O pagamento sem contacto tornou normal aproximar um cartão de crédito de um terminal, em vez de o inserir. Uma vez que essa comunicação ocorre sem fios, é fácil supor que qualquer Leitor RFID conseguiu detetar e ler o cartão.
A realidade é mais específica. Um cartão de crédito sem contacto utiliza um tipo específico de tecnologia de rádio de curto alcance, e o leitor tem de ser compatível com essa mesma tecnologia para que ambos possam comunicar.
Os leitores RFID conseguem ler cartões de crédito?
Sim, Alguns leitores RFID conseguem ler cartões de crédito sem contacto, mas nem todos os leitores RFID têm essa capacidade.
Os cartões de pagamento sem contacto modernos funcionam normalmente a 13,56 MHz e utilizam tecnologia baseada na norma ISO/IEC 14443. A tecnologia NFC também funciona a 13,56 MHz e baseia-se na mesma interface sem contacto utilizada pelos cartões de pagamento. Um leitor compatível com HF ou NFC poderá, por conseguinte, comunicar com um cartão de crédito sem contacto.
Um leitor LF a funcionar a 125 kHz ou 134,2 kHz não lê o cartão. O mesmo acontece com um típico Leitor RFID UHF que opera na gama de 860–960 MHz. O leitor deve ser compatível com a frequência e a tecnologia de comunicação utilizadas pelo cartão.
Apenas os cartões com funcionalidade sem contacto podem ser lidos desta forma. Normalmente, é possível identificá-los pelo símbolo de comunicação sem contacto impresso no cartão. Um cartão que possua apenas um chip de contacto ou uma banda magnética não dispõe da mesma interface sem fios.
O que o leitor consegue aceder é outra questão. Um cartão de crédito sem contacto não é como uma etiqueta RFID básica com um bloco de memória que um leitor possa explorar livremente. O cartão executa uma aplicação de pagamento e controla a forma como a informação é trocada.
Durante um pagamento sem contacto legítimo, o cartão fornece as informações necessárias para processar essa transação. Por exemplo, a Visa afirma que os seus cartões sem contacto transmitem o número da conta, a data de validade e um código único que muda em cada transação presencial. Outras informações utilizadas para garantir a segurança do pagamento são geradas dinamicamente, em vez de permanecerem as mesmas sempre que o cartão é lido.
Um leitor genérico de 13,56 MHz não concede, portanto, automaticamente a alguém acesso ilimitado a tudo o que está associado ao cartão de crédito ou à conta bancária. O que ele consegue receber depende do cartão, do protocolo suportado e do software que com ele comunica.
A distância também é curta. Os sistemas de pagamento sem contacto são concebidos para comunicação de curto alcance. Um cartão Visa ou um dispositivo de pagamento tem normalmente de estar a cerca de 2 polegadas (5 cm) do terminal para que a transação de pagamento seja efetuada. A Mastercard descreve, de forma semelhante, que o cartão deve ser mantido a uma ou duas polegadas do leitor.
Isso é muito diferente dos sistemas RFID UHF de longo alcance, nos quais as etiquetas podem ser detetadas a vários metros de distância.
Os leitores RFID podem roubar informações de cartões de crédito?
Um leitor sem contacto compatível pode conseguir obter algumas informações de determinados cartões de pagamento se for aproximado o suficiente. Este fenómeno é geralmente designado por «skimming sem contacto».
No entanto, ler alguns dados do cartão não é o mesmo que obter toda a informação necessária para efetuar pagamentos válidos.
Os cartões sem contacto EMV utilizam segurança criptográfica durante as transações. É gerado um novo valor de segurança para cada pagamento, em vez de se basear apenas em informações estáticas que podem ser registadas uma vez e reproduzidas indefinidamente. A EMVCo descreve isto como um código de segurança único, enquanto a Mastercard utiliza um criptograma dinâmico único para cada transação sem contacto.
As informações confidenciais de autenticação também são tratadas de forma diferente dos dados normais dos cartões. Por exemplo, a Mastercard afirma que o CVC2 utilizado para a autenticação sem a presença física do cartão não é armazenado como dados legíveis no chip.
Isto não significa que a leitura não autorizada seja impossível nem que os cartões sem contacto não apresentem riscos de segurança. Alguns dados do cartão podem ficar expostos durante a comunicação sem contacto, dependendo do cartão e do sistema de pagamento. No entanto, a obtenção desses dados não confere ao leitor as credenciais criptográficas guardadas de forma segura no interior do chip.
Um leitor RFID consegue copiar um cartão de crédito?
Um leitor RFID normal não consegue ler um cartão de crédito sem contacto e, em seguida, criar uma cópia totalmente funcional simplesmente copiando os dados que recebe.
Os chips de pagamento EMV contêm chaves criptográficas que são utilizadas para autenticar transações. Essas chaves secretas não são transmitidas ao leitor durante uma transação sem contacto normal. Em vez disso, o chip utiliza-as internamente para gerar dados criptográficos específicos da transação.
Consequentemente, a cópia de informação legível para outro chip RFID não reproduziria a capacidade do cartão original de gerar dados de autenticação válidos.
A leitura e a clonagem são duas coisas completamente diferentes. Um sistema RFID com um identificador estático simples pode permitir que esse identificador seja copiado, caso a etiqueta não esteja protegida. Um cartão de pagamento sem contacto, no entanto, utiliza normalmente um sistema de segurança muito mais complexo.
Perguntas frequentes
Um telemóvel consegue ler um cartão de crédito sem contacto?
Um telemóvel equipado com hardware NFC pode comunicar com tecnologia sem contacto compatível de 13,56 MHz. Os cartões de pagamento e os dispositivos NFC utilizam normas relacionadas, pelo que a comunicação é tecnicamente possível.
O que o telemóvel pode efetivamente aceder depende do seu sistema operativo, da aplicação que está a ser utilizada e do próprio cartão. O facto de um telemóvel dispor de NFC não lhe confere acesso ilimitado às credenciais de pagamento do cartão.
Um leitor RFID consegue ler um cartão de crédito através da roupa?
As peças de roupa finas não oferecem, normalmente, uma proteção deliberada contra as radiofrequências, pelo que um leitor compatível pode ainda assim comunicar com um cartão sem contacto através do tecido, se o leitor estiver suficientemente próximo.
A distância continua a ser a principal limitação. Os cartões de pagamento sem contacto foram concebidos para funcionar apenas a uma distância de alguns centímetros, ao contrário dos longos alcances associados aos sistemas RFID UHF.
Um leitor RFID consegue ler um cartão de crédito através de uma carteira?
Uma carteira comum não impede necessariamente a comunicação sem contacto. O cartão pode continuar a ser lido se estiver suficientemente próximo de um leitor compatível.
A situação muda se a carteira contiver material de blindagem contra radiofrequências concebido para bloquear a comunicação a 13,56 MHz. Vários cartões sem contacto colocados juntos também podem interferir com a comunicação, pelo que a presença de um leitor nas proximidades não garante que um determinado cartão seja lido com sucesso.
Conclusão
Portanto, em resumo, Sim, um leitor RFID compatível consegue ler um cartão de crédito sem contacto. O leitor tem de ser compatível com a frequência de 13,56 MHz e com o padrão de comunicação do cartão. Mesmo assim, o cartão não funciona como uma etiqueta RFID comum, cujos dados podem ser lidos livremente.