Basta avvicinarsi alla carta per rubare i soldi? Cosa può davvero fare un lettore RFID

Carte contactless e tecnologia RFID: ecco quali sono i rischi reali di intercettazione dei dati, cosa protegge le transazioni e quando una custodia RFID può essere utile.

La tecnologia RFID è ormai presente in moltissimi oggetti e servizi che utilizziamo ogni giorno. La troviamo nei sistemi di pagamento contactless, nei badge aziendali, nei sistemi di identificazione, nella gestione degli inventari e persino in alcune serrature intelligenti. È una tecnologia estremamente pratica perché permette di trasferire informazioni senza un collegamento fisico.

Proprio questa caratteristica, però, ha alimentato negli anni una serie di dubbi sulla sicurezza. Uno degli scenari più conosciuti è quello del criminale che, avvicinandosi alla vittima in un luogo affollato, riesce a leggere a distanza la carta di pagamento custodita nel portafoglio e a sottrarne i dati.

Ma quanto è realistico questo scenario? E soprattutto, basta davvero un lettore RFID per rubare i dati di una carta contactless? La risposta è più complessa di quanto possa sembrare.

Contactless non significa carta completamente esposta

Il primo punto da chiarire riguarda proprio le carte utilizzate per effettuare pagamenti contactless. Il fatto che una carta possa comunicare con un terminale senza essere inserita fisicamente nel POS non significa che tutte le informazioni presenti sulla carta vengano trasmesse liberamente ogni volta che entra nel raggio di un dispositivo compatibile.

Le carte contactless basate sugli standard EMV, sviluppati da Europay, Mastercard e Visa e definiti dal consorzio EMVCo, utilizzano infatti diversi meccanismi di sicurezza per proteggere le transazioni.

Uno degli elementi più importanti è la generazione, durante ogni operazione, di un codice di sicurezza utilizzabile una sola volta. Questo codice permette al terminale e all’emittente della carta di verificare l’autenticità della transazione.

Il dato cambia quindi da un pagamento all’altro e non può essere semplicemente riutilizzato per replicare la stessa operazione.

Questo è un dettaglio fondamentale perché ridimensiona una delle paure più diffuse legate alle carte contactless: l’idea che sia sufficiente avvicinare un lettore RFID a una persona per clonare immediatamente la sua carta di credito o di debito.

Il problema della sicurezza, però, non può essere completamente escluso. Il PCI Security Standards Council ha infatti indicato l’intercettazione delle comunicazioni NFC o contactless tra gli scenari che devono essere considerati nella sicurezza dei sistemi di pagamento. La possibilità di intercettare una comunicazione esiste quindi, ma non significa che un attacco possa essere effettuato in maniera indiscriminata e senza particolari condizioni.

Quanto deve essere vicino un lettore RFID?

Uno degli aspetti più importanti da considerare è la distanza operativa. La tecnologia RFID è progettata per comunicare a corto raggio e non permette a un dispositivo di leggere indistintamente tutte le carte presenti intorno a sé. Per stabilire una comunicazione tra una carta e un dispositivo ricevente devono infatti verificarsi determinate condizioni.

Con apparecchiature specifiche è possibile aumentare la distanza operativa fino a circa 45 centimetri, ma anche in questo caso non significa che il furto dei dati diventi automaticamente semplice.

Portafogli, borse, vestiti e altri oggetti possono infatti interferire con la comunicazione. A questo si aggiungono eventuali disturbi provocati da altre comunicazioni radio presenti nell’ambiente.

Immaginare quindi un malintenzionato che passeggia in una stazione leggendo contemporaneamente tutte le carte contactless delle persone che incontra è una rappresentazione decisamente semplificata del problema.

La sicurezza dipende dal tipo di carta, dal sistema utilizzato, dall’apparecchiatura impiegata e dalle condizioni in cui viene effettuato il tentativo di intercettazione.

Portafogli RFID: servono davvero?

Da qui nasce un altro mercato molto conosciuto: quello di portafogli e custodie RFID. Questi accessori utilizzano una schermatura, generalmente ottenuta attraverso materiali conduttivi o fibre metalliche, progettata per ostacolare le comunicazioni radio della carta.

L’idea è semplice: se la carta non riesce a comunicare con l’esterno, diventa molto più difficile che un dispositivo nelle vicinanze possa interagire con il suo chip contactless.

Per chi vuole aggiungere un ulteriore livello di protezione, quindi, una custodia schermata può rappresentare una soluzione pratica. Non bisogna però trasformarla in una necessità assoluta per ogni utilizzatore di carte contactless.

Esiste anche il famoso rimedio casalingo del foglio di alluminio. Il principio alla base non è completamente sbagliato: un materiale conduttivo come l’alluminio può contribuire a schermare le onde radio.

