Riscurile NFC și cum să faceți plățile contactless mai sigure

Cu două decenii în urmă, cardurile cu bandă magnetică erau populare, dar prezentau vulnerabilități de securitate. Autentificarea prin semnătură a titularului aducea adesea dificultăți în finalizarea rapidă a tranzacțiilor, iar lipsa criptării datelor le făcea susceptibile la riscuri precum skimming și clonare de către infractori.

Plata cu smartphone-ul folosind NFC. FOTO Shutterstock

Plățile contactless devin rapid omniprezente – dar sunt ele mai sigure decât metodele de plată tradiționale? se întreabă Mark Szabo pe blogul ESET.

Cardurile bazate pe cip au apărut ca un succesor, oferind securitate sporită prin criptarea datelor. Aceste carduri au necesitat inserarea în terminalele de plată (POS) și autentificarea cu un PIN, marcând o trecere către metode de tranzacție mai sigure. Din punct de vedere al securității, cardurile bazate pe cip au reprezentat un progres clar, deoarece necesitau autentificare și ofereau securitate îmbunătățită pe card datorită criptării. Cu toate acestea, aceste carduri erau încă susceptibile la clonarea sau furtul de informații, deși comiterea unor astfel de infracțiuni a fost mai dificilă decât cu cardurile cu bandă magnetică.

Standardul NFC

Comunicarea în câmp apropiat sau NFC (Near-field communication), care evoluează de la identificarea prin radiofrecvență (RFID), a apărut ca un nou standard de plată în a doua jumătate a anilor 2010. Cu această tehnologie, cardurile originale bazate pe cip au devenit și mai utile, deoarece, în loc să fie nevoie să le introduci în terminale de plată și bancomate, este nevoie doar de o apropiere de un dispozitiv de plată compatibil NFC pentru a transfera bani.

Ce poate fi un dispozitiv de plată? În afară de cardurile contactless, acum și telefoanele pot oferi această funcție prin servicii precum Apple Pay sau Google Pay, care, după încărcarea detaliilor cardului în aplicație, vă permit să utilizați telefonul pentru plăți.

Procesul prin care funcționează plata NFC funcționează destul de similar cu Bluetooth sau alte sisteme de comunicații fără fir, utilizând unde radio pentru a activa și verifica informațiile transmise. Aceste date sunt apoi decodificate de o antenă. Mai exact, în cazul unei plăți, terminalul primește informații de la telefon, pe care apoi le procesează și le aprobă pentru a facilita tranzacția.

Datorită razei de acțiune foarte scurte a NFC, nu este util pentru transferuri mari de date. Spre deosebire de Wi-Fi sau Bluetooth, este mai lent și necesită ca cele două dispozitive de comunicare să fie în imediata apropiere. Acest lucru are o oarecare asemănare cu transferurile de fișiere în infraroșu din trecut, care funcționau similar, dar erau mult mai puțin convenabile și funcționau doar jumătate din timp: trebuia să fiți foarte precis cu modul în care vă plasați telefoanele, iar senzorii trebuiau să atingă aproape.

Cât de sigur este NFC?

Având în vedere că aplicația sa principală facilitează tranzacțiile contactless, s-ar putea presupune că trebuie să fie complet sigură, nu? Și așa și este, în mare parte. În comparație cu alte metode de comunicare fără fir, este mult mai greu de interceptat ,din cauza proximității necesare pentru ca acesta să funcționeze, dar asta nu înseamnă că este impenetrabil în fața anumitor forme de atacuri cibernetice.

Una dintre cele mai comune metode de atac atunci când vine vorba de comunicarea fără fir o reprezintă atacurile „man-in-the-middle” (MITM). Pentru ca acestea să funcționeze, trebuie să existe un instrument (echipament, site web fals, e-mailuri) care interceptează comunicarea între două dispozitive/utilizatori, care apoi decriptează și transmite atacatorului datele respective. Acesta este unul dintre motivele pentru care utilizarea Wi-Fi-ului public este atât de periculoasă. Nu este deloc dificil să configurezi un hotspot fals cu același nume ca un loc de afaceri sau ca o locație dintr-un oraș și, din moment ce oamenii doresc să le folosească, un infractor poate compromite cu ușurință comunicarea care vine de la dispozitivele care folosesc acele puncte de acces.

Atacurile MITM se aplică și pentru NFC? Deși poate deveni o amenințare din punct de vedere tehnic, acest tip de atac pur și simplu nu este atât de viabil, din mai multe motive. În primul rând, pentru a face skimming cu comunicarea NFC, un dispozitiv cititor trebuie să se apropie destul de mult de cardul/telefonul mobil pentru a citi datele necesare. În al doilea rând, hackerul trebuie să aibă și un instrument special pentru a face asta. Sincer, ar fi mult mai ușor să vă fure direct telefonul/cardul.

