Educație · 🔐 Siguranță & fraude · 10 min citire · Actualizat 19 iun. 2026

NFC skimming card contactless: cum fură hoții datele și cum te aperi în 2026

NFC skimming card contactless este metoda prin care un criminal echipat cu un simplu cititor NFC îți poate citi datele cardului direct prin geantă sau buzunar, fără să te atingă și fără să-ți ceară vreodată codul PIN. Întrebarea „cum fură oamenii cardul contactless" nu mai este teorie: în 2026, telefonul pe care îl ții în buzunar poate fi transformat, cu o aplicație gratuită, într-un dispozitiv care citește numărul cardului și data expirării de la câțiva centimetri distanță. De aici și până la plăți neautorizate din apropiere sau la un card furat din buzunar care face plăți contactless e un pas mic.

Vestea bună e că nu ești neajutorat. Protecția RFID a cardului de credit, husa protectoare card RFID, modul în care detectezi furtul de date de pe card și pașii prin care dezactivezi contactless-ul sunt instrumente concrete, ieftine sau gratuite, pe care le poți aplica chiar azi. În plus, legislația din România îți oferă un nivel real de protecție pe care majoritatea oamenilor nu îl folosesc, pentru că nu îl cunosc.

În această lecție îți explic exact cum funcționează aceste atacuri din punct de vedere tehnic (fără mituri), care e riscul tău real în lei, ce poți și ce nu poți pierde, și apoi îți dau un protocol de protecție pas cu pas, plus ce să faci în primele minute dacă bănuiești că ai fost vizat.

Cum funcționează, de fapt, NFC skimming-ul

Cardul tău contactless conține un cip cu antenă (tehnologia se numește generic RFID, iar varianta folosită la plăți este NFC — Near Field Communication, care lucrează pe frecvența de 13,56 MHz). Când apropii cardul de un POS, terminalul „trezește" cipul printr-un câmp electromagnetic și cardul răspunde cu anumite date. Distanța oficială de funcționare e de 2-4 cm, dar cu o antenă mai mare un atacator o poate extinde la 10-30 cm — suficient cât să citească un card aflat în buzunarul din spate sau într-o geantă în metrou.

Important să înțelegi ce poate și ce nu poate citi un astfel de dispozitiv, pentru că aici se nasc cele mai multe panici și cele mai multe mituri:

• Poate citi: numărul cardului (PAN-ul, cele 16 cifre) și data expirării. Acestea sunt transmise „în clar" de majoritatea cardurilor la o citire EMV contactless.
• NU poate citi: codul CVV de pe spate (cele 3 cifre). Acesta NU este stocat în cip și nu se transmite la o citire contactless.
• NU poate citi: codul PIN. PIN-ul nu există în cip sub o formă care să poată fi extrasă — e verificat criptografic, nu „citit".
• NU poate clona un card funcțional pentru POS. Fiecare tranzacție contactless reală generează un criptogramă unică (cu o cheie secretă care NU părăsește niciodată cipul). Un atacator nu poate copia cipul ca să plătească la magazin.

De aceea, titlul senzaționalist „îți clonează cardul în 2 minute și plătește la POS fără PIN" este, tehnic, fals pentru cardurile EMV moderne. Riscul real nu e clonarea fizică, ci folosirea online a datelor citite — exact acolo unde nu e nevoie de cip, ci doar de număr + dată + (uneori) CVV.

Riscul tău real, în lei: unde te doare cu adevărat

1. Plăți online fără 3-D Secure

Cu numărul cardului și data expirării, un atacator poate încerca plăți pe site-uri internaționale care NU cer CVV și NU cer autentificare 3-D Secure (parola/SMS/aplicația băncii). Acești comercianți există încă, mai ales în afara UE. Aici e marele pericol al datelor citite prin NFC.

Din fericire, în UE, Directiva PSD2 impune Autentificarea Strictă a Clientului (SCA) pentru majoritatea plăților online din 2021. În practică, asta înseamnă că orice plată online la un comerciant din SEE îți cere confirmare prin aplicația băncii sau cod SMS. O plată neautorizată din apropiere convertită în plată online va fi, în marea majoritate a cazurilor, blocată la pasul 3-D Secure. Slăbiciunea rămâne la comercianții din afara SEE care nu aplică SCA.

2. Plăți contactless cu cardul furat fizic (fără PIN, sub prag)

Aici e scenariul „card furat din buzunar, plăți contactless" — și e mai real decât skimming-ul. În România, pragul standard pentru plata contactless fără PIN este de 100 lei per tranzacție (aliniat la limita europeană de aproximativ 50 EUR). Dacă cineva îți fură fizic cardul, poate face plăți repetate sub 100 lei fără să introducă PIN-ul.

