Il pagamento contactless ha reso normale avvicinare una carta di credito a un terminale invece di inserirla. Poiché tale comunicazione avviene in modalità wireless, è facile supporre che qualsiasi Lettore RFID è riuscito a rilevare e leggere la scheda.
La realtà è più specifica. Una carta di credito contactless utilizza un particolare tipo di tecnologia radio a corto raggio, e il lettore deve supportare la stessa tecnologia affinché i due dispositivi possano comunicare.
I lettori RFID sono in grado di leggere le carte di credito?
SÌ, alcuni lettori RFID sono in grado di leggere le carte di credito senza contatto, ma non tutti i lettori RFID sono in grado di farlo.
Le moderne carte di pagamento contactless funzionano in genere a 13,56 MHz e utilizzano una tecnologia basata sulla norma ISO/IEC 14443. Anche la tecnologia NFC funziona a 13,56 MHz e si basa sulla stessa interfaccia senza contatto utilizzata dalle carte di pagamento. Un lettore HF o NFC compatibile potrebbe quindi essere in grado di comunicare con una carta di credito senza contatto.
Un lettore LF che funziona a 125 kHz oppure a 134,2 kHz la scheda non verrà letta. Lo stesso vale per un tipico Lettore RFID UHF che opera nella banda 860–960 MHz. Il lettore deve supportare la frequenza e la tecnologia di comunicazione utilizzate dalla tessera.
In questo modo è possibile leggere solo le carte dotate di funzionalità contactless. Di solito è possibile riconoscerle grazie al simbolo contactless stampato sulla carta. Una carta dotata esclusivamente di chip a contatto o banda magnetica non dispone della stessa interfaccia wireless.
Ciò che il lettore può recuperare è tutta un’altra questione. Una carta di credito contactless non è come un semplice tag RFID dotato di un blocco di memoria che il lettore può esplorare liberamente. La carta esegue un’applicazione di pagamento e controlla le modalità di scambio delle informazioni.
Durante un pagamento contactless legittimo, la carta fornisce le informazioni necessarie per elaborare tale transazione. Ad esempio, Visa afferma che le sue carte contactless trasmettono il numero di conto, la data di scadenza e un codice monouso che cambia ad ogni transazione effettuata di persona. Altre informazioni utilizzate per garantire la sicurezza del pagamento vengono generate dinamicamente, anziché rimanere invariate ogni volta che la carta viene letta.
Un lettore generico a 13,56 MHz non garantisce quindi automaticamente a chiunque un accesso illimitato a tutte le informazioni associate alla carta di credito o al conto corrente. Le informazioni che è in grado di ricevere dipendono dalla carta, dal protocollo supportato e dal software con cui comunica.
Anche la distanza è ridotta. I sistemi di pagamento contactless sono progettati per la comunicazione a breve raggio. Per effettuare una transazione di pagamento, una carta Visa o un dispositivo di pagamento deve normalmente trovarsi a circa 2 pollici (5 cm) dal terminale. Anche Mastercard indica di avvicinare la carta a una distanza compresa tra uno e due pollici dal lettore.
Ciò è molto diverso dai sistemi RFID UHF a lungo raggio, in cui i tag possono essere rilevati da una distanza di diversi metri.
I lettori RFID possono rubare i dati delle carte di credito?
Un lettore contactless compatibile potrebbe essere in grado di acquisire alcune informazioni da determinate carte di pagamento se avvicinato a una distanza sufficiente. Questo fenomeno viene comunemente definito “skimming contactless”.
Tuttavia, la lettura di alcuni dati delle carte non equivale all’ottenimento di tutte le informazioni necessarie per effettuare pagamenti validi.
Le carte contactless EMV utilizzano sistemi di sicurezza crittografici durante le transazioni. Per ogni pagamento viene generato un nuovo codice di sicurezza, anziché fare affidamento esclusivamente su informazioni statiche che possono essere registrate una sola volta e riprodotte all’infinito. EMVCo lo definisce un codice di sicurezza monouso, mentre Mastercard utilizza un crittogramma dinamico unico per ogni transazione contactless.
