Αποκλεισμός RFID: Τι προστατεύει στην πραγματικότητα (και τι δεν προστατεύει)

Αν αγοράσατε ένα πορτοφόλι που μπλοκάρει την RFID ή μία από τις λεπτές κάρτες μπλοκαρίσματος RFID που μπαίνουν σε μια υποδοχή κάρτας τα τελευταία τρία ή τέσσερα χρόνια, συγχαρητήρια: είστε προστατευμένοι από μια μέθοδο απάτης με κάρτες που σταμάτησε να λειτουργεί σχεδόν αμέσως μόλις το τσιπ στην κάρτα σας έγινε στάνταρ. Το μάρκετινγκ σας λέει ότι οι κλέφτες μπορούν να κλέψουν από τον λογαριασμό σας μέσω του fabric. Το μάρκετινγκ είχε δίκιο σχετικά με τη φυσική του ραδιοφώνου και λάθος σχετικά με τις κάρτες στο άλλο άκρο. Η προσέγγιση είναι διαισθητική. Η ανέπαφη κάρτα σας στέλνει δεδομένα μέσω του αέρα, ένας ξένος με κρυφό αναγνώστη μπορεί να αρπάξει αυτά τα δεδομένα, τα χρήματά σας εξαφανίζονται. Είναι το είδος του μοντέλου απειλής που ένας εγκέφαλος δέχεται με χαρά επειδή ακολουθεί τους κανόνες της φυσικής κλοπής που ήδη κατανοούμε. Το πρόβλημα είναι ότι η σύγχρονη κάρτα πληρωμής στο άλλο άκρο αυτής της ραδιοζεύξης δεν συμπεριφέρεται όπως υποθέτει το μάρκετινγκ.

Αυτό το άρθρο παρουσιάζει τι ήταν στην πραγματικότητα το RFID skimming, τι άλλαξε το πρωτόκολλο ανέπαφης χρήσης EMV και τι αυξάνεται αυτήν τη στιγμή στην απάτη NFC. Spoiler: η απάτη που αυξάνεται είναι το είδος που κανένα πορτοφόλι δεν μπορεί να σταματήσει.

Πώς υποτίθεται ότι θα λειτουργούσε η RFID skimming

Οι διάσημες επιδείξεις πραγματοποιήθηκαν όλες περίπου μεταξύ 2009 και 2013. Ερευνητές όπως ο Pablos Holman και η Kristin Paget περπάτησαν στις σκηνές των Defcon και TED, κράτησαν ένα μαύρο κουτί κοντά στην τσέπη κάποιου και έβγαλαν ένα λειτουργικό αντίγραφο πιστωτικής κάρτας. Τα βίντεο κλιπ των συνεδρίων έγιναν viral. Μια δεκαετία μάρκετινγκ πορτοφολιών, μανικιών και καλυμμάτων διαβατηρίων γεννήθηκε σε αυτά τα λεπτά.

Οι κάρτες που υποβάλλονταν σε αυτές τις επιδείξεις ήταν αυτό που οι άνθρωποι αποκαλούν RFID ισοδύναμο με magstripe. Ακολούθησαν την πρώιμη γενιά των ανέπαφων καρτών, όπως το αρχικό πρόγραμμα Chase Blink στις Ηνωμένες Πολιτείες μεταξύ περίπου 2005 και 2013. Η κάρτα μετέδιδε, μέσω ραδιοζεύξης μικρής εμβέλειας, ουσιαστικά τα ίδια δεδομένα που κωδικοποιούνταν στη μαγνητική της ταινία: τον κύριο αριθμό λογαριασμού, την ημερομηνία λήξης, το όνομα του κατόχου της κάρτας σε πολλές περιπτώσεις και την τιμή στατικής επαλήθευσης κάρτας. Ένα skimmer με μια ελαφρώς υπερμεγέθη κεραία μπορούσε να διαβάσει όλα αυτά μέσα από ύφασμα ή λεπτό δέρμα από απόσταση λίγων εκατοστών. Τα δεδομένα που συλλέχθηκαν ήταν αρκετά για να κωδικοποιήσουν έναν λειτουργικό κλώνο σε μια κενή magstripe και να τον οδηγήσουν σε οποιονδήποτε έμπορο που εξακολουθούσε να δέχεται συναλλαγές με swipe.

