De ani buni circulă pe rețelele sociale clipuri alarmiste despre persoane care ar folosi un terminal POS în autobuz sau metrou pentru a încasa bani de la călători.
Plățile cu Apple Pay sau Google Pay folosesc tokenuri și date de tranzacție dinamice. Interceptarea comunicației radio nu oferă, de una singură, acces la numărul real al cardului sau posibilitatea de a repeta plata.
1. Tokenizarea: numărul real al cardului nu este transmis la fiecare plată
Când adaugi un card în telefon, furnizorul de plăți poate înlocui numărul cardului (PAN – Primary Account Number) cu un identificator de dispozitiv. Modul de stocare și procesare depinde de platformă și de emitent.
Rețeaua de plată și emitentul pot provisiona un token (Device Account Number, DAN) asociat dispozitivului. Acesta înlocuiește PAN-ul în anumite mesaje de plată; nu presupune că toate datele sunt gestionate identic pe orice telefon.
Poartă datele tipărite și un cip contactless. Riscul depinde de datele expuse și de verificările cerute de emitent; simpla citire a cipului nu oferă automat toate datele necesare unei plăți online.
Un identificator de înlocuire folosit în fluxul de plată. Protecțiile și posibilitatea de utilizare depind de token, criptogramă, terminal și verificările emitentului.
2. Secure Element (SE) și criptogramele de plată
Unele dispozitive folosesc un Secure Element (SE) sau alte componente de securitate pentru a proteja operațiile și materialul criptografic. Implementarea diferă între Android, iOS și furnizorii de portofele; nu este corect să afirmăm că orice malware este incapabil să afecteze o plată.
În funcție de configurare, portofelul poate cere autentificare și generează date criptografice pentru tranzacție. Cerințele diferă în funcție de sumă, regiune, dispozitiv și regulile emitentului.
O captură radio poate expune date din schimbul NFC, în funcție de protocol și de context. Tokenizarea și criptogramele dinamice reduc riscul copierii simple, dar nu garantează că orice atac este imposibil; folosește un dispozitiv actualizat și raportează imediat tranzacțiile suspecte emitentului.
3. Cum este procesată o plată mobilă
În linii mari, procesarea implică următoarele etape:
- 01Autentificarea utilizatorului:În funcție de setările portofelului și de regulile emitentului, plata poate necesita biometrie, cod sau altă verificare.
- 02Datele tranzacției:Telefonul comunică prin NFC cu terminalul, folosind datele și mecanismele de securitate prevăzute de portofel și de rețeaua de plată.
- 03Autorizarea:Terminalul trimite cererea prin infrastructura comerciantului și a rețelei de plată către emitent, care o evaluează conform regulilor sale.
4. Ce trebuie să știi despre terminalele POS contactless
O plată contactless neautorizată nu trebuie tratată ca imposibilă. Riscul practic depinde de terminal, sumă, autentificare și controalele emitentului:
- •Distanța de comunicare: NFC este o tehnologie de proximitate, însă raza exactă depinde de antene și de condițiile de utilizare.
- •Starea dispozitivului contează: Regulile pentru ecran blocat și autentificare diferă între portofele și tipurile de carduri, inclusiv pentru transportul public.
- •Raportează plățile suspecte: Comercianții și furnizorii de plăți au procese de verificare, însă acestea nu previn automat orice fraudă. Contactează emitentul cardului dacă observi o tranzacție necunoscută.
Dacă pierzi cardul sau telefonul, blochează-l și contactează imediat emitentul sau furnizorul portofelului. Autentificarea și limitele de plată diferă, așa că verifică setările și notificările contului.
Recapitulare rapidă
- •Portofelele mobile pot folosi tokenizarea pentru a înlocui numărul real al cardului în mesajele de plată.
- •Datele criptografice dinamice ajută la validarea tranzacțiilor și la reducerea riscului de reutilizare.
- •Protecțiile hardware, precum Secure Element, depind de dispozitiv și de portofel.
- •Verifică setările de autentificare și notificările oferite de emitentul cardului.