Come funziona lo skimming RFID al punto vendita: miti e minacce reali

Lo skimming RFID al punto vendita esiste, ma le carte contactless sono crittografate e il furto a distanza è in gran parte un mito. Ecco come funziona davvero il fenomeno e come difendersi.

Che cos'è lo skimming RFID e in cosa differisce dallo skimming delle carte?

Lo skimming RFID è una sorta di borseggio elettronico: il criminale usa un lettore RFID portatile per scansionare senza contatto carte contactless, wallet digitali e smartphone. Il meccanismo, in fondo, è semplice — un lettore emette un campo a radiofrequenza, la carta o il tag che si trova nel raggio assorbe energia, attiva il chip e rimanda indietro i dati memorizzati. Attenzione però a non confonderlo con lo skimming tradizionale delle carte: lì serve installare fisicamente un dispositivo contraffatto su ATM, terminali POS o colonnine di carburante, così da leggere la banda magnetica e, spesso, catturare il PIN con tastiere sovrapposte o microcamere.

A livello pratico la differenza è sostanziale. Lo skimming RFID è wireless e senza contatto, ma ha due grossi limiti: la crittografia e un raggio d'azione molto corto. Lo skimming fisico, invece, richiede che il criminale installi un dispositivo sul terminale, però riesce a catturare i dati della banda magnetica e il PIN, il che permette di clonare la carta. L'FBI lo spiega bene: si parla di skimming quando dei dispositivi piazzati illegalmente sopra o dentro ATM, terminali POS o pompe di carburante catturano i dati della carta e registrano il PIN del titolare. Il punto è che i criminali usano skimmer, non lettori RFID a lungo raggio: questa è la prima distinzione da tenere a mente.

Come installano gli skimmer i criminali ai terminali POS?

Installare uno skimmer richiede davvero pochi secondi: basta che il truffatore distragga il commesso con una scusa qualsiasi, anche una semplice richiesta d'aiuto, e nel frattempo appoggia l'overlay sul terminale POS. I dispositivi usati per lo skimming ai POS, compresi quelli che puntano ai dati delle carte EBT, sono in genere proprio questo: sovrapposizioni applicate sopra il terminale, dotate di trasmissione wireless. In pratica memorizzano i dati per scaricarli con calma in un secondo momento, oppure li inviano in tempo reale a dispositivi nelle vicinanze.

Il meccanismo si articola in quattro fasi: procurarsi il dispositivo, installarlo, catturare i dati e infine usarli in modo fraudolento. Le carte EBT, in particolare, sono diventate un bersaglio privilegiato almeno dal 2021, e il motivo è semplice: le carte dei benefici non sono quasi mai dotate di chip. È proprio questo che rende gli skimmer fisici ancora così remunerativi. Senza chip, la banda magnetica rimane il punto debole, e chi ha una carta EBT gode di tutele decisamente inferiori rispetto a chi possiede una carta di credito o di debito.

I lettori RFID possono davvero leggere le carte a distanza?

In breve: no, non funziona come spesso si racconta. L'idea che uno scanner RFID possa rubare i dati della carta di credito a 4-6 metri di distanza è semplicemente falsa. Gli esperti lo dicono chiaro: le carte contactless sono crittografate e non sono vulnerabili alla lettura a lungo raggio. Nella pratica, la maggior parte degli skimmer RFID arriva a leggere fino a circa 48 centimetri (19 pollici); i lettori RFID attivi possono spingersi fino a circa 90 metri, o 450 metri con un ripetitore di segnale. Sono però scenari tecnici che con il furto dei dati di pagamento in un centro commerciale non hanno molto a che vedere.

Per capire meglio come stanno le cose, vale la pena guardare da vicino le frequenze utilizzate e le distanze di lettura effettive. La tabella che segue riassume i parametri principali delle tecnologie RFID e NFC, quelle su cui si basa il funzionamento del contactless.

Quali sono i rischi reali dello skimming RFID alla cassa?

Secondo Gorilla Technology, lo skimming RFID costa ogni anno alle istituzioni finanziarie e ai consumatori oltre 1 miliardo di dollari, e solo negli Stati Uniti. FICO, dal canto suo, ha registrato un aumento del 452% dei punti di compromissione tra il 2021 e il 2022, un dato ripreso dall'Orion Policy Institute. Attenzione però: parliamo di numeri che riguardano lo skimming nel suo complesso, non soltanto la variante RFID. La maggior parte delle perdite, infatti, nasce da skimmer fisici e da frodi con carta non presente, non da scanner che leggono le carte contactless a distanza.

