Ci capita ogni volta di andare a un ristorante e quando arriva il conto, tiri fuori la carta (o il telefono), fai tap… e in due secondi sei libero di tornare a parlare male della carbonara “rivisitata”. 🗣️
Ma come funziona davvero un pagamento contactless? Come fa quel pezzetto di plastica, o quel rettangolo di vetro e metallo, a spostare soldi dal tuo conto a quello dell’esercente? 💸
In questo articolo restiamo nel mondo dei pagamenti fisici in negozio 🛍️ (quindi niente acquisti online stile Amazon) e dividiamo il tema in due famiglie:
- pagamento con carta fisica (banda magnetica, chip, contactless) 💳
- pagamento con smartphone (Apple Pay / Google Pay) 📱
E sì… alla fine rispondo anche alla domanda che ti interessa davvero. È più sicuro pagare con la carta o con il telefono?
Pagare con la carta
Nel 2024 in Italia, per la prima volta, i pagamenti digitali hanno superato il contante, e dentro ai pagamenti digitali la fetta enorme la fanno le carte. Questo “spiega” perché il contactless sia diventato la normalità sotto certe soglie… un metodo progettato per rendere il pagamento con carta più veloce e più comodo. Ma effettivamente come funziona? 🤔
Prendiamo una carta qualsiasi e guardiamola con occhi curiosi, e possiamo notare due elementi evidenti:
- la banda magnetica (striscia nera)
- il chip (quel quadratino metallico)
Sono due tecnologie completamente diverse. E una delle due è così vecchia che tuo nonno la usava già negli anni ’60. 👴🏻 Indovina quale?
1) Banda magnetica: funziona… ma è il punto debole storico
La banda magnetica, strato di particelle ferromagnetiche su base plastica, nasce in un’epoca in cui l’obiettivo era: far leggere dati alla cassa, punto. Il problema è come li porta quei dati. 📉
- Le informazioni (numero carta, scadenza, e altri codici tecnici) sono memorizzate sulla banda.
- E soprattutto… sono statiche e in chiaro. 😳
Statiche? Sì, dati che non cambiano ad ogni transazione ma che inviano sempre le stesse informazioni identiche.
Ma un altro fattore molto importante è che queste informazioni necessarie all’autorizzazione della transazione viaggiano dalla carta al POS in chiaro! Sì, in chiaro, non sono cifrate. 🤕
Quindi, se qualcuno riuscisse a leggere quella banda, potrebbe copiare ciò che serve per “replicare” la carta 🚨 (almeno per scenari fraudolenti compatibili con la banda).
Da qui il classico mondo dello skimming, lettori nascosti in punti dove si striscia, dati copiati, e… carta clonata. 🕵🏻♂️ Per questo oggi la banda magnetica è considerata la modalità meno sicura tra quelle “classiche” per pagare in negozio.
2) Chip EMV: la carta diventa un mini-computer (e smette di essere clonabile “facilmente”)
Per questo motivo, nasce lo standard EMV (Europay, Mastercard, Visa). Lo standard utilizza un chip che serve a proteggere le transazioni generando dati dinamici che cambiano a ogni pagamento, rendendo quasi impossibile la clonazione della carta.
Fisicamente, il chip EMV è un piccolo microprocessore integrato sulla carta, molto simile a un mini computer. Non è solo un “magnete digitale” come la banda, ma contiene un microprocessore che esegue calcoli crittografici, una memoria non volatile per dati statici della carta (numero, scadenza, certificati digitali), una memoria volatile per i dati temporanei della transazione e un generatore di numeri casuali per creare cryptogrammi unici. 🧮
Il chip può essere utilizzato in due modalità:
Modalità A: carta inserita (chip contact)
Quando inserisci la carta nel POS, il POS fa contatto elettrico col chip e avvia un dialogo (protocollo) in cui vengono generati i dati cifrati della transazione. La banca può verificare che quella transazione sia “autentica”, e non la copia di un pagamento precedente.
Modalità B: carta appoggiata (contactless)
Qui invece, basta appoggiare la carta al POS e avviene il pagamento. Ma la domanda è “ok, ma fisicamente come funziona il pagamento contactless?”
Ed ecco che entra un argomento interessante della fisica.
Se osserviamo una carta di pagamento dall’interno, come in figura, vediamo chiaramente un filo sottile che gira intorno alla carta, chiamato antenna NFC, collegato ad un quadratino metallico, quello è proprio il chip di cui parlavamo prima!
Ma come si alimenta questo circuito senza batterie?
Quando avvicini la carta, il POS genera un campo elettromagnetico variabile che induce una corrente elettrica all’interno della carta che comunica con questo chip. In fisica, questo si chiama Induzione Elettromagnetica. ⚡️
Quella corrente indotta “sveglia” il chip, che calcola un cryptogramma valido una sola volta, usando chiavi crittografiche memorizzate internamente, e trasmette i dati richiesti (numero della carta, cryptogramma dinamico della transazione, ecc…) al POS sempre attraverso variazioni del campo magnetico.
Infine, il POS lo invia alla nostra banca, che verifica tutto e autorizza il pagamento. Il tutto in qualche secondo. 💨
Il punto sicurezza, qui, è semplice… anche se qualcuno intercettasse la comunicazione, quel codice dinamico è progettato per essere monouso.
Pagare con lo smartphone: pagamento contactless
Quando paghi con il telefono, da fuori sembra identico al contactless con carta… avvicini e via. E infatti la tecnologia di comunicazione è ancora NFC.