Ο τεχνικός λόγος για τον οποίο αυτό λειτούργησε είναι ότι οι κάρτες χρησιμοποιούσαν το πρότυπο ISO 14443, τον κλάδο βραχείας εμβέλειας της αναγνώρισης ραδιοσυχνοτήτων, ο οποίος έχει σχεδιαστεί για απόσταση περίπου δέκα εκατοστών. Οι διαδηλωτές το τέντωσαν με μεγαλύτερες κεραίες και καθαρά τροφοδοτικά. Οι ετικέτες γειτνίασης που χρησιμοποιούν το ISO 15693, το είδος που βρίσκεται σε βιβλία βιβλιοθήκης και ετικέτες απογραφής αποθήκης, μπορούν να διαβαστούν από απόσταση έως και εβδομήντα εκατοστών. Οι κάρτες πληρωμής δεν ήταν ποτέ σε αυτό το πρότυπο. Αλλά η εντύπωση που έμεινε στο κοινό ήταν ένας μόνο αριθμός: οι κάρτες μπορούν να διαβαστούν από την άλλη άκρη ενός δωματίου. Αυτή η εντύπωση ήταν λανθασμένη ακόμη και το 2010. Είναι πολύ πιο λανθασμένη τώρα.

Συνεχώς σκέφτομαι πόσο διαρκής ήταν αυτός ο φόβος. Οι κάρτες σε εκείνες τις διάσημες επιδείξεις δεν υπάρχουν πια. Ο κλάδος των πληρωμών προχώρησε. Η κατηγορία προϊόντων που δημιουργήθηκε για να αμυνθεί ενάντια σε αυτές τις κάρτες δεν υπήρχε.

Γιατί το EMV εξουδετέρωσε την απειλή για την οποία πουλήθηκε το μπλοκάρισμα RFID

Αυτό που έβαλε τέλος στην επίθεση skimming ισοδύναμη με magstripe δεν ήταν τα καλύτερα πορτοφόλια. Ήταν το τσιπ EMV και, πιο συγκεκριμένα, η ανέπαφη έκδοση του EMV που περιλαμβάνεται σε κάθε κάρτα Visa, Mastercard, American Express και Discover που έχει εκδοθεί τα τελευταία χρόνια.

Να τι συμβαίνει όταν πατάτε μια σύγχρονη κάρτα ανέπαφης συναλλαγής σε έναν αναγνώστη. Η κάρτα και το τερματικό συμφωνούν σε έναν μετρητή συναλλαγών που είναι μοναδικός για τη συγκεκριμένη συναλλαγή. Το τσιπ στην κάρτα χρησιμοποιεί ένα μυστικό κλειδί, που ενσωματώνεται κατά την κατασκευή και δεν μεταδίδεται ποτέ, για να οδηγήσει ένα βήμα κρυπτογράφησης που υπολογίζει ένα εφάπαξ κρυπτογράφημα που ονομάζεται ARQC, το Κρυπτογράφημα Αίτησης Εξουσιοδότησης. Ο αναγνώστης στέλνει το ARQC συν μερικά άλλα πεδία στην τράπεζα του εκδότη για έγκριση. Εάν ένας skimmer βρίσκεται δίπλα στην τσέπη σας και καταγράψει την ίδια συναλλαγή, ο skimmer λαμβάνει το ARQC, τον κύριο αριθμό λογαριασμού, την ημερομηνία λήξης και τίποτα άλλο. Δεν υπάρχει CVV2, ο τριψήφιος κωδικός στο πίσω μέρος της κάρτας. Δεν υπάρχει PIN. Δεν υπάρχουν δεδομένα μαγνητικής ταινίας track-two. Δεν υπάρχει τιμή επαλήθευσης κάρτας που μπορεί να επαναχρησιμοποιηθεί.