I dati rubati possono poi essere sfruttati per frodi online di tipo card-not-present: il rischio quindi c'è, ma va ridimensionato. La probabilità di finire nel mirino è bassa, anche se le conseguenze, quando succede, possono essere pesanti; il pericolo cresce nei luoghi affollati, come centri commerciali, aeroporti e snodi del trasporto pubblico. In simili contesti, però, è soprattutto la distrazione insieme alla vicinanza fisica ad agevolare lo skimming tradizionale, molto più di un improbabile attacco RFID a lungo raggio.

Come possono consumatori e commercianti prevenire lo skimming?

Per i consumatori la prima difesa resta l'ispezione, visiva e tattile. Date un'occhiata ad ATM, terminali POS e lettori di carte: se notate parti allentate, storte, danneggiate o graffiate, meglio diffidare. Tirate i bordi della tastiera e, soprattutto, copritela con la mano quando digitate il PIN. Quando potete, usate carte con chip o il pagamento contactless; evitate carte di debito collegate a più conti e tenete d'occhio gli estratti conto per scovare eventuali attività non autorizzate. E se il sospetto di una compromissione c'è, non perdete tempo: bloccate la carta e avvisate subito la banca.

Per i commercianti, verificare i numeri di serie dei terminali è un controllo semplice ma tutt'altro che banale: basta confrontarli con i registri e prestare attenzione a eventuali cambiamenti sospetti, sigilli di sicurezza danneggiati o cavi sostituiti, senza dimenticare di diffidare delle visite di manutenzione non annunciate. Vale anche la pena formare adeguatamente i dipendenti e affidarsi a sistemi POS crittografati. Discorso simile per le pompe di carburante: meglio scegliere quella più vicina al negozio e ben visibile all'addetto, usare la carta di debito come credito oppure pagare direttamente all'interno. Infine, per quanto riguarda le carte EBT, la regola d'oro è non fornire mai il PIN e verificare sempre i messaggi ricevuti con l'agenzia statale dei benefici.

Che ruolo hanno i prodotti con blocco RFID?

I prodotti con blocco RFID, come portafogli, custodie e carte, creano una barriera che blocca i segnali degli scanner. Funzionano, ma gli esperti sottolineano che la minaccia RFID a lungo raggio è ampiamente sopravvalutata. La tecnologia esiste, ma le condizioni del mondo reale rendono difficile copiare i dati in modo illecito: le carte contactless sono crittografate e il raggio utile resta molto corto. Questi prodotti sono un livello di protezione opzionale, non una necessità.

Vale la pena ricordare che anche le carte con chip conservano i dati della banda magnetica sul retro, ancora vulnerabili agli skimmer fisici. La differenza tra chip e banda magnetica è sostanziale: il microchip integrato protegge i pagamenti molto meglio della banda magnetica, ma non elimina ogni rischio. Per questo la prevenzione più solida resta comportamentale: ispezione dei terminali, copertura del PIN e monitoraggio costante dei movimenti.

Quali sono i limiti normativi e le tutele?

Lo skimming è una forma di frode informatica e furto ai sensi del 18 U.S.C. 1030 negli Stati Uniti. Per i titolari di carte EBT, il rimborso dei benefici persi a causa dei criminali può non essere completo o può non arrivare affatto, e i tempi di rimborso possono richiedere settimane. Questa asimmetria di tutele è un elemento importante da conoscere: chi usa carte di credito e debito ha in genere protezioni più solide rispetto a chi riceve benefici tramite carte EBT prive di chip.

Come riassumere il fenomeno in una tabella comparativa?

Per orientarsi tra le due forme di frode, la tabella seguente confronta i tratti distintivi dello skimming RFID e dello skimming fisico delle carte.

La tabella chiarisce perché il dibattito pubblico confonda spesso due fenomeni diversi. Lo skimming fisico è la minaccia documentata e redditizia; lo skimming RFID esiste come tecnica, ma il furto a distanza di dati completi è in gran parte infondato. Le carte contactless sono crittografate e non trasmettono informazioni sensibili in chiaro, mentre gli skimmer reali leggono la banda magnetica e registrano i PIN.

