¿Son seguras las tarjetas contactless de pago?

Las tarjetas contactless se han puesto de moda. Seguro que estás pensando si eso de no tener que introducir la tarjeta en el datáfono del comercio para pagar ni tener que firmar ningún recibo es seguro

Tener una tarjeta bancaria contactless y pagar con ella sin duda es muy útil, tanto para tí como para las personas que trabajan en la caja de los comercios.

Para tí, porque con un único gesto ya has pagado tu compra: No tienes que pasar la tarjeta por datáfonos al hacer el pago en el establecimiento, recordar el PIN (cuando los pagos sean inferiores a 20 euros aproximadamente), intentar firmar con un boli que nunca funciona, por no hablar del momento de sacar la cartera y buscar el dinero.

Y para las personas que trabajan en la caja, el pago sin contacto también es una ventaja. Esto hace que el proceso de compra sea mucho más rápido, aumenta el nivel de venta y disminuye las largas colas que se producen en este tipo de negocios.

Pero, ¿son seguras las tarjetas contactless?. Todas estas facilidades de uso, ¿pueden dejar al descubierto la propia seguridad de las tarjetas?. Veamos a continuación cómo funcionan este tipo de tarjetas y unas recomendaciones básicas de seguridad a tener en cuenta.

Mayor alcance

Estas tarjetas funcionan con la tecnología NFC. Las tarjetas tienen un microchip integrado y una antena que responde a las órdenes del terminal de pago mediante una gama de frecuencia de 13.56 MHz. El alcance en la transmisión NFC es muy corto, por lo que la primera línea de defensa es física. El lector, en esencia, debería encontrarse al lado de la tarjeta, por lo que no se podría hacer de forma clandestina. Además, se podría montar un lector personalizado para operar a largo alcance.

Este tipo de dispositivos tiene la capacidad de gestionar solicitudes de tarjetas contactless en entornos públicos, como centros comerciales, aeropuertos y otros lugares concurridos. En muchos países, las tarjetas compatibles con NFC están en todas las carteras, por lo tanto, los lugares con mucha masificación de gente pueden ser una gran fuente de posibles víctimas para los delincuentes.

Actualmente ya no se necesita una proximidad física o un escáner personalizado para realizar un ataque. Los hackers españoles, Ricardo Rodriguez y José Vila, desarrollaron un sistema para “eliminar la distancia” y lo presentaron en la conferencia Hack in the Box.

Cifrado

La primera línea de defensa ha de ser el cifrado. Las transacciones contactless están protegidas por el mismo estándar EMV que protege a las tarjetas de pago tradicionales que están equipadas con un chip EMV. Las bandas magnéticas son fáciles de clonar, a diferencia de los chips. Al recibir una solicitud de un TPV, su chip interno genera una clave de un solo uso. Esta clave podría ser interceptada, pero no sería válida para la siguiente transacción.

Los analistas de seguridad han mencionado varias veces su preocupación por el sistema EMV; sin embargo, en la vida real, aún no se han escuchado casos de hackeo de estas tarjetas. En una implementación estándar, el concepto de seguridad de la tarjeta EMV está basado en la combinación de claves de cifrado y un código PIN introducido por el usuario. En el caso de las transacciones contactless, no siempre es necesario el código PIN, por lo tanto los sistemas de protección están limitados a claves de cifrado generadas por una tarjeta y un terminal.

En teoría, es posible producir un terminal que lea datos de una tarjeta NFC de un bolsillo. Sin embargo, este terminal personalizado debe emplear claves de cifrado obtenidas desde un banco y un sistema de pago. Las claves son emitidas por la entidad bancaria, por lo que resulta muy fácil investigar e identificar una estafa.

El valor de la transacción

Otra línea de defensa es la limitación del valor de las transacciones de pagos contactless. Este límite se codifica en los ajustes del TPV, de manera que sea adecuada al banco, basado en recomendaciones obtenidas por los sistemas de pago. En España, la cantidad máxima suele ser 20 euros.

En caso de que el límite se excediera, la transacción se rechazaría o requeriría una prueba de validez adicional, por ejemplo un código PIN o una firma, dependiendo de los ajustes aplicados por el banco emisor. Para prevenir los intentos de cobros continuos de pequeñas cantidades se necesitaría un mecanismo de seguridad adicional.

Sin embargo, este sistema tiene un inconveniente. Hace casi un año, otro equipo de investigadores de la universidad de Newcastle (Reino Unido), informó de la existencia de una vulnerabilidad en el sistema de seguridad de las tarjetas contactless de Visa. Al elegir otra divisa que no fuera la libra, se podía superar el límite. Si el TPV está desconectado de la red, el valor máximo de transacción puede alcanzar hasta 1 millón de euros. Los representantes de Visa negaron la viabilidad de este ataque en la vida real, declarando que una transacción de tal magnitud sería rechazada por los sistemas de seguridad de los bancos.

Recomendaciones de seguridad básicas

Aunque la tecnología de pago contactless presupone varias capas de protección, esto no significa que el dinero esté 100% seguro. En muchos aspectos, la seguridad depende de los ajustes utilizados por las instituciones financieras y por las tiendas online.

Es por eso que las recomendaciones de seguridad básicas siguen estando a la orden del día, incluso en el caso de los pagos contactless:

Evita que otras personas vean tu número PIN o la información de tu tarjeta. Para ello, nunca se debe enseñar la tarjeta, y se debe extremar la precaución al descargar ciertas aplicaciones en el smartphone.

La mejor solución siempre pasa por instalar un antivirus, activar las notificaciones de los movimientos bancarios por mensaje de texto y avisar al banco en cuanto se observe alguna actividad sospechosa.