Τι πρόβλημα υπάρχει με την εκ νέου χρήση ενός καταγεγραμμένου ARQC; Ο μετρητής έχει προχωρήσει. Η επόμενη συναλλαγή χρειάζεται ένα νέο κρυπτογράφημα με την επόμενη τιμή του μετρητή. Το σύστημα εξουσιοδότησης του εκδότη θα απορρίψει την επανάληψη. Τα αποκορυφωμένα δεδομένα είναι άχρηστα, για τον σκοπό της κλωνοποίησης της κάρτας ή της εκτέλεσης μιας κανονικής πώλησης με φυσική παρουσία.

Για να γίνει συγκεκριμένη η ασυμμετρία, δείτε τι μπορεί να σηκώσει ένας παθητικός σαρωτής RFID από μια κάρτα ανέπαφης επικοινωνίας EMV με ένα μόνο άγγιγμα, σε σύγκριση με αυτό που θα χρειαζόταν στην πραγματικότητα ένας λειτουργικός κλώνος.

Αξίζει να σταθούμε στα νούμερα που κρύβονται πίσω από αυτό. Η EMVCo, ο φορέας του κλάδου που εφαρμόζει το πρότυπο EMV, αναφέρει ότι το 96,20% όλων των συναλλαγών με την παρουσία κάρτας παγκοσμίως χρησιμοποίησε το τσιπ από το τέταρτο τρίμηνο του 2024. Περίπου το 72% όλων των εκδοθεισών καρτών είναι συμβατές με EMV. Στις Ηνωμένες Πολιτείες, η Visa ανέφερε ότι οι έμποροι που ολοκλήρωσαν την αναβάθμιση του τσιπ τους είδαν τα πλαστά δολάρια απάτης να μειώνονται κατά 76% μεταξύ Δεκεμβρίου 2015 και Δεκεμβρίου 2017. Αυτή δεν είναι μια ήπια τάση. Αυτό είναι το τσιπ που καταστρέφει ολόκληρη την οικονομική επιχειρηματολογία για την κλωνοποίηση καρτών με φυσική παρουσία.

Υπάρχει μια μικρή εξαίρεση που αξίζει να αναφερθεί. Ένας καταγεγραμμένος κύριος αριθμός λογαριασμού και η ημερομηνία λήξης μπορούν μερικές φορές να ελεγχθούν σε σχέση με αδύναμους εμπόρους που δεν έχουν παρουσία κάρτας και δεν επιβάλλουν έλεγχο ταυτότητας 3DS ή δεν ελέγχουν το CVV2. Αυτό είναι ένα πραγματικό πρόβλημα. Δεν είναι επίσης πρόβλημα RFID. Οι ίδιοι αριθμοί διαρρέουν συνεχώς μέσω παραβιάσεων εμπόρων, σελίδων ηλεκτρονικού "ψαρέματος" (phishing) και υποκλοπών ηλεκτρονικών αγορών. Ένα πορτοφόλι που μπλοκάρει δεν κάνει τίποτα γι' αυτά.

Οι αριθμοί απάτης χωρίς επαφή που δεν σας δείχνουν ποτέ τα προϊόντα αποκλεισμού RFID

Οι άνθρωποι που αγοράζουν πορτοφόλια που μπλοκάρουν την RFID σχεδόν ποτέ δεν βλέπουν τους πραγματικούς αριθμούς απάτης, επειδή η κατηγορία απάτης στην οποία στρέφονται τα πορτοφόλια δεν είναι αυτή που χάνει τα χρήματα.

