I pagamenti digitali nel corso degli anni hanno registrato una crescita esponenziale, complice anche la pandemia che, almeno inizialmente, ha portato con sé una rinnovata diffidenza verso il contante, e anche il Cashback di Stato.

Al centro di questa transizione ci sono le carte di pagamento, secondo una ricerca Mastercard utilizzate già lo scorso anno da 8 italiani su 10, seguite da quelle contactless, ormai parte delle abitudini consolidate per il 78% degli italiani. Il contactless regna anche per quanto riguarda i pagamenti con gli smartphone, che sono in crescita seguiti dai pagamenti con app dedicate e da quelli effettuati attraverso app bancarie.

Tuttavia, il contactless è salito agli onori della cronaca anche per via di una truffa a cui si presta per via della propria natura: secondo alcuni, basterebbe avvicinare un POS portatile alla tasca di qualche ignaro utente per sottrargli importi al di sotto di una certa soglia, quella per cui non è necessario digitare il PIN. Ecco spiegato come funziona, quanto c'è di vero e come difendersi.

Innanzitutto, un po' di contesto: il pagamento contactless, come suggerisce il nome, consente di pagare senza contatto, ovvero senza dover inserire la tessera all'interno di un terminale di pagamento ma semplicemente avvicinandola al lettore per portare a termine una transazione, velocizzando così le operazioni sia per l'acquirente che per il venditore.

Questo sistema di pagamento sfrutta l'RFID: l'acronimo sta per Radio Frequency IDentification, ovvero identificazione a radio frequenza, che può essere integrata nelle carte di credito, nelle carte di debito e nelle prepagate (per scoprire la differenza, ecco qui un articolo dedicato). Per capire se una carta è abilitata ai pagamenti contactless, basta controllare se presenta l'apposito simbolino simile a quello della rete WiFi.

La tecnologia RFID esiste da diversi decenni, sviluppata come derivazione a scopi civili del sistema militare a radiofrequenza di Identification friend or foe; ma la diffusione su larga scala è avvenuta a partire dagli anni '90, passando da applicazioni industriali per poi entrare nell'uso quotidiano, lavorativo e domestico. Ad esempio, è RFID quella utilizzata nei badge di accesso al lavoro, ma anche nei tag anti-taccheggio.

Da questa deriva lo standard NFC che si trova ormai sempre più spesso sugli smartphone: la Near Field Communication, che significa letteralmente comunicazione di prossimità, è una tecnologia che fornisce connettività senza fili bidirezionale a corto raggio, fino a un massimo di 10 cm, con velocità di trasmissione di circa 424 kbps.

Dunque, ecco perché è possibile effettuare transazioni contactless anche attraverso gli smartphone: per poter pagare con questa modalità, basterà registrare la propria carta sul telefono e al momento del pagamento avvicinarlo proprio come si farebbe con una carta. Nota bene: questo tipo di pagamento non va confuso con i pagamenti mobili, che invece sfruttano internet - sia rete cellulare sia WiFi - per connettersi e autorizzare la transazione sul conto del venditore.

Tornando a noi, nella pratica il pagamento contactless è semplice: l'esercente digita l'importo della transazione sul terminale di pagamento o POS (Point of Sale), a cui poi il consumatore avvicina la carta per permettere la lettura e la conferma dell'avvenuto pagamento.

Con questa tecnologia si possono effettuare transazioni di qualunque importo, ma per spese al di sopra di una certa soglia è necessario digitare un PIN; fino a qualche tempo fa era di 25 euro, ma recentemente alcuni emittenti di carte l'hanno alzata a 50 euro. Dunque, al di sotto di questa cifra le transazioni sono davvero agili, e non richiedono alcuna forma di verifica ulteriore.

E proprio qui si annida la possibilità delle truffe basate sul contactless: basterebbe dotarsi di un POS portatile, di quelli che non necessitano di stare collegati alla rete elettrica, e avvicinarsi alla tasca dove la vittima tiene la carta per effettuare una transazione a sua insaputa. L'importante è che l'importo sia inferiore alla soglia oltre cui è necessario il PIN.

