Cuidado com o roubo sem contato com as tecnologias NFC e RFID

As tecnologias de comunicação de campo próximo (NFC) e identificação por radiofrequência (RFID) permitem a comunicação sem fio entre dispositivos e facilitam os processos de pagamento sem contato, rastreamento de produtos e controle de acesso.

Essas tecnologias se tornaram parte da vida cotidiana; No entanto, eles também podem ser usados ​​para roubar dados importantes , e isso pode acontecer sem que você perceba em lugares comuns, como eventos esportivos, shows, transporte público ou supermercados.

Segundo David González, especialista em segurança cibernética da ESET América Latina, os sistemas RFID são úteis em ambientes logísticos para organizar cargas, pacotes e estoques, compilando estatísticas e informações relevantes. Eles também são usados ​​em lojas de roupas para identificar peças e sua localização, agilizando as operações diárias e fornecendo uma medida extra de segurança.

No caso dos sistemas NFC, eles são a base para dispositivos de proximidade tão comuns quanto celulares e cartões de pagamento sem contato. O mesmo se aplica aos cartões que permitem a entrada de pessoas autorizadas em edifícios através de sistemas de controlo de acesso e tempo.

(Recomendamos: Como compartilhar sua localização no Google durante uma viagem )

Os cartões de proximidade NFC também são usados ​​para abrir fechaduras eletrônicas em quartos de hotel, apartamentos turísticos e aluguéis de férias, permitindo que os hóspedes acessem seus quartos convenientemente apenas encostando o cartão no leitor. O chip com as informações de identificação pode ser incorporado a outros itens, como pulseiras ou chaveiros, personalizando ainda mais a experiência do hóspede.

"Portanto, os sistemas NFC são, na verdade, parte da tecnologia RFID, o que significa que podem ser considerados um subconjunto das técnicas RFID. A principal diferença é que os componentes RFID podem operar e se comunicar entre si a distâncias muito maiores. Isso os torna amplamente utilizados em diversos campos", observa González.

Com o avanço de ambas as tecnologias, os ladrões exploraram novas formas de fraude sem contato, capturando informações de cartão ou realizando transações não autorizadas.

Uma delas é o skimming, um tipo de fraude em que criminosos copiam os dados do cartão da vítima. Depois que os dados são capturados, uma etapa adicional é necessária, como a clonagem do cartão ou o uso de dados roubados em transações online para cometer fraudes.

Segundo o especialista, " um fraudador usa um leitor NFC ou RFID oculto para capturar dados de cartões de pagamento por aproximação quando alguém os segura muito perto . Embora os dados roubados normalmente não incluam o PIN, alguns invasores podem usá-lo para compras online em lojas com baixa segurança."

Como medida preventiva, você pode usar carteiras com bloqueio de RFID ou até mesmo embrulhar o cartão em papel alumínio . É recomendável habilitar notificações de compras em tempo real, usar cartões virtuais ou temporários para compras on-line e monitorar transações.

Outro tipo de ataque é o ataque de retransmissão: neste caso, um invasor intercepta o sinal entre um cartão NFC e um terminal de pagamento, amplificando-o para fazer parecer que o cartão está presente em outro lugar. Isso permite que os pagamentos sejam feitos sem que o proprietário perceba.

Para evitar isso, é aconselhável usar uma carteira NFC/RFID protegida, desabilitar compras sem contato no seu telefone quando não estiver em uso e usar autenticação biométrica para pagamentos (impressão digital ou Face ID).

Especialistas em segurança cibernética também falam sobre invasão de carteiras eletrônicas, ou roubo de dados de pagamento móvel: nesse método, os criminosos cibernéticos exploram vulnerabilidades em aplicativos de pagamento (como Apple Pay ou Google Pay) ou interceptam dados em redes Wi-Fi públicas, permitindo que eles façam pagamentos não autorizados se obtiverem acesso à conta do usuário.

Nesse sentido, a empresa de segurança cibernética Kaspersky afirma que os cibercriminosos compram vários smartphones, criam contas Apple ou Google neles e instalam aplicativos de pagamento sem contato. Quando uma vítima visita um site falso, ela é solicitada a vincular seu cartão ou fazer um pequeno pagamento obrigatório. Isso requer a inserção de detalhes do cartão e a confirmação da propriedade do cartão inserindo uma senha de uso único (OTP).

Mesmo que o cartão não registre as cobranças imediatamente, os dados são transferidos quase instantaneamente para os criminosos cibernéticos, que então tentam vinculá-los a uma carteira móvel em seus smartphones. Para agilizar e simplificar o processo, os invasores usam um software especial que pega os dados fornecidos pela vítima e gera uma réplica perfeita do cartão. Depois, basta tirar uma foto dessa imagem com o Apple Pay ou o Google Wallet.

Para combater esse esquema , é recomendável definir senhas fortes e ativar a autenticação em duas etapas, nunca fazer pagamentos em redes Wi-Fi públicas e usar cartões virtuais para transações online , que funcionam recarregando o cartão antes que você possa usá-lo. Também é recomendável que você evite armazenar grandes quantias de dinheiro em cartões virtuais e só os recarregue antes de fazer uma compra online. Se a administradora do seu cartão permitir, desative pagamentos offline e saques em dinheiro para esses cartões. Além disso, esteja sempre atento para monitorar as transações.

Outra forma de roubo é a instalação de leitores NFC falsos: esse comportamento envolve um fraudador colocando um leitor NFC modificado em terminais de pagamento ou caixas eletrônicos, que, quando o cartão ou o celular são passados, capturam os dados do usuário.

Neste caso, é sempre importante verificar se o terminal de pagamento não possui nada suspeito anexado ou modificado. Cartões com chip e PIN também podem ser usados ​​em vez de apenas NFC quando possível, e pagamentos NFC não podem ser aceitos em dispositivos desconhecidos.

Na mesma linha, outro perigo é o phishing NFC: uma técnica na qual um golpista ou criminoso cibernético tenta enganar os usuários para que segurem seus telefones perto de um chip NFC falso que os redireciona para um site malicioso.

Sobre isso, a Kaspersky alerta que, quando os usuários aproximam seus dispositivos do leitor NFC alterado, eles podem ser redirecionados para sites de phishing, ou ações indesejadas podem ser iniciadas em seus dispositivos, ou até mesmo softwares maliciosos podem ser enviados. Em seu alerta, a empresa disse que ladrões podem trocar um leitor genuíno em áreas de alto tráfego, como centros de transporte, cafeterias ou lojas de varejo, por um leitor que desencadeia comportamento prejudicial.

É recomendável não escanear etiquetas NFC em locais suspeitos e configurar seu telefone para solicitar confirmação antes de abrir links NFC.

“O número de vítimas desse tipo de ataque varia de país para país, embora seja fato que há um aumento nas fraudes relacionadas a cartões sem chip, especialmente em períodos de pico de gastos, como Natal, Dia dos Namorados e Ano Novo, para citar alguns”, concluiu David González, especialista em segurança de TI da ESET América Latina.

Diego Barrio de Mendoza (*)

(*) Com informações adicionais do EL TIEMPO.