Anche le informazioni sensibili relative all’autenticazione vengono trattate in modo diverso rispetto ai normali dati delle carte. Ad esempio, Mastercard precisa che il codice CVC2 utilizzato per l’autenticazione in assenza fisica della carta non viene memorizzato come dato leggibile sul chip.
Ciò non significa che la lettura non autorizzata sia impossibile né che le carte contactless non comportino alcun rischio per la sicurezza. Alcuni dati della carta potrebbero essere esposti durante la comunicazione contactless, a seconda della carta e del sistema di pagamento. Tuttavia, l’acquisizione di tali dati non consente al lettore di ottenere le credenziali crittografiche conservate in modo sicuro all’interno del chip.
Un lettore RFID può copiare una carta di credito?
Un normale lettore RFID non è in grado di leggere una carta di credito senza contatto e di crearne un duplicato perfettamente funzionante semplicemente copiando i dati ricevuti.
I chip di pagamento EMV contengono chiavi crittografiche utilizzate per autenticare le transazioni. Tali chiavi segrete non vengono trasmesse al lettore durante una normale transazione contactless. Il chip le utilizza invece internamente per generare dati crittografici specifici per la transazione.
Di conseguenza, copiare le informazioni leggibili su un altro chip RFID non consentirebbe di riprodurre la capacità della carta originale di generare dati di autenticazione validi.
La lettura e la clonazione sono due cose completamente diverse. Un sistema RFID dotato di un semplice identificatore statico può consentire la copia di tale identificatore se il tag non è protetto. Una carta di pagamento contactless, invece, utilizza solitamente un sistema di sicurezza molto più complesso.
Domande frequenti
Un telefono è in grado di leggere una carta di credito contactless?
Uno smartphone dotato di tecnologia NFC può comunicare con dispositivi compatibili che utilizzano la tecnologia contactless a 13,56 MHz. Le carte di pagamento e i dispositivi NFC utilizzano standard correlati, pertanto la comunicazione è tecnicamente possibile.
Ciò a cui il telefono può effettivamente accedere dipende dal suo sistema operativo, dall'app utilizzata e dalla carta stessa. La presenza della tecnologia NFC su un telefono non garantisce a quest'ultimo un accesso illimitato alle credenziali di pagamento della carta.
Un lettore RFID è in grado di leggere una carta di credito attraverso i vestiti?
Gli indumenti sottili di solito non offrono una schermatura specifica contro le radiofrequenze, quindi un lettore compatibile potrebbe comunque comunicare con una carta contactless attraverso il tessuto, purché si trovi a una distanza sufficientemente ravvicinata.
La distanza rimane il principale limite. Le carte di pagamento contactless sono progettate per funzionare solo su distanze di pochi centimetri, a differenza delle lunghe portate associate ai sistemi RFID UHF.
Un lettore RFID è in grado di leggere una carta di credito attraverso un portafoglio?
Un normale portafoglio non impedisce necessariamente la comunicazione senza contatto. La carta potrebbe comunque essere leggibile se si trova sufficientemente vicina a un lettore compatibile.
La situazione cambia se il portafoglio contiene materiale schermante contro le radiofrequenze progettato per bloccare le comunicazioni a 13,56 MHz. Anche la presenza di più carte contactless raggruppate insieme può interferire con la comunicazione, quindi la vicinanza di un lettore non garantisce che una determinata carta venga letta correttamente.
Conclusione
Quindi, nel complesso, Sì, un lettore RFID compatibile è in grado di leggere una carta di credito contactless. Il lettore deve supportare la frequenza di 13,56 MHz e lo standard di comunicazione della scheda. Anche in questo caso, la scheda non si comporta come un normale tag RFID con dati liberamente leggibili.