Există însă o a doua limită, de cumul: regulile EMV impun ca, după un cumul de aproximativ 300 EUR (în jur de 1.500 lei) sau după un anumit număr de tranzacții contactless consecutive fără PIN, terminalul SĂ ceară obligatoriu PIN-ul. Deci hoțul nu poate „goli" cardul la nesfârșit cu plăți contactless — sistemul forțează verificarea PIN-ului după pragul cumulat.

Exemplu numeric concret: un card furat la care hoțul face plăți de 90 lei, 95 lei, 80 lei la diferite magazine. După ce cumulul depășește ~1.500 lei (adică în jur de 16-17 tranzacții), următorul POS îi va cere PIN-ul și schema se oprește. Pierderea maximă realistă într-o astfel de fereastră, înainte să blochezi cardul, e de ordinul a 1.000-1.500 lei — nu „toate economiile".

3. Combinarea cu phishing

Cel mai periculos scenariu nu e NFC-ul singur, ci NFC + phishing. Atacatorul citește numărul cardului prin NFC, apoi îți trimite un SMS „de la bancă" cerând confirmarea unei tranzacții. Dacă tu introduci codul 3-D Secure pe un site fals, ai dat tu însuți autorizarea. Aici, NFC-ul a fost doar primul pas, iar greșeala fatală a fost umană.

Cât pierzi, de fapt: cine suportă paguba

Acesta e capitolul pe care aproape nimeni nu îl știe și care schimbă complet calculul fricii. Conform OUG 113/2009 și Directivei PSD2, în cazul unei plăți neautorizate (tranzacție pe care nu ai autorizat-o tu):

• Răspunderea ta maximă este de 50 EUR (aproximativ 250 lei) pentru tranzacții neautorizate apărute înainte de a notifica banca, dacă paguba a rezultat din pierderea/furtul cardului.
• După ce ai notificat banca (blocarea cardului), răspunderea ta scade la ZERO — orice tranzacție ulterioară e suportată integral de bancă.
• Dacă banca nu a aplicat autentificarea strictă (SCA) acolo unde era obligatorie, răspunderea ta poate fi ZERO chiar și pentru pierderea de dinainte de notificare.
• Excepție gravă: dacă ai acționat fraudulos sau cu neglijență gravă (de exemplu ți-ai notat PIN-ul pe card, sau ai dat tu codul 3-D Secure pe un site fals), poți suporta întreaga pagubă.

Concluzie practică: dacă blochezi rapid cardul și nu ai comis o neglijență gravă, expunerea ta financiară reală e plafonată la ~250 lei, restul fiind problema băncii. Asta nu înseamnă să fii neglijent — înseamnă să nu intri în panică și să acționezi metodic.

Cum detectezi că ai fost vizat

NFC skimming-ul este invizibil — nu simți nimic când cineva îți citește cardul. De aceea detecția se face pe efecte, nu pe momentul atacului. Iată semnalele:

• Micro-tranzacții ciudate de 1-5 lei sau echivalentul în valută, care apar „de test" — atacatorii verifică dacă cardul e valid cu sume mici înainte de o sumă mare.
• Notificări de plată din locații în care nu ești. Activează-ți NOTIFICĂRILE INSTANT (push) pentru fiecare tranzacție — e cel mai puternic instrument de detecție gratuit.
• Coduri 3-D Secure primite prin SMS pentru plăți pe care nu le-ai inițiat. Asta înseamnă că cineva are deja datele cardului tău și încearcă o plată online.
• Solicitări de autentificare în aplicația băncii pe care nu le-ai declanșat tu.

Regula de aur: verifică extrasul de card săptămânal, nu lunar. La băncile din România (Revolut, BT, BCR, ING etc.) ai notificări instant și istoricul în aplicație — folosește-le. Majoritatea fraudelor sunt prinse de victimă, nu de bancă.

Protecția fizică: husa RFID și alternativele

O husă protectoare card RFID (sau un portofel cu blocare RFID) este o folie metalizată care formează o „cușcă Faraday" — blochează câmpul electromagnetic și împiedică cipul să fie „trezit" la distanță. Costă între 15 și 60 de lei și e cea mai ieftină măsură anti-skimming.

Câteva precizări care îți economisesc bani și dezamăgiri:

• Funcționează doar pentru cardul aflat ÎN husă. Dacă scoți cardul ca să plătești, în acel moment e expus — dar atunci ești atent oricum.
• Trucul gratuit: dacă ții două sau mai multe carduri contactless lipite spate în spate în portofel, ele se „bruiază" reciproc, iar un cititor nu poate izola unul singur. Nu e perfect, dar reduce semnificativ riscul, fără niciun cost.
• Folia de aluminiu casnică funcționează ca ecran improvizat — un card înfășurat în folie de aluminiu nu poate fi citit. Soluție de avarie, dar reală.
• Atenție la marketing: nu cumpăra „protectoare RFID" supraevaluate la sute de lei. Fizica e simplă; orice ecran metalic decent face treaba.

