Pagare con il telefono è davvero più sicuro della carta fisica? Secondo l’esperto di cybersicurezza Juan Carlos Galindo, sì, almeno nei pagamenti contactless fatti oggi nei negozi con Apple Pay o altri wallet digitali. Il motivo è semplice: durante l’acquisto, il numero reale della carta non viene inviato al commerciante. Un dettaglio tecnico, certo, ma decisivo quando si parla di pagamenti mobili e di rischi legati alla clonazione delle carte.
Il punto, spiega Galindo, è piuttosto chiaro: con una carta fisica l’identificativo usato per il pagamento resta sempre lo stesso. “Attraverso la carta l’ID è sempre uguale”, ha detto l’esperto, che si occupa di indagini su reati economici e informatici. Una differenza che può sembrare sottile, ma che pesa molto quando si parla di sicurezza dei pagamenti contactless.
Quando si avvicina la carta al POS, entra in gioco la tecnologia NFC, la stessa usata dagli smartphone. Il gesto è identico: si appoggia, si aspetta il bip, si ritira. Ma i dati che passano tra carta e terminale non vengono trattati allo stesso modo. Con la carta tradizionale viene usato un riferimento stabile, collegato a quella specifica carta. Ed è proprio questa ripetizione, in certi tipi di attacco, a poter aumentare l’esposizione.
Perché la carta espone sempre lo stesso identificativo
Questo non vuol dire che una carta bancaria si possa copiare con facilità. Le banche usano controlli, limiti, sistemi antifrode e verifiche sulle operazioni sospette. Però il pagamento con smartphone aggiunge una protezione in più: evita che il dato reale della carta venga condiviso ogni volta con il negozio o con il POS.
La parola chiave è tokenizzazione. Nei pagamenti mobili, i dati reali della carta vengono sostituiti da un identificativo virtuale: un codice valido per quella singola operazione, che non può essere riusato come se fosse il numero della carta. Galindo lo sintetizza così: “Il telefono, ogni volta che si usa, comunica con un ID diverso”.
È qui che cambia il rischio. Anche se un criminale riuscisse a intercettare le informazioni scambiate tra smartphone e POS — e non è una cosa banale, perché servono strumenti e competenze precise — non avrebbe in mano un dato utile per fare altri acquisti. Quel token di pagamento perde valore appena l’operazione è conclusa. Finita la spesa, finito il codice.
Per questo molti esperti considerano i wallet digitali più solidi contro la clonazione della carta. La carta fisica mostra un riferimento che si ripete; il telefono, invece, usa credenziali che cambiano. Alla cassa del supermercato, magari con la fila dietro, il cliente non vede nulla di tutto questo. Ma per chi studia i rischi informatici è una differenza centrale.
Apple Pay, Secure Element e dati della carta fuori dalla transazione
Nel caso di Apple Pay, il sistema è pensato per non conservare sul dispositivo il numero reale della carta. Quando l’utente aggiunge una carta all’iPhone, è la banca o l’emittente a generare un identificativo specifico per quel dispositivo. Quel dato viene poi custodito nel Secure Element, un chip separato dal resto del sistema operativo.
Apple descrive il Secure Element come un’area protetta, a cui le app non possono accedere liberamente. Anche il commerciante, durante il pagamento, non riceve il numero effettivo della carta. Al momento dell’acquisto, Apple Pay invia l’identificativo virtuale insieme a un codice dinamico creato per quella singola operazione. Un passaggio rapidissimo, quasi invisibile, ma fondamentale.
Il risultato è che il negozio non entra mai in possesso dei dati completi della carta. Se il sistema di un esercente venisse violato, l’eventuale esposizione non riguarderebbe il numero reale collegato al conto del cliente. È uno dei motivi per cui molti specialisti indicano Apple Pay come un esempio efficace di sicurezza applicata ai pagamenti di tutti i giorni.
Lo stesso principio vale, con soluzioni tecniche simili, anche per altri wallet mobili. La differenza non sta nel gesto, ma in ciò che succede dietro le quinte. E qui lo smartphone, spesso visto come più fragile perché sempre connesso, può offrire una protezione più forte della plastica che teniamo nel portafoglio.
Biometria, modalità trasporto e limiti reali della sicurezza mobile
C’è poi un secondo livello di protezione: l’autenticazione biometrica. Nella maggior parte dei casi, per pagare con iPhone bisogna confermare l’operazione con Face ID, Touch ID o con il codice del dispositivo. Un ladro, quindi, non dovrebbe soltanto avere il telefono in mano: dovrebbe anche superare quella verifica. E non è poco.
Ci sono però eccezioni e limiti. Alcune carte impostate in modalità trasporto possono permettere pagamenti rapidi senza autenticazione completa, per esempio ai tornelli o su reti di trasporto compatibili. Negli ultimi anni alcune ricerche accademiche hanno mostrato possibili scenari di attacco legati proprio a impostazioni molto particolari, soprattutto con determinate carte e in condizioni tecniche ristrette. Non si trattava, però, di una clonazione comune né di una falla generale di Apple Pay.
Il punto, quindi, non è dire che il pagamento mobile sia invulnerabile. Nessun sistema lo è. Ma rispetto alla carta fisica aggiunge più barriere: identificativi temporanei, mancato invio del numero reale, chip protetto e verifica dell’identità. Galindo, da tecnico, la mette giù in modo diretto: pagare con il telefono può essere più sicuro proprio perché ogni acquisto lascia dietro di sé meno dati riutilizzabili.
