extratos, o que detecta tudo, seja qual for o jeito como aconteceu, e informe logo qualquer coisa que você não reconheça.
Entenda que um cartão numa carteira ao lado de outros cartões pode deixar de funcionar em vez de correr risco, o que é um problema de interferência, e não de segurança.
Trate os produtos de blindagem como uma resposta a uma ameaça pequena. Eles funcionam; a questão é se a ameaça os justifica.
E mantenha o cartão à vista durante um pagamento, o que trata dos riscos comuns que não têm nada a ver com rádio.
Perguntas frequentes
Alguém pode capturar a troca do meu cartão e reproduzi-la?
Não. O valor trocado é específico daquela transação, então uma reprodução apresenta algo já usado.
Um aplicativo consegue ler o meu cartão?
Em geral consegue obter parte do que está impresso na frente dele, que é uma informação que o cartão já mostra.
Devo usar uma carteira com blindagem?
Ela funciona, contra uma ameaça pequena. Decida com base nisso, e não na força do marketing.
Então por que existe tanta preocupação com isso?
Porque o toque parece passivo. Na prática o toque é o elo mais forte, e a fraude foi para caminhos que nunca passam pelo cartão.