Un evento che potrebbe verificarsi in luoghi particolarmente affollati, come mostrano diversi video pubblicati nel corso degli ultimi anni. Qualcuno potrebbe obiettare che queste situazioni siano quasi sempre un ricordo, date le norme di distanziamento che hanno cambiato le nostre uscite in società.

Tuttavia, folla o non folla, quello che viene presentato come un furto facilissimo da perpetrare ha comunque qualche riserva, a partire dalla distanza necessaria per effettuarlo - bisogna essere davvero a un paio di centimetri dalla tasca con la carta, al punto che forse sarebbe più semplice un borseggio - fino alla tracciabilità dell'operazione.

Ogni pagamento effettuato con strumenti elettronici lascia un segno indelebile, perché il trasferimento del denaro viene registrato sui circuiti bancari con un addebito a carico del titolare della carta e un contestuale accredito a chi gestisce il POS (per capire meglio le commissioni, qui avevamo spiegato come funzionano); il che renderebbe semplice, per le forze dell'ordine, risalire al responsabile della truffa.

A fronte di questo dato di fatto è anche vero che l'addebito sul conto non compare immediatamente e trattandosi di somme di piccola entità potrebbero passare inosservate, lasciando campo libero al responsabile per parecchio tempo; inoltre, non sarebbero magari molte le persone disposte a sostenere le spese legali necessarie per arrivare ad ottenere giustizia per cifre così esigue.

Le truffe contactless possono avvenire anche senza POS ma semplicemente tramite l'utilizzo di uno smartphone con NFC dotato delle app giuste. Un esempio è l'app Lettore carte di credito: liberamente scaricabile dagli store, permette di leggere i dati pubblici sulle carte di pagamento compatibili con NFC e standard EMV.

Basta avvicinare la carta alla parte posteriore dello smartphone per visualizzare i relativi dati, dal circuito di appartenenza all'istituto emittente, senza dimenticare la cronologia dei movimenti con i relativi importi, il tipo di transazione e il Paese.

In questo caso si può stare relativamente tranquilli perché l'app non accede a internet e non mostra il numero della carta a meno che non immettiate alcune cifre mostrando di averla tra le mani, ma non è difficile immaginare possano esisterne altre versioni simili ma meno rispettose della privacy, per dirla con un eufemismo.

Risale a parecchi anni fa ad esempio l'allarme lanciato da un esperto di sicurezza che aveva messo a punto un software per "copiare" i dati di una carta tramite NFC e poi riproporli a un terminale di pagamento proprio con lo smartphone. Lo scoop era stato ripreso da Forbes, ed è una lettura sempre interessante; si trova riportato tra le fonti di questo articolo.

Niente panico però: per tutelarsi da questo tipo di truffe ci sono vari rimedi, oltre al consiglio sempreverde di prestare attenzione a dove si ripone la propria carta e a chi la maneggia. E proprio a proposito del primo punto, una soluzione per impedire la lettura delle carte è quella di foderare i propri portatessere con fogli di alluminio che impediscono la trasmissione di dati.

Se non si è portati per le soluzioni artigianali, è possibile trovare sul mercato un'ampia gamma di portafogli dotati di blocco RFID in grado di schermare qualsiasi tentativo di far funzionare le carte contactless custodite all'interno.

Altrimenti, un'altra via potrebbe essere quella di bloccare i pagamenti contactless su una determinata carta direttamente dall'app, come ormai molti istituti bancari e fintech consentono di fare. Oppure, in extremis, si potrebbe anche decidere di lasciare a casa la carta e importarla su Google Pay, Apple Pay e affini che, se supportati, evitano qualsiasi rischio relativo al contactless perché per abilitare il pagamento NFC bisogna sbloccare lo smartphone o lo smartwatch con un pin o un sensore biometrico.

In ogni caso, al moltiplicarsi delle tessere contactless nei nostri portafogli deve corrispondere una presa di coscienza sul loro funzionamento e sui possibili conseguenti rischi, al fine di difendersi meglio: non bisogna dimenticare che la tecnologia RFID è alla base del funzionamento anche di altri documenti che contengono informazioni sensibili, dalla carta d'identità elettronica al passaporto biometrico.

Contenuto in collaborazione con Skrill