Ma cosa cambia dal pagare con la carta fisica?
Anche qui è presente un circuito dedicato ma qui il chip EMV si chiama Secure Element!
Ogni iPhone ha un Secure Element fisico dedicato, mentre gli Android possono averlo come no, perché la maggior parte utilizza un emulatore software (HCE) per memorizzare i dati senza avere hardware dedicato. Ma andiamo per gradi!
Come possiamo osservare in questa immagine, è presente proprio un circuito dedicato che è interamente isolato dagli altri componenti del telefono. Molto importante perché lo rende meno vulnerabile ad eventuali attacchi informatici. 🦾
Quindi, abbiamo visto che la tecnologia e il fenomeno fisico utilizzati sono gli stessi, ma la procedura di pagamento non è la medesima, perché? Perché nel mezzo interviene un attore in più e soprattutto prima di pagare bisogna dimostrare che siamo effettivamente noi (Face ID / Touch ID / impronta / PIN del telefono) prima di poter selezionare una carta e pagare!
E questa è una differenza enorme, aggiungi un ulteriore livello di sicurezza prima ancora di parlare di crittografia.
Esistono diverse app di pagamento, ma prendiamo quelle più famose distinguendole in due casi: Apple Pay e Google Pay.
Pagamento contactless con Apple Pay
In entrambi i casi possiamo dividere il processo in due momenti: quando aggiungiamo la carta all’app e quando paghiamo.
Aggiungere la carta. La prima volta che registriamo la carta, i dati vengono inviati alla banca. La banca non restituisce il numero reale della carta, ma genera un codice sostitutivo chiamato Device Account Number (DAN), che identifica in modo univoco il nostro dispositivo. Questo codice viene salvato in una zona protetta del telefono, nel Secure Element.
Pagare. Quando vogliamo fare un acquisto, sblocchiamo l’app, scegliamo la carta e avviciniamo il telefono al POS. In quel momento vengono trasmessi al POS il DAN e un codice crittografico generato al momento, diverso ad ogni pagamento, che garantisce che la transazione non possa essere falsificata o riutilizzata. La banca dell’esercente gira queste informazioni alla nostra banca, che le verifica e dà il via libera. E fine… pagamento effettuato!
Il numero reale della carta non viene mai trasmesso, anche se qualcuno intercettasse i dati, non otterrebbe nulla di utilizzabile.
Pagamento contactless con Google Pay
Google Pay funziona in modo simile, ma con alcune differenze importanti.
Aggiungere la carta. Quando registriamo la carta, i dati non rimangono sul telefono, ma vengono inviati e conservati su un server remoto di Google, che restituisce un token da usare per i pagamenti.
Pagare. Al momento dell’acquisto, l’app invia al POS il token, un codice crittografico generato per quella specifica transazione e i dati tecnici richiesti dal protocollo EMV. A differenza di Apple Pay però, il POS non comunica direttamente con la nostra banca, passa prima per i server di Google, che hanno in memoria i dati della carta e si occupano di contattare la banca per completare il pagamento.
Le differenze con Apple Pay sono due, e non sono dettagli da poco.
La prima riguarda dove vengono salvati i dati: Apple non memorizza nulla su server esterni, tutto resta esclusivamente sul dispositivo. Google invece conserva le informazioni della carta sui propri server. 📝
La seconda riguarda come viene gestito il pagamento sul telefono: Apple utilizza sempre un chip hardware dedicato e isolato, il Secure Element. Google invece, nella maggior parte dei casi, emula via software una carta contactless, una tecnologia chiamata Host Card Emulation (HCE), senza richiedere un chip fisico dedicato.
Il risultato è che Google Pay offre comunque un livello di sicurezza elevato, ma l’architettura è meno blindata rispetto a quella di Apple Pay (tutto in un chip isolato).
Una possibile spiegazione che mi sono dato è che probabilmente Google ha deciso di intraprendere questa strada perché deve prevedere l’utilizzo dell’app su diversi dispositivi Android che, a differenza dei dispositivi Apple, non tutti potrebbero avere il componente hardware dedicato. Apple controlla direttamente tutti i suoi dispositivi! 🤔
Quindi: carta o smartphone?Qual è più sicuro (davvero)?
Dopo aver visto tutti i metodi di pagamento, proviamo a stilare una classifica, partendo dal meno sicuro. 📉
🥉 Ultimo posto: la banda magnetica. Strisciando la carta, i dati viaggiano verso il POS in chiaro, senza alcuna cifratura. Chiunque riesca ad intercettare la comunicazione ottiene tutto il necessario per clonare la carta.
🥈 Al centro: chip e contactless. Inserendo la carta oppure appoggiandola, in entrambi i casi abbiamo la cifratura dei dati, rendendo la comunicazione molto più difficile da intercettare e sfruttare. Ma tra i due non c’è una differenza sostanziale in termini di sicurezza.
🥇 Primo posto: lo smartphone. Oltre alla cifratura, il pagamento via app aggiunge un livello ulteriore di protezione che gli altri metodi non hanno… l’autenticazione dell’utente. Prima di poter pagare, dobbiamo sbloccare l’app con Face ID, impronta digitale o PIN. Anche se qualcuno ci rubasse il telefono, non potrebbe usarlo per pagare.
Detto questo, se mi permettete una piccola provocazione… nessuna tecnologia batte il caro vecchio contante. 🎖️
Niente dati da cifrare, niente server, niente intercettazioni. Il metodo più sicuro in assoluto esiste già da secoli, e lo abbiamo in tasca.