Il problema è soprattutto pratico. Un foglio di alluminio può facilmente presentare strappi, pieghe o aperture che ne compromettono l’efficacia. Inoltre, ogni volta che si vuole utilizzare la carta sarebbe necessario rimuovere la schermatura e successivamente ricrearla.

Una custodia progettata appositamente per questo scopo è quindi una soluzione decisamente più pratica rispetto a trasformare il proprio portafoglio in un involucro di alluminio.

Il vero rischio potrebbe essere altrove

C’è però un altro aspetto interessante da considerare. Quando si parla di furti legati alle carte contactless, l’immagine del criminale che cerca di intercettare una carta mentre si trova nella tasca della vittima è probabilmente quella che attira maggiormente l’attenzione. In determinati contesti, però, un attacco diretto al terminale può risultare molto più produttivo.

È il caso degli attacchi di tipo skimming, nei quali vengono utilizzati dispositivi o tecniche finalizzate a intercettare informazioni durante l’utilizzo di un terminale, per esempio presso uno sportello ATM.

Per questo motivo, quando si utilizza un bancomat o un terminale per effettuare un’operazione, è importante prestare attenzione a eventuali anomalie del dispositivo e a comportamenti sospetti.

Il rischio non deve quindi essere considerato esclusivamente dal punto di vista della comunicazione wireless tra carta e lettore. La sicurezza dell’intero sistema dipende anche dal terminale con cui interagiamo e dall’ambiente nel quale avviene la transazione.

RFID non significa soltanto pagamenti

Limitare il discorso alle carte di credito sarebbe comunque un errore, perché RFID viene utilizzato in moltissimi altri settori.

La tecnologia può essere impiegata per identificare prodotti all’interno di un magazzino, gestire accessi aziendali, controllare aree riservate oppure identificare determinati dispositivi e oggetti.

Ed è proprio qui che cambiano anche i rischi. Un sistema RFID utilizzato per riconoscere automaticamente un prodotto in un inventario non ha necessariamente gli stessi requisiti di sicurezza di un badge utilizzato per consentire l’accesso a un’area riservata.

Nel secondo caso, per esempio, la possibilità di replicare un dispositivo RFID potrebbe diventare un problema se il possesso del badge rappresentasse l’unico elemento utilizzato per verificare l’identità dell’utente.

Per questo, nei sistemi che richiedono livelli di sicurezza più elevati, l’RFID può essere affiancato da altri sistemi di autenticazione. Un PIN, un controllo biometrico o una verifica effettuata direttamente dal personale possono aggiungere ulteriori livelli di protezione.

E la privacy? Non tutto ciò che è RFID permette di controllarci

Un altro timore riguarda la privacy. L’RFID può essere utilizzato per identificare oggetti e, in determinati contesti, anche persone. Esistono applicazioni in ambito sanitario, sistemi di identificazione e tecnologie utilizzate nei passaporti.

Questo non significa però che la presenza di un chip RFID equivalga automaticamente a un sistema di sorveglianza capace di seguire ogni nostro movimento. Anche in questo caso bisogna distinguere la tecnologia dall’applicazione concreta.

A determinare il reale impatto sulla privacy sono soprattutto le informazioni raccolte, il modo in cui vengono utilizzate, chi può accedervi e come vengono conservate. Un sistema RFID utilizzato per gestire l’inventario di un magazzino presenta evidentemente implicazioni molto diverse rispetto a una tecnologia collegata direttamente all’identificazione di una persona.

Quindi dobbiamo preoccuparci delle carte contactless?

La risposta più corretta è sì, ma senza allarmismi. L’RFID non è una tecnologia completamente priva di vulnerabilità e l’intercettazione di comunicazioni contactless rientra tra gli scenari di sicurezza che devono essere considerati. Allo stesso tempo, l’idea che un criminale possa semplicemente passare accanto a una persona e svuotarle il conto leggendo la carta dalla tasca non descrive correttamente il funzionamento dei moderni sistemi di pagamento.

Nel caso delle carte contactless, gli standard EMV e i codici di sicurezza generati per le singole transazioni introducono importanti protezioni. Inoltre, la comunicazione opera a corto raggio e richiede condizioni specifiche.

Per chi vuole comunque aggiungere una protezione ulteriore, una custodia RFID schermata rappresenta una soluzione semplice. Ma la sicurezza non finisce qui.

È buona pratica controllare regolarmente i movimenti del conto, verificare le notifiche delle operazioni e segnalare tempestivamente alla banca eventuali transazioni sospette.

La tecnologia RFID, insomma, non è né un sistema invulnerabile né una porta spalancata sui nostri dati. Come spesso accade nella sicurezza informatica, il rischio reale dipende dalla tecnologia utilizzata, dalle modalità di implementazione e dal contesto nel quale viene impiegata.