Διαβάστε την τελευταία σειρά δύο φορές. Ο λόγος που δεν υπάρχει ευρέως αναφερόμενο ποσό σε δολάρια για τις απώλειες από το skimming RFID στις ΗΠΑ είναι ότι οι άνθρωποι που μετρούν την απάτη με κάρτες δεν μπορούν να βρουν έναν ουσιαστικό αριθμό για να αναφέρουν. Απομονώνουν το skimming από τα ATM και το skimming από τις αντλίες βενζίνης επειδή αφήνουν πίσω τους μια φυσική συσκευή. Το skimming RFID, με τη μορφή που πωλείται στους καταναλωτές σε αυτά τα βίντεο του Defcon, δεν εμφανίζεται.

Η απλή περίληψη είναι ότι οι καταγεγραμμένες απώλειες παθητικής σάρωσης RFID έναντι των σύγχρονων ανέπαφων καρτών EMV είναι στατιστικά αδιαίρετες από το μηδέν. Οι Consumer Reports, AARP, πολλοί επώνυμοι εμπειρογνώμονες ασφαλείας, συμπεριλαμβανομένου του Roger Grimes στο KnowBe4, του Identity Theft Resource Center, της Chase και της Visa, έχουν όλες τις εν λόγω εκδοχές του ίδιου πράγματος σε έντυπη μορφή.

Η Ομοσπονδιακή Τράπεζα των ΗΠΑ (Federal Reserve Bank of Kansas City) μελέτησε την κυκλοφορία τσιπ στις Ηνωμένες Πολιτείες σε μια ενημέρωση για το σύστημα πληρωμών το 2018 και διαπίστωσε ότι η απάτη με την παρουσία κάρτας σε εμπόρους με δυνατότητα τσιπ μειώθηκε απότομα μόλις ολοκληρώθηκε η μετάβαση, με τα ποσοστά πλαστογράφησης να μειώνονται, ενώ τα ποσοστά πλαστογράφησης χωρίς την παρουσία κάρτας αυξάνονται σε αποζημίωση, καθώς οι εγκληματίες ακολούθησαν την οδό της ελάχιστης αντίστασης στα διαδικτυακά κανάλια. Αυτή η μετανάστευση είναι το κεντρικό γεγονός της απάτης με κάρτες τη δεκαετία του 2020. Το skimming, σε κάθε μορφή, έχει γίνει ένα μικρό και συρρικνούμενο κομμάτι μιας ήδη συρρικνούμενης κατηγορίας απωλειών με την παρουσία κάρτας. Το ανέπαφο skimming βρίσκεται στο μικρό άκρο αυτού του μικρού κομματιού.

Αξίζει να αναφερθεί ένα ακόμη δεδομένο. Το ανώτατο όριο των ανέπαφων συναλλαγών στο Ηνωμένο Βασίλειο αυξήθηκε από είκοσι πέντε λίρες σε εκατό λίρες το 2021, και στη συνέχεια η Αρχή Χρηματοοικονομικής Συμπεριφοράς (FCA) έδωσε το σήμα το 2025 ότι το ανώτατο όριο θα καταργηθεί από τον Μάρτιο 2026 και οι μεμονωμένοι εκδότες θα θέσουν τα δικά τους όρια. Εάν η παθητική ανέπαφη απάτη ήταν ένα σημαντικό διάνυσμα ζημίας, μια πενταπλάσια αύξηση στην έκθεση ανά tap θα είχε μετατοπίσει τους αριθμούς. Δεν το έκανε. Η απάτη ανέπαφης συναλλαγής μειώθηκε σε ετήσια βάση το 2024, παρά τα υψηλότερα όρια και τον υψηλότερο αριθμό συναλλαγών. Το πρωτόκολλο κάνει τη δουλειά του.

Η πραγματική απειλή NFC που το πορτοφόλι σας δεν μπορεί να μπλοκάρει

Ενώ η βιομηχανία αποκλεισμού RFID απαντούσε στο ερώτημα του 2012, οι επιτιθέμενοι προχώρησαν. Η ταχύτερα αναπτυσσόμενη απάτη NFC αυτή τη στιγμή δεν περιλαμβάνει καθόλου κάποιον άγνωστο κοντά στην τσέπη σας.

