O que acontece se você encostar o cartão num terminal em que não confia?
O cartão responde, porque não tem como julgar com o que está falando. A proteção fica um passo adiante: uma troca só vira pagamento se chegar a um banco adquirente por meio de um estabelecimento que esse banco credenciou. Um aparelho que captura a troca capturou algo que não consegue gastar.
O cartão responde a qualquer coisa
Um cartão não tem noção de quem está perguntando. Ele é alimentado, recebe um pedido e participa da troca para a qual foi feito.
Então um aparelho com cara de terminal, ou que nem é um terminal, recebe uma resposta. Não existe autenticação do leitor pelo cartão no sentido que as pessoas presumem.
Isso parece alarmante e não é, porque a resposta só vale alguma coisa para quem consegue apresentá-la a um banco.
Onde fica a proteção
Um pagamento não é uma mensagem de um cartão. É uma transação enviada por um estabelecimento, por meio de um banco adquirente que aceitou esse estabelecimento, sujeita a regras com as quais o estabelecimento concordou.
Uma troca capturada por um aparelho que não faz parte dessa cadeia não tem para onde ser enviada. Quem a tem nas mãos tem a transcrição de uma interação.
A consequência é que o atacante que interessa não é alguém com um leitor escondido. É alguém que conseguiu ser credenciado como estabelecimento, o que é uma fraude contra o sistema bancário, e não contra o NFC.
Como um estabelecimento é credenciado ou descredenciado, e que verificações uma bandeira aplica, pertence às bandeiras de cartão, e não a um guia geral.
A versão disso que é real
Um terminal que mostra um valor e envia outro, ou um estabelecimento que cobra duas vezes. Os dois são contestações comuns, e os dois se resolvem pelo banco, e não por alguma propriedade do cartão.
Um terminal num lugar em que você não escolheria pagar, o que é um julgamento sobre o estabelecimento, e não sobre a tecnologia.
E um cartão encostado sem querer num terminal que você não pretendia usar, e é por isso que um pagamento normalmente mostra uma confirmação e um valor.
Nenhum desses casos se resolve se recusando a encostar o cartão. Eles se resolvem prestando atenção ao valor e lendo o extrato.
O que fazer diante de um terminal
Olhe o valor antes de apresentar o cartão, que é a única verificação que a tecnologia não consegue fazer por você.
Mantenha o cartão na sua própria mão em vez de entregá-lo, já que os riscos comuns em torno de um cartão são físicos, e não de rádio.
Prefira o celular quando o valor for incomum, porque a etapa de confirmação fica no seu aparelho, e não no deles.
E se algo estiver errado, recorra ao banco, sem demora. É lá que esse tipo de problema se resolve de fato.
Perguntas frequentes
Um terminal falso consegue debitar o meu cartão?
Ele consegue completar uma troca e não consegue transformá-la em dinheiro, porque enviar uma transação exige ser credenciado por um banco adquirente.
O meu cartão verifica o terminal?
Não. O cartão responde a qualquer coisa que se dirija a ele. A verificação acontece mais adiante na cadeia, e não no cartão.
Qual é o risco realista diante de um terminal de pagamento?
Um valor diferente do combinado, ou uma cobrança em dobro. Os dois são contestações, resolvidas pelo banco.
Devo evitar encostar o cartão em alguns lugares?
O julgamento é sobre o estabelecimento, e não sobre a tecnologia. Preste atenção ao valor e leia o extrato depois.