Que dados existem num cartão por aproximação?
Chaves e contadores que ele nunca vai revelar, mais o que a aplicação de pagamento aceitar responder. A correção importante é que um cartão não é um arquivo: é um pequeno computador escolhendo o que revelar, e a face impressa dele em geral entrega mais.
O que ele guarda
Chaves criptográficas, que nunca saem dele em nenhuma circunstância e são a base de toda garantia que o cartão oferece.
Contadores e estado, que permitem ao cartão produzir um valor específico de cada transação em vez de se repetir.
Uma aplicação de pagamento, que é um software com regras sobre o que ele vai responder e a quem.
E informações de identificação que o emissor colocou ali, cuja extensão é assunto do emissor e da bandeira, e não uma lista fixa.
O que ele aceita liberar
A um terminal credenciado que conduz uma transação, o que a bandeira exige para aquela transação.
A um aplicativo de uso geral num celular, muito pouco: que um cartão está presente, a tecnologia que ele usa e o identificador usado durante a seleção.
A razão não é que falte ao aplicativo uma técnica esperta. É que a aplicação de pagamento não tem nenhuma obrigação de responder a um software que não é um terminal, e não responde.
Pegue o NFC Tools. No iOS ele exige um iPhone 7 ou um modelo posterior com iOS 15.6 no mínimo, e o aplicativo tem de ser aberto manualmente. A leitura em segundo plano está disponível a partir do iPhone XS e XR.
A face impressa
O número, o nome e a data de validade estão impressos na maioria dos cartões e visíveis para qualquer pessoa que olhe para eles.
O que quer dizer que a exposição que preocupa as pessoas pelo rádio em geral é menor que a exposição de entregar o cartão a alguém, ou de ele ser fotografado.
Cartões sem nada impresso na frente existem exatamente por essa razão, e eles tratam do caminho realista, e não do imaginado.
Vale ter os dois fatos em mente ao mesmo tempo: o chip é discreto, e o plástico não.
O que as demonstrações mostram
Existem demonstrações que mostram mais dados sendo lidos do que a descrição acima sugere, e em geral elas são verdadeiras.
O que elas mostram em geral é que alguns cartões, historicamente, expunham mais do que precisavam, o que é uma questão de escolhas dos emissores e de gerações de cartões, e não do mecanismo.
Tratar isso como o estado normal das coisas é um erro, e tratar isso como prova de que o pagamento é inseguro é um erro maior.
A pergunta a fazer diante de qualquer demonstração desse tipo é o que daria para fazer com o que foi obtido, e a resposta em geral é nada.
Perguntas frequentes
Um aplicativo consegue ler o número do meu cartão?
Um aplicativo de uso geral obtém muito pouco: que um cartão está presente, a tecnologia dele e o identificador de seleção. A aplicação de pagamento recusa o resto.
O que um cartão por aproximação guarda que importa?
Chaves que nunca saem dele, e um estado que permite a cada transação produzir um valor único. Nenhum dos dois pode ser obtido.
A face impressa do cartão expõe mais?
Em geral, sim. O número, o nome e a validade ficam visíveis para quem olhar, e nenhuma precaução contra o rádio resolve isso.
E os vídeos que mostram dados de cartão sendo lidos?
Alguns cartões expuseram historicamente mais do que o necessário. A questão é o que daria para fazer com isso, e a resposta normalmente é nada.