Seguridad NFC: Sniffing, Replay y los Riesgos Reales

La seguridad NFC no es una sola cosa. Una etiqueta de póster inteligente en texto plano y un pago sin contacto comparten banda de radio y poco más — una no tiene cifrado alguno, la otra ejecuta un intercambio criptográfico con un banco. Sniffing, replay y relay son tres ataques distintos con tres requisitos distintos. El corto alcance del NFC hace más trabajo real contra ellos del que la gente le reconoce.

Qué Es: La Respuesta en Un Párrafo

"¿Es seguro el NFC?" no tiene una sola respuesta, porque el NFC abarca desde una etiqueta de tarjeta de presentación sin cifrar hasta un pago con seguridad de nivel bancario. El alcance certificado por el NFC Forum es de 5mm, y en la práctica las lecturas casi nunca superan los 2cm — ese requisito de proximidad es la primera y más eficaz defensa contra el sniffing pasivo, antes de que entre en juego cualquier cifrado. Los pagos añaden una segunda capa: un Secure Element y autenticación mutua criptográfica que una etiqueta NDEF simple sencillamente no tiene.

Cómo Funciona Realmente

Al alcance certificado de 5mm del NFC, un atacante necesita mantener una antena pegada a tu bolsillo o bolso durante un momento sostenido para completar una lectura. Eso es evidente — no es algo que pase al cruzarte con alguien entre una multitud. Ya explicamos la física detrás de ese límite de alcance si quieres la explicación completa.

La mayoría de las etiquetas NDEF de consumo — pósters inteligentes, empaques de producto, tarjetas de presentación — transmiten sus datos sin ningún cifrado; su modelo de seguridad depende por completo de la proximidad, no de la criptografía. Bloquear una etiqueta la vuelve de solo lectura, evitando que alguien sobrescriba lo que tiene guardado, pero bloquearla no oculta ni cifra los datos ni el identificador único (UID) de la etiqueta. Cualquiera que acerque el teléfono a una etiqueta bloqueada puede leer exactamente lo que contiene. Un pago es un modelo de seguridad completamente distinto, que corre a través de un Secure Element con autenticación mutua criptográfica en vez de un registro plano y legible.

Esa distinción también separa los tres ataques que la gente agrupa como "hackeo de NFC". El sniffing, el que el alcance limita más directamente, es capturar pasivamente un intercambio en vivo. Capturar un intercambio legítimo una vez y reenviarlo después para hacerse pasar por el original es un ataque de replay — los protocolos de autenticación modernos lo neutralizan con números aleatorios (nonces), marcas de tiempo y ventanas de vida del mensaje. El relay es distinto otra vez: reenviar una sesión en vivo en tiempo real entre dos dispositivos coludidos, uno cerca de la víctima y otro cerca del lector objetivo. Se ha demostrado técnicamente en condiciones de laboratorio, pero lo limitan requisitos estrictos de proximidad, ventanas de tiempo ajustadas propias de los protocolos de pago, el costo del hardware de relay y la detección de anomalías del lado de la terminal — teóricamente real, rara vez vale la pena frente a sistemas modernos ya endurecidos.

Dónde Lo Verás

Las credenciales de acceso y las etiquetas de activos son donde se concentra el riesgo real de clonación, y casi siempre es un vacío de implementación: las etiquetas con claves por defecto o sin autenticación configurada son las que terminan duplicadas, no las que están bien configuradas desde el inicio. El pago sin contacto está en otra categoría, cubierto por protecciones de Secure Element que una etiqueta tipo sticker nunca tiene.

El caso de estudio más claro es NGate, malware de Android activo desde noviembre de 2023, que llevó a un arresto por parte de la policía checa. No funcionó porque alguien escaneara en silencio un bolsillo en público — funcionó al engañar a las víctimas para que instalaran una app bancaria falsa, que luego retransmitía las lecturas NFC de su propio teléfono hacia los atacantes. Ese es el patrón que vale la pena interiorizar: el fraude NFC documentado y a gran escala hoy es ingeniería social más malware, no un desconocido con un lector escondido en un tren lleno de gente.

Consejos, Detalles a Cuidar y un Uso Rápido con NFCore

Si estás bloqueando etiquetas que ya posees — tarjetas de presentación, etiquetas de activos, etiquetas de Información de Emergencia — recuerda que bloquear evita la manipulación, no la lectura. No pongas nada en una etiqueta que no querrías que un desconocido viera.

Instala apps bancarias y de pago solo desde tiendas oficiales, y trata cualquier aviso no solicitado de "actualización de seguridad" que te pida cargar algo manualmente como una señal de alarma. Ese es el mecanismo de entrega detrás del patrón de fraude descrito arriba. Apagar el NFC cuando no lo usas también es un buen hábito, sobre todo como higiene frente a permisos de malware, más que como medida contra el sniffing.

Hicimos NFCore para las etiquetas que tú controlas: ábrelo para revisar el estado de bloqueo y el UID de una etiqueta antes de confiar en ella, o para bloquear las etiquetas NDEF que tú mismo escribiste. No lee, escribe ni clona etiquetas que no te pertenecen, y nunca toca tokens de pago.

Preguntas Frecuentes

¿Alguien puede hacer sniffing de mi tarjeta NFC solo con pasar cerca de mí?

En la práctica, no. El alcance certificado del NFC es de 5mm, las lecturas rara vez superan los 2cm, y mantener una antena pegada a tu bolsillo durante un momento sostenido es evidente, no algo que ocurra al pasar de largo.

¿Cuál es la diferencia entre sniffing, replay y relay en NFC?

El sniffing captura pasivamente un intercambio en vivo. El replay captura un intercambio y lo reenvía después — lo neutralizan los nonces y las marcas de tiempo. El relay reenvía una sesión en vivo en tiempo real entre dos dispositivos coludidos, uno cerca de ti y otro cerca del lector.

¿Las etiquetas NFC bloqueadas están a salvo de clonación?

Bloquear vuelve una etiqueta de solo lectura, así que no se puede sobrescribir, pero los datos siguen siendo legibles por cualquiera que la escanee, ya que la mayoría de las etiquetas NDEF no están cifradas. Bloquear evita la manipulación, no la lectura.

¿Es más arriesgado pagar sin contacto que deslizar una tarjeta?

No — el pago sin contacto corre a través de un Secure Element con autenticación mutua criptográfica, muy por encima de un simple sticker o una banda magnética. El patrón de fraude real, como NGate, depende de engañarte para que instales una app falsa, no de leer tu tarjeta en silencio.

¿Necesito mantener el NFC apagado en mi teléfono?

No por riesgo de sniffing — el alcance ya lo hace poco práctico. Es un buen hábito sobre todo para limitar la exposición a malware que abusa de los permisos NFC, no para bloquear la escucha pasiva.

Conclusión

La seguridad NFC se reduce a saber en qué categoría estás: una etiqueta en texto plano defendida sobre todo por la proximidad, o un pago defendido por un Secure Element y un intercambio criptográfico. La amenaza real hoy se parece a NGate — una app de phishing que te engañaron para instalar — no un desconocido con un lector escondido en el metro.