El pago sin contacto ha hecho que resulte habitual acercar una tarjeta de crédito a un terminal en lugar de introducirla. Dado que esa comunicación se realiza de forma inalámbrica, es fácil suponer que cualquier Lector RFID podía detectar y leer la tarjeta.
La realidad es más concreta. Una tarjeta de crédito sin contacto utiliza un tipo concreto de tecnología de radio de corto alcance, y el lector debe ser compatible con esa misma tecnología para que ambos puedan comunicarse.
¿Pueden los lectores RFID leer tarjetas de crédito?
Sí, Algunos lectores RFID pueden leer tarjetas de crédito sin contacto., pero no todos los lectores RFID pueden hacerlo.
Las tarjetas de pago sin contacto modernas suelen funcionar a 13,56 MHz y utilizan una tecnología basada en la norma ISO/IEC 14443. La tecnología NFC también funciona a 13,56 MHz y se basa en la misma interfaz sin contacto que utilizan las tarjetas de pago. Por lo tanto, un lector compatible con HF o NFC podría comunicarse con una tarjeta de crédito sin contacto.
Un receptor de onda larga que funciona a 125 kHz o a 134,2 kHz no leerá la tarjeta. Tampoco lo hará un típico Lector RFID UHF que funcione en la banda de 860-960 MHz. El lector debe ser compatible con la frecuencia y la tecnología de comunicación que utilice la tarjeta.
Solo se pueden leer de esta forma las tarjetas con función sin contacto. Normalmente, se pueden identificar por el símbolo de «sin contacto» impreso en la tarjeta. Una tarjeta que solo tenga un chip de contacto o una banda magnética no dispone de la misma interfaz inalámbrica.
Lo que el lector puede leer es otra cuestión. Una tarjeta de crédito sin contacto no es como una etiqueta RFID básica con un bloque de memoria que el lector pueda explorar libremente. La tarjeta ejecuta una aplicación de pago y controla cómo se intercambia la información.
Durante un pago sin contacto legítimo, la tarjeta proporciona la información necesaria para procesar dicha transacción. Por ejemplo, Visa afirma que sus tarjetas sin contacto transmiten el número de cuenta, la fecha de caducidad y un código de un solo uso que cambia en cada transacción presencial. El resto de la información utilizada para garantizar la seguridad del pago se genera dinámicamente, en lugar de permanecer igual cada vez que se lee la tarjeta.
Por lo tanto, un lector genérico de 13,56 MHz no otorga automáticamente a nadie acceso ilimitado a todo lo relacionado con la tarjeta de crédito o la cuenta bancaria. La información que puede recibir depende de la tarjeta, del protocolo compatible y del software que se comunique con ella.
La distancia también es corta. Los sistemas de pago sin contacto están diseñados para la comunicación a corta distancia. Para realizar una transacción de pago, una tarjeta Visa o un dispositivo de pago suelen tener que estar a unos 2 pulgadas (5 cm) del terminal. Mastercard indica, de forma similar, que hay que acercar la tarjeta a una o dos pulgadas del lector.
Esto difiere mucho de los sistemas RFID UHF de largo alcance, en los que las etiquetas pueden detectarse a varios metros de distancia.
¿Pueden los lectores RFID robar información de tarjetas de crédito?
Un lector sin contacto compatible podría obtener cierta información de determinadas tarjetas de pago si se acerca lo suficiente a ellas. Esto se conoce comúnmente como «skimming sin contacto».
Sin embargo, leer algunos datos de la tarjeta no es lo mismo que obtener toda la información necesaria para realizar pagos válidos.
Las tarjetas sin contacto EMV utilizan seguridad criptográfica durante las transacciones. Se genera un nuevo valor de seguridad para cada pago, en lugar de basarse únicamente en información estática que puede registrarse una vez y reproducirse indefinidamente. EMVCo lo describe como un código de seguridad de un solo uso, mientras que Mastercard utiliza un criptograma dinámico único para cada transacción sin contacto.
La información confidencial de autenticación también se trata de forma diferente a los datos habituales de las tarjetas. Por ejemplo, Mastercard afirma que el CVC2 utilizado para la autenticación sin presencia física de la tarjeta no se almacena como datos legibles en el chip.
Esto no significa que la lectura no autorizada sea imposible ni que las tarjetas sin contacto no entrañen ningún riesgo de seguridad. Algunos datos de la tarjeta pueden quedar expuestos durante la comunicación sin contacto, dependiendo de la tarjeta y del sistema de pago. Sin embargo, el hecho de obtener esos datos no proporciona al lector las credenciales criptográficas que se almacenan de forma segura en el chip.
¿Puede un lector RFID copiar una tarjeta de crédito?
Un lector RFID normal no puede leer una tarjeta de crédito sin contacto y crear a continuación un duplicado totalmente funcional simplemente copiando los datos que recibe.
Los chips de pago EMV contienen claves criptográficas que se utilizan para autenticar las transacciones. Esas claves secretas no se transmiten al lector durante una transacción sin contacto normal. En su lugar, el chip las utiliza internamente para generar datos criptográficos específicos de cada transacción.
Por lo tanto, copiar la información legible en otro chip RFID no permitiría reproducir la capacidad de la tarjeta original para generar datos de autenticación válidos.
La lectura y la clonación son dos cosas totalmente diferentes. Un sistema RFID con un identificador estático sencillo puede permitir que se copie dicho identificador si la etiqueta no está protegida. Una tarjeta de pago sin contacto, en cambio, suele utilizar un sistema de seguridad mucho más complejo.
Preguntas frecuentes
¿Puede un móvil leer una tarjeta de crédito sin contacto?
Un teléfono con hardware NFC puede comunicarse con tecnología sin contacto compatible a 13,56 MHz. Las tarjetas de pago y los dispositivos NFC utilizan estándares relacionados, por lo que la comunicación es técnicamente posible.
Lo a lo que el teléfono puede acceder realmente depende de su sistema operativo, de la aplicación que se esté utilizando y de la propia tarjeta. El hecho de que un teléfono disponga de NFC no le otorga acceso ilimitado a los datos de pago de la tarjeta.
¿Puede un lector RFID leer una tarjeta de crédito a través de la ropa?
La ropa fina no suele ofrecer un apantallamiento específico contra las radiofrecuencias, por lo que un lector compatible podría seguir comunicándose con una tarjeta sin contacto a través del tejido si se encuentra lo suficientemente cerca.
La distancia sigue siendo la principal limitación. Las tarjetas de pago sin contacto están diseñadas para funcionar a una distancia de solo unos pocos centímetros, en lugar de a los largos alcances propios de los sistemas RFID de UHF.
¿Puede un lector RFID leer una tarjeta de crédito a través de una cartera?
Una cartera normal no impide necesariamente la comunicación sin contacto. La tarjeta puede seguir siendo legible si se encuentra lo suficientemente cerca de un lector compatible.
La situación cambia si el monedero contiene material de blindaje contra radiofrecuencias diseñado para bloquear la comunicación a 13,56 MHz. Varias tarjetas sin contacto guardadas juntas también pueden interferir en la comunicación, por lo que tener un lector cerca no garantiza que una tarjeta concreta se lea correctamente.
Conclusión
Así que, en general, Sí, un lector RFID compatible puede leer una tarjeta de crédito sin contacto. El lector debe ser compatible con la frecuencia de 13,56 MHz y el estándar de comunicación de la tarjeta. Aun así, la tarjeta no funciona como una etiqueta RFID convencional cuyos datos se pueden leer libremente.