Cum dezactivezi contactless-ul și alte măsuri în aplicația băncii

Aproape toate băncile din România îți permit, din aplicație, să-ți reglezi controalele de securitate. Iată ce să faci, concret:

• Cum dezactivez contactless: în aplicația majorității băncilor (Revolut, BT, ING, BCR) ai un comutator „Plăți contactless" pe care îl poți opri. Dacă oprești contactless-ul, cardul cere PIN la fiecare plată — disconfort mic, securitate maximă.
• Coboară limita contactless: dacă nu vrei să-l dezactivezi complet, multe bănci îți permit să scazi pragul fără-PIN sub 100 lei sau să limitezi numărul de tranzacții contactless pe zi.
• Dezactivează plățile online când nu cumperi nimic și reactivează-le doar la nevoie. Asta anulează aproape complet riscul datelor citite prin NFC, pentru că ele se folosesc online.
• Folosește un card virtual de unică folosință (Revolut, dar și alte bănci) pentru cumpărături online. Numărul lui se schimbă după fiecare plată, deci datele citite devin inutile.
• Plătește cu telefonul (Apple Pay / Google Pay) în loc de cardul fizic. Acestea folosesc tokenizare: comerciantul primește un număr-token, nu numărul real al cardului tău. Cardul fizic poate rămâne acasă, în siguranță.

Plata prin telefon e, ironic, mult mai sigură decât cardul fizic contactless, deși folosește același NFC: tokenul nu poate fi reutilizat și e protejat de biometrie (amprentă/față).

Checklist de protecție — aplică azi

• ☐ Activează notificările instant push pentru fiecare tranzacție pe TOATE cardurile.
• ☐ Scade limita contactless fără-PIN sau dezactivează contactless-ul pe cardul principal.
• ☐ Dezactivează plățile online pe cardul fizic și folosește carduri virtuale pentru e-commerce.
• ☐ Treci la plată cu telefonul (Apple/Google Pay) și lasă cardul fizic acasă când poți.
• ☐ Cumpără o husă/portofel cu blocare RFID (15-60 lei) SAU ține două carduri spate-în-spate.
• ☐ Verifică extrasul săptămânal, nu lunar.
• ☐ Salvează în telefon numărul de blocare card al băncii tale, ca să-l ai în 10 secunde.
• ☐ NU introduce niciodată codul 3-D Secure pe un link primit prin SMS sau e-mail.

Ce faci în primele 5 minute dacă bănuiești o fraudă

1. Blochează imediat cardul din aplicația băncii (buton „Blochează"/„Freeze") — durează 2 secunde și e reversibil. Asta oprește instant orice plată ulterioară și, conform legii, mută răspunderea pe bancă din acel moment.
2. Verifică ultimele tranzacții și notează-le pe cele pe care nu le recunoști (sumă, comerciant, dată/oră).
3. Sună la banca (linia de fraude) și raportează tranzacțiile neautorizate. Cere deschiderea unei contestații (chargeback) pentru fiecare.
4. Solicită card nou. Numărul vechi e compromis definitiv — orice citire NFC anterioară rămâne valabilă până la reemitere.
5. Depune plângere la Poliție dacă sumele sunt mari — îți ajută la dosarul de despăgubire și e necesar pentru anumite contestații.
6. Păstrează dovezile: capturi de ecran cu tranzacțiile, numerele de înregistrare a sesizărilor. Banca are obligația legală să-ți răspundă la contestație, de regulă în maximum 15 zile lucrătoare (cu posibilă prelungire la 35 în cazuri complexe).

Greșeli frecvente de evitat

• Să crezi că ești neajutorat. Răspunderea ta legală e plafonată la ~250 lei dacă acționezi corect — nu îți riști economiile.
• Să dai codul 3-D Secure cuiva sau pe un site dubios. Asta transformă o fraudă imposibilă într-una completă și îți poate anula protecția legală (neglijență gravă).
• Să verifici extrasul doar lunar. O fereastră de 30 de zile e cadou pentru un atacator; verificarea săptămânală + notificările instant prind frauda devreme.
• Să plătești sume mari pe „protectoare RFID minune". O husă de 20 lei sau două carduri lipite fac aceeași treabă.
• Să ignori micro-tranzacțiile de 1-3 lei. Sunt teste de validare a cardului — semnalul că urmează o sumă mare.
• Să folosești cardul fizic online când poți folosi un card virtual de unică folosință care face datele citite prin NFC complet inutile.

Concluzia care contează: NFC skimming-ul există, dar nu îți poate „clona" cardul ca să plătească la POS fără PIN — acesta e un mit. Pericolul real e folosirea online a datelor citite și plățile contactless cu cardul furat fizic, ambele plafonabile prin notificări instant, carduri virtuale, plată cu telefonul și o blocare rapidă din aplicație. Cu protocolul de mai sus, ești mai protejat decât 95% dintre deținătorii de carduri din România.

← Toate articolele