Quali parametri tecnici distinguono le frequenze RFID?

Le frequenze spiegano perché il raggio di lettura vari così tanto. I sistemi RFID passivi non hanno batteria e dipendono dal segnale del lettore; i tag attivi usano batterie e trasmettono il proprio segnale su distanze maggiori. La tabella seguente riassume le bande principali e i relativi raggio di lettura.

Il raggio effettivo dipende dal tipo di tag, dalla potenza del lettore, dalla configurazione dell'antenna e dall'ambiente. Anche per questo, l'idea di uno scanner capace di leggere una carta contactless a 4-6 metri in un ambiente affollato resta poco credibile: la fisica delle onde radio e la crittografia dei pagamenti contactless lavorano a favore del consumatore.

Cosa fare in pratica: una checklist rapida

Ecco una sequenza di controlli da adottare alla cassa, in ordine di rapidità. Ispezionate il terminale per parti allentate, storte o graffiate; tirate i bordi della tastiera; coprite il PIN; preferite chip o tap-to-pay; evitate carte di debito collegate a più conti; controllate gli estratti conto; bloccate la carta e avvisate la banca in caso di sospetto. Per le pompe di carburante, scegliete quella più vicina al negozio e pagate all'interno quando possibile.

Per i commercianti, la checklist include la verifica dei numeri di serie, l'attenzione ai sigilli di sicurezza danneggiati e ai cavi sostituiti, la diffidenza verso visite di manutenzione non annunciate, la formazione del personale e l'uso di sistemi POS crittografati. Per le carte EBT, non fornite mai il PIN, verificate i messaggi con l'agenzia statale dei benefici e usate solo linee di verifica del saldo conosciute.

Domande frequenti sullo skimming RFID

Le domande più comuni riguardano la reale esistenza del fenomeno, la differenza con gli skimmer fisici e l'utilità dei prodotti con blocco RFID. Le risposte che seguono riassumono i punti chiave emersi dall'analisi delle fonti e delle pratiche di prevenzione.

Domande frequenti sullo skimming RFID

I criminali possono davvero scansionare la mia carta di credito con un lettore RFID a diversi metri di distanza?

No. Gli esperti spiegano che le carte contactless sono crittografate e non trasmettono informazioni sensibili. Gli scanner RFID non possono leggere i dati completi della carta da 4-6 metri e non esistono prove credibili di furti di questo tipo. La maggior parte degli skimmer legge fino a circa 48 centimetri e le condizioni reali rendono la cattura a lunga distanza molto difficile.

Qual è la differenza tra uno skimmer di carte e lo skimming RFID?

Uno skimmer di carte è un dispositivo nascosto installato su o dentro ATM, terminali POS o pompe di carburante che cattura i dati dalla banda magnetica, spesso insieme a telecamere o tastiere sovrapposte per registrare i PIN. Lo skimming RFID usa un lettore portatile per scansionare senza contatto i segnali delle carte, ma gli esperti dicono che le carte contactless sono crittografate e non vulnerabili alla scansione a lunga distanza.

Come posso proteggermi dallo skimming a un terminale POS?

Ispezionate il terminale per parti allentate, storte, danneggiate o graffiate. Tirate i bordi della tastiera e copritela quando inserite il PIN. Usate carte con chip o il pagamento contactless quando disponibile, evitate carte di debito collegate a più conti e monitorate gli estratti conto per attività non autorizzate.

I portafogli con blocco RFID sono necessari per prevenire lo skimming RFID?

I portafogli, le custodie e le carte con blocco RFID possono bloccare i segnali degli scanner, ma gli esperti dicono che la minaccia dello skimming RFID a lungo raggio è ampiamente sopravvalutata. La tecnologia esiste, ma le condizioni reali rendono difficile copiare i dati in modo illecito. Questi prodotti sono un livello di protezione opzionale, non una necessità.

I portafogli con blocco RFID sono necessari per prevenire lo skimming?

Non sono indispensabili. Questi prodotti creano una barriera che blocca i segnali degli scanner e funzionano, ma la minaccia RFID a lungo raggio è ampiamente sopravvalutata: le carte contactless sono crittografate e il raggio utile resta molto corto. Rappresentano un livello di protezione opzionale, mentre la difesa più solida resta comportamentale, come l'ispezione dei terminali e la copertura del PIN.