Τον Αύγουστο του 2024, η εταιρεία ασφαλείας ESET δημοσίευσε έρευνα σχετικά με ένα κακόβουλο λογισμικό Android που ονομάζεται NGate. Η αλυσίδα επίθεσης μοιάζει με αυτό. Ένα θύμα δέχεται ηλεκτρονικό ψάρεμα (phishing), συνήθως με ένα μήνυμα κειμένου που ισχυρίζεται ότι προέρχεται από την τράπεζά του. Εγκαθιστά αυτό που πιστεύει ότι είναι μια ενημέρωση ασφαλείας τράπεζας. Η ψεύτικη εφαρμογή του ζητά να επαληθεύσει την φυσική του κάρτα κρατώντας την για λίγο στο πίσω μέρος του τηλεφώνου του. Το κακόβουλο λογισμικό διαβάζει την κάρτα μέσω του τσιπ NFC του τηλεφώνου και μεταδίδει τα δεδομένα, σε πραγματικό χρόνο, στο τηλέφωνο ενός εισβολέα σε διαφορετική χώρα. Ο εισβολέας πλησιάζει ένα ΑΤΜ με το τηλέφωνό του στο χέρι και κάνει ανάληψη μετρητών σαν να είχε ακουμπήσει την κάρτα του θύματος στο μηχάνημα. Η ESET κατέγραψε έναν συλληφθεί ύποπτο με περίπου έξιμισι χιλιάδες ευρώ που αφαιρέθηκαν από τρία θύματα σε σύντομο χρονικό διάστημα.

Αυτή ήταν η πρώτη ευρέως αναφερόμενη περίπτωση. Μέχρι το πρώτο εξάμηνο του 2025, η τηλεμετρία της ESET έδειξε ότι οι ανιχνεύσεις επιθέσεων NFC relay ήταν περίπου 35 φορές αυξημένες σε σύγκριση με το δεύτερο εξάμηνο του 2024. Η τεχνική χρησιμοποιείται πλέον ενεργά. Λειτουργεί έναντι των σύγχρονων καρτών ανέπαφης επικοινωνίας EMV, επειδή το πρωτόκολλο κάνει αυτό που υποτίθεται ότι κάνει: η κάρτα παρακολουθείται, το κρυπτογράφημα είναι πρόσφατο, η τράπεζα του εκδότη βλέπει μια φαινομενικά κανονική συναλλαγή.

Ένα περίβλημα αποκλεισμού RFID δεν προστατεύει από τίποτα από αυτά. Η κάρτα αγγίζεται οικειοθελώς από το θύμα, στο δικό του τηλέφωνο, αφού εγκαταστήσει την κακόβουλη εφαρμογή. Η θωράκιση ραδιοσυχνοτήτων γύρω από το πορτοφόλι δεν σχετίζεται με την επιφάνεια επίθεσης.

Αυτό που στην πραγματικότητα προστατεύει από αυτήν την επίθεση είναι πολύ πιο δύσκολο να δημιουργηθεί κέρδος ως φυσικό προϊόν. Πρέπει να αναγνωρίσετε το μήνυμα ηλεκτρονικού "ψαρέματος" (phishing), όχι να εγκαταστήσετε εφαρμογές από συνδέσμους και να αντιμετωπίσετε οποιοδήποτε αίτημα για να αγγίξετε την κάρτα σας για επαλήθευση ως τον συναγερμό που είναι. Τίποτα από αυτά δεν χωράει σε ένα πορτοφόλι είκοσι πέντε δολαρίων στο Amazon.

