Начнём с самого канала связи. Бесконтактная карта работает по технологии NFC, которая рассчитана на очень малое расстояние. В обычных условиях карту нужно поднести к терминалу примерно на несколько сантиметров, а в лабораторных условиях и со специальным оборудованием дистанция может быть чуть больше, но всё равно измеряется считанными сантиметрами, а не метрами. Тонкая ткань сумки или кармана радиосигнал не блокирует, поэтому терминал, прижатый почти вплотную к карте, технически способен с ней связаться. Но в давке на эскалаторе это ещё не означает, что связь состоится: нужно попасть антенной точно в нужное место, а карт в сумке может быть несколько, и они будут мешать друг другу.
Главный нюанс в другом: связаться с картой и списать с неё деньги — это далеко не одно и то же. Чтобы получить платёж, терминал должен запустить полноценную платёжную операцию, которая проходит через платёжную систему и банк-эмитент. Современные карты при каждой операции формируют уникальный одноразовый криптографический код, который зависит от суммы, данных терминала и внутреннего счётчика карты. Поэтому записать радиообмен, а потом многократно «проигрывать» его для новых покупок не получится: банк просто не примет повторно использованный или несоответствующий операции код. Данные карты, которые мог бы считать посторонний терминал, не позволяют сделать ни копию карты, ни списание в обход этой защиты.
Есть и вторая проблема, которую рассказчики страшилок обычно обходят стороной: деньги должны куда-то прийти. Настоящий торговый терминал привязан к конкретному получателю платежей и обслуживается банком-эквайером. Чтобы его подключить, нужен договор с банком, а значит, и проверка личности или организации, и расчётный счёт, на который поступает выручка. Каждая операция оставляет запись в платёжной системе, а её получателя можно установить. Схема «купил терминал в интернете, прошёлся по вагону и вечером снял наличные» выглядит куда проще на словах, чем на деле: на пути от чужой карты к наличным в кармане мошенника стоит банковская проверка, и она сработает при первой же жалобе пострадавшего. Платёж к тому же можно оспорить, и деньги вернутся владельцу карты, а счёт получателя заблокируют.
Не стоит забывать и про ограничения самой бесконтактной оплаты. Она не безлимитна: в России платёжные системы допускают операции без PIN-кода в пределах 3000 рублей, но банки и эквайеры вправе устанавливать меньшие пороги, и на практике многие карты требуют PIN уже при покупке на меньшую сумму. Кроме того, банк может время от времени запросить PIN-код или другое подтверждение владельца, даже если сумма небольшая, и это одна из мер защиты от серии мелких списаний. Конкретные значения зависят от страны, банка, типа карты и настроек, поэтому точные цифры нужно смотреть в приложении своего банка. Помимо этого, банки анализируют необычные операции: несколько платежей подряд в разных точках, странные суммы или резкая смена поведения клиента легко могут привести к отклонению платежа и блокировке карты.
Значит ли это, что бояться нечего? Не совсем. Реальные схемы с бесконтактными платежами существуют, но они устроены иначе. Самая распространённая — не «кража через сумку», а социальная инженерия: человеку звонят якобы из банка или службы безопасности и убеждают установить приложение или приложить карту к смартфону. В ряде случаев используются программы, передающие данные карты с телефона жертвы на устройство злоумышленника, и деньги затем снимаются через банкомат или другой терминал. В таких историях мошенник не крадёт данные тайком, а добивается, чтобы владелец карты сам сделал нужное действие. Другой, более прозаичный риск — потеря или кража самой карты: пока владелец не заблокировал её, небольшие покупки без PIN-кода по ней вполне могут пройти.
Чтобы свести риски к минимуму, достаточно нескольких простых привычек. Уведомления об операциях стоит включить, чтобы видеть каждое списание сразу, а при любой подозрительной сумме немедленно блокировать карту в приложении банка. Лимит операций без PIN-кода во многих банках можно уменьшить или вовсе отключить бесконтактную оплату, если вы ей не пользуетесь. Никому и никогда нельзя сообщать данные карты, коды из СМС и PIN, а также прикладывать карту к чужому смартфону по просьбе «сотрудника банка». Отдельные кошельки и чехлы с экранирующим слоем тоже существуют, но для большинства людей они скорее дополнительная страховка, чем необходимость.
Итог таков: сценарий «мошенник с терминалом незаметно собирает деньги в метро» остаётся скорее городской легендой, чем массовой угрозой. Технически считать карту с небольшого расстояния можно, но превратить это в безнаказанное и прибыльное списание мешают одноразовые коды, привязка терминала к конкретному получателю, лимиты и банковский контроль. Куда опаснее обман, при котором человек сам отдаёт доступ к своим деньгам. Поэтому главной защитой остаётся не экранирующий чехол, а внимательность, настроенные уведомления и привычка не доверять просьбам «срочно приложить карту» и называть коды незнакомым людям.
