Las facilidades que ofrece la tecnologia contactless a traves de herramientas como las tarejtas de pago, son de gran utilidad para los usuarios. Por ejemplo, se evita pasar la tarjeta por el datáfono cuando se paga un establecimiento, tener que recordar el PIN en pagos menores a 20 euros o esperar por el momento de la firma, por citar solo algunas, pero ¿son todas ventajas? ¿Qué pasa con la seguridad?

A pesar de que las ventajas son numerosas, también para los trabajadores de las tiendas, porque facilita el procedimiento de pago, esto tiene un ‘coste’ que puede verse reflejado en la seguridad de los consumidores, si no se toman en cuenta determinadas medidas de protección, como advierten desde Kaspersky Lab.

Mayor alcance

“Estas tarjetas funcionan con la tecnología NFC. Las tarjetas tienen un microchip integrado y una antena que responde a las órdenes del terminal de pago mediante una gama de frecuencia de 13.56 MHz. El alcance en la transmisión NFC es muy corto, por lo que la primera línea de defensa es física. El lector, en esencia, debería encontrarse al lado de la tarjeta, por lo que no se podría hacer de forma clandestina. Además, se podría montar un lector personalizado para operar a largo alcance.

Este tipo de dispositivos tiene la capacidad de gestionar solicitudes de tarjetas contactless en entornos públicos, como centros comerciales, aeropuertos y otros lugares concurridos. En muchos países, las tarjetas compatibles con NFC están en todas las carteras, por lo tanto, los lugares con mucha masificación de gente pueden ser una gran fuente de posibles víctimas para los delincuentes.

Actualmente ya no se necesita una proximidad física o un escáner personalizado para realizar un ataque. Los hackers españoles, Ricardo Rodriguez y José Vila, desarrollaron un sistema para “eliminar la distancia” y lo presentaron en la conferencia Hack in the Box.

Cifrado

La primera línea de defensa ha de ser el cifrado. Las transacciones contactless están protegidas por el mismo estándar EMV que protege a las tarjetas de pago tradicionales que están equipadas con un chip EMV. Las bandas magnéticas son fáciles de clonar, a diferencia de los chips. Al recibir una solicitud de un TPV, su chip interno genera una clave de un solo uso. Esta clave podría ser interceptada, pero no sería válida para la siguiente transacción.

Los analistas de seguridad han mencionado varias veces su preocupación por el sistema EMV; sin embargo, en la vida real, aún no se han escuchado casos de hackeo de estas tarjetas. En una implementación estándar, el concepto de seguridad de la tarjeta EMV está basado en la combinación de claves de cifrado y un código PIN introducido por el usuario. En el caso de las transacciones contactless, no siempre es necesario el código PIN, por lo tanto los sistemas de protección están limitados a claves de cifrado generadas por una tarjeta y un terminal.

En teoría, es posible producir un terminal que lea datos de una tarjeta NFC de un bolsillo. Sin embargo, este terminal personalizado debe emplear claves de cifrado obtenidas desde un banco y un sistema de pago. Las claves son emitidas por la entidad bancaria, por lo que resulta muy fácil investigar e identificar una estafa.

El valor de la transacción

Otra línea de defensa es la limitación del valor de las transacciones de pagos contactless. Este límite se codifica en los ajustes del TPV, de manera que sea adecuada al banco, basado en recomendaciones obtenidas por los sistemas de pago. En España, a cantidad máxima suele ser 20 euros.

En caso de que el límite se excediera, la transacción se rechazaría o requeriría una prueba de validez adicional, por ejemplo un código PIN o una firma, dependiendo de los ajustes aplicados por el banco emisor. Para prevenir los intentos de cobros continuos de pequeñas cantidades se necesitaría un mecanismo de seguridad adicional.

Sin embargo, este sistema tiene un inconveniente. Hace casi un año, otro equipo de investigadores de la universidad de Newcastle (Reino Unido), informó de la existencia de una vulnerabilidad en el sistema de seguridad de las tarjetas contactless de Visa. Al elegir otra divisa que no fuera la libra, se podía superar el límite. Si el TPV está desconectado de la red, el valor máximo de transacción puede alcanzar hasta 1 millón de euros. Los representantes de Visa negaron la viabilidad de este ataque en la vida real, declarando que una transacción de tal magnitud sería rechazada por los sistemas de seguridad de los bancos.

El resultado final

Aunque la tecnología de pago contactless presupone varias capas de protección, esto no significa que el dinero esté 100% seguro. Muchos elementos de las tarjetas bancarias están basados en tecnologías obsoletas como las bandas magnéticas, la posibilidad de realizar pagos online sin una autenticación adicional, etc., según Kaspersky Lab.

En muchos aspectos, la seguridad depende de los ajustes utilizados por las instituciones financieras y por las tiendas online. Éstas, en la búsqueda de la compra rápida, prefieren sacrificar la seguridad del pago por obtener mayores  ingresos.

Es por eso que las recomendaciones de seguridad básicas siguen estando a la orden del día, incluso en el caso de los pagos contactless:

• El objetivo es evitar que otras personas vean tu número PIN o la información de tu tarjeta. Para ello, nunca se debe enseñar la tarjeta, y se debe extremar la precaución al descargar ciertas aplicaciones en el smartphone.
• La mejor solución siempre pasa por instalar un antivirus, activar las notificaciones de los movimientos bancarios por mensaje de texto y avisar al banco en cuanto se observe alguna actividad sospechosa.
• Para asegurarse de que nadie lea tu tarjeta NFC, es necesario comprar un sistema de protección para tu cartera.”