Όπου η τεχνολογία αποκλεισμού RFID εξακολουθεί να κερδίζει τη θέση της

Η ειλικρινής εκδοχή της ιστορίας δεν είναι ότι το μπλοκάρισμα RFID είναι άχρηστο. Είναι ότι η προσέγγιση της κάρτας πληρωμής είναι το πιο αδύναμο μέρος του προϊόντος. Τα πραγματικά ευάλωτα στοιχεία RFID σε πολλά πορτοφόλια είναι τα πάντα εκτός από τις τραπεζικές κάρτες.

Μια σύντομη λίστα. Οι παλιές κάρτες-κλειδιά ξενοδοχείων εξακολουθούν να αποστέλλονται σε πολλά καταλύματα χρησιμοποιώντας τις οικογένειες HID iClass και MIFARE Classic των 13,56 MHz, οι οποίες έχουν παραβιαστεί σε δημόσια έρευνα και μπορούν να κλωνοποιηθούν από οποιονδήποτε διαθέτει μια φθηνή συσκευή ανάγνωσης. Τα σήματα πρόσβασης κτιρίων, ειδικά τα παλαιότερα εταιρικά συστήματα, χρησιμοποιούν συχνά τις ίδιες παραβιασμένες στοίβες. Οι ετικέτες βιβλιοθήκης ακολουθούν το ISO 15693, το οποίο είναι το πρότυπο με το μεγαλύτερο εύρος ανάγνωσης, και διαρρέουν ελεύθερα τα αναγνωριστικά τους. Ορισμένα πρώιμα βιομετρικά διαβατήρια είχαν αδύναμο βασικό έλεγχο πρόσβασης και μπορούσαν να υποβληθούν σε επισκόπηση για το περιεχόμενο της σελίδας δεδομένων. Οι κάρτες πιστότητας, τα fobs γυμναστηρίου και οι κάρτες δημόσιας συγκοινωνίας με αποθηκευμένη αξία είναι συνήθως εύκολες στην κλωνοποίηση ή την αναμετάδοση.

Αν έχετε πολλά από αυτά μαζί με τις τραπεζικές σας κάρτες, μια βασική θήκη ασφάλισης έχει μια πραγματική, συγκεκριμένη λειτουργία να κάνει. Δεν έχει καμία λειτουργία να κάνει για την ανέπαφη Visa σας.

Η ασυμμετρία είναι το κομμάτι που αποφεύγει το μάρκετινγκ πορτοφολιών. Δύο διαφορετικά προβλήματα συνδυάζονται στην ίδια παρουσίαση προϊόντος και το πιο εύκολο στην εξήγηση είναι αυτό που έπαψε να υπάρχει σχεδόν πριν από μια δεκαετία.

Ένας πρακτικός τρόπος για να το σκεφτείτε: καταγράψτε τα πράγματα στο πορτοφόλι σας. Για κάθε αντικείμενο, ρωτήστε ποιο πρότυπο ραδιοσυχνοτήτων χρησιμοποιεί και αν αυτό το πρότυπο έχει μια κρυπτογραφική πρόκληση στην κορυφή. Οι τραπεζικές κάρτες, από τότε που ολοκληρώθηκε η κυκλοφορία του τσιπ EMV, έχουν. Οι περισσότερες κονκάρδες κτιρίων, τα κλειδιά ξενοδοχείων και οι ετικέτες βιβλιοθήκης δεν έχουν. Το περίβλημα προστατεύει ό,τι δεν έχει το κρυπτογραφικό επίπεδο. Δεν μπορεί να βελτιώσει αυτό που ήδη έχει. Αυτή είναι όλη η ιστορία του αποκλεισμού RFID, όπως λέγεται χωρίς το μάρκετινγκ.

Jordan Morris

Jordan Morris is an AI expert with over a decade of experience and the author of a widely-read blog focused on artificial intelligence. His content spans a range of topics—from the ethics of machine learning to real-world applications of neural networks in business. Known for his clear writing and deep insights, Jordan has become a trusted voice in the AI community, appealing to both newcomers and seasoned professionals alike.