Într-adevăr, în anumite condiții, terminalele de plată pot fi compromise. Cu toate acestea, spre deosebire de skimming obișnuit de card, comunicarea NFC este criptată și tokenizată, ceea ce înseamnă că un card cu greu poate fi duplicat datorită informațiilor sale ascunse.

Cu toate acestea, nu presupuneți că un oportunist tot nu ar încerca să vă „îmbrâncească” pentru a obține detaliile cardului și, deoarece există și atacuri asupra cheilor de mașină wireless (care folosesc tehnologie RFID similară pentru a funcționa ca NFC), cardurile de credit și telefoanele mobile sunt încă în pericol.

​Securitatea nu trebuie subestimată

Deși este adevărat că tehnologia NFC este mai sigură, mai ales când vine vorba de efectuarea plăților, aceasta nu înseamnă că este infailibilă, deoarece actorii rău intenționați pot exploata cu ușurință anumite vulnerabilități pentru a obține ceea ce își doresc.

De exemplu, în 2021, un cercetător a demonstrat un atac în care a folosit o aplicație Android pentru a compromite ATM-urile cu tehnologie NFC. Acest lucru a fost posibil din cauza anumitor erori software din acele unități, care pot fi foarte bine găsite și în softul altor forme de terminale de plată.

Defecte ale sistemului și găuri de securitate vor exista întotdeauna, motiv pentru care chiar și furnizorii de asigurări cibernetice subliniază adesea că patch-urile de vulnerabilitate trebuie să fie la zi, reprezentând o cerință obligatorie pentru o protecție eficientă.

În plus, deoarece plățile NFC sunt construite în mod inerent pe baza aspectului comodității, există o lipsă de autentificare suplimentară (cum ar fi un PIN) de care ar necesita un card obișnuit bazat pe cip, de exemplu. Deci, dacă cineva vă fură cardul de credit, poate face cu ușurință plăți frauduloase, fără a fi nevoie să introducă un cod (până la o anumită valoare), iar în funcție de limitele de plată stabilite, sumele pot fi destul de mari.

Sunt mai sigure plățile cu telefonul mobil?

După cum am menționat anterior, capabilitățile NFC sunt prezente și pe telefoane. Dar sunt ele mai sigure? Deoarece Apple Pay, Google Pay și altele necesită securitate suplimentară sub forma unui PIN, amprentă, scanare a feței sau orice protocol pe care l-ați putea avea disponibil pe telefon, există într-adevăr o siguranță suplimentară. De asemenea, ambele servicii de plată funcționează numai atunci când sunt activate, așa că există mai puține șanse ca cineva să inițieze pe îndelete o plată de la dumneavoastră. În plus, utilizarea Apple Pay sau Google Pay nu vă transmite detaliile contului și, în cazul în care vă pierdeți dispozitivul, este destul de ușor să dezactivați de la distanță aceste servicii.

De asemenea, deși ceasurile inteligente sunt grozave din multe puncte de vedere, activarea plăților prin intermediul acestora ar putea fi problematică, în primul rând din cauza lipsei de autentificare suplimentară dincolo de un PIN scurt necesar pentru a debloca ceasul. Presupunerea este că ceasul aflat la încheietura mâinii proprietarului servește ca formă de autentificare. Cu toate acestea, având în vedere că ceasurile pot fi furate și sunt adesea protejate doar de un cod PIN din patru cifre, aceasta poate să nu fie întotdeauna o metodă suficient de sigură pentru tranzacții. 

Cum să vă faceți plățile contactless mai sigure

Pentru a încheia acest articol cu o notă mai pozitivă, iată câteva modalități prin care puteți face plățile fără contact mai sigure:

• Încercați RFID blockers - Acestea sunt carduri sau portofele mici care creează o barieră între card și lumea exterioară, atenuând potențialele atacuri de skimming.
• Configurați limite scăzute de plată - Acest lucru se poate face prin intermediul băncii sau al software-ului acesteia, în care puteți seta o limită maximă pentru cât puteți cumpăra prin plăți contactless.
• Folosiți plățile cu telefonul – Chiar dacă aceste aplicații pot avea defecte, sunt totuși puțin mai sigure decât cardurile contactless, datorită cerințelor suplimentare de autentificare.
• Folosiți numerar – Deși avantajele nu au nevoie de explicații, s-ar putea să vă faceți griji că aveți sume mari de bani în portofel, care pot fi furate.
• Uitați de plățile cu ceasurile inteligente – Datorită securității mai scăzute, activarea plăților pentru ceasurile inteligente poate aduce probleme de securitate.
• Obțineți un card de călătorie – Dacă sunteți îngrijorat de plățile expres, obțineți un card de călătorie suplimentar, dacă este posibil, în loc să vă folosiți propriul card de credit/telefon ca mijloc de plată a biletelor.

Acestea sunt doar câteva metode pe care le puteți folosi pentru a avea plăți mai sigure. Desigur, nicio soluție de securitate nu vă poate oferi o garanție de 100%, dar chiar și pașii mici, simpli, vă pot feri de nenorociri.