NFC é seguro? O que é mito e o que é risco real em cartões, celulares e placas

O NFC é seguro, sim, para pagar, ler etiquetas e usar placas de avaliação. A comunicação só acontece a poucos centímetros, o celular pede confirmação antes de abrir qualquer coisa, e o pagamento por aproximação usa um código que muda a cada compra. O medo de ter o cartão “clonado no ônibus” vem mais de vídeo viral do que de caso real.

Dito isso, segurança não é tudo ou nada. Existem cuidados que fazem sentido, e existe um risco bem concreto para quem tem placa ou etiqueta NFC no balcão: alguém regravar o chip. A seguir, separamos mito de risco real, sem alarmismo e sem minimizar.

Como o NFC funciona e por que a distância importa

NFC quer dizer comunicação por campo de proximidade. É um parente do RFID, só que feito para funcionar a pouquíssima distância, coisa de poucos centímetros. Na prática, você precisa quase encostar um objeto no outro.

Essa limitação é proposital. Para alguém ler um cartão sem você perceber, teria que encostar um leitor na sua bolsa ou no seu bolso, do lado certo, por tempo suficiente. Não é impossível em lugar muito cheio, mas está longe de ser algo que aconteça andando na rua. Tem mais detalhes técnicos em o que é NFC e como funciona.

Dá para clonar cartão por aproximação?

Clonar no sentido de criar uma cópia que faça compras novas, na prática, não. Cartões com chip e aproximação geram um código criptográfico diferente a cada transação. Mesmo que alguém capture os dados de uma leitura, aquele código não serve para outra compra.

Com o celular, a proteção é ainda maior. A Apple explica na sua página de segurança do Apple Pay que o número original do cartão não fica guardado no aparelho nem nos servidores da Apple. No lugar dele há um número da conta do dispositivo, criado pelo banco, e cada compra recebe um código de segurança dinâmico. As carteiras digitais do Android seguem a mesma lógica de usar um número substituto.

E o golpe da maquininha encostada no bolso?

O cenário teórico é alguém aproximar uma maquininha do seu cartão num lugar lotado e passar uma cobrança. Para isso funcionar, a pessoa precisaria de uma maquininha cadastrada no nome de alguém (o que deixa rastro), do cartão na posição certa e de um valor dentro do limite sem senha. Em 2023, quando circulou um alerta sobre um golpe envolvendo maquininhas e pagamento por aproximação, a Abecs, associação das empresas de cartão, disse não ter identificado evidências dele.

Os golpes que a gente vê de verdade no comércio são outros: maquininha com visor tampado ou quebrado, valor digitado com um zero a mais, troca de cartão na hora de devolver. Nenhum deles depende do NFC. Funcionam igual com cartão inserido.

• Olhe o valor no visor antes de aproximar o cartão ou o celular.
• Ative as notificações de compra no app do banco.
• Confira no app do seu banco se dá para ajustar o limite de compras por aproximação ou desligar a função no cartão físico.
• Prefira pagar pelo celular, que pede biometria ou senha antes de liberar o pagamento.
• Se quiser uma camada extra, carteiras com bloqueio de RFID impedem a leitura do cartão dentro delas.

Deixar o NFC do celular ligado é perigoso?

Não. No Android, o NFC ligado permite pagar e ler etiquetas; ele não abre caminho para ninguém acessar suas fotos ou senhas. No iPhone nem existe opção de desligar, e a leitura de etiquetas sempre mostra uma notificação que você precisa tocar.

Uma etiqueta NFC também não instala aplicativo sozinha. O que ela faz é entregar um conteúdo, quase sempre um link. O risco, então, é o mesmo de um QR Code: o link pode levar a uma página falsa. Vale o cuidado de sempre: não digitar senha nem dados de cartão numa página que abriu a partir de uma etiqueta que você não conhece.

Alguém pode regravar a placa NFC do meu balcão?

Aqui está o risco real para quem tem negócio. Uma etiqueta NFC comum, sem proteção, pode ser regravada por qualquer pessoa com um celular e um app gratuito. Se alguém fizer isso com a sua placa de avaliação, ela passa a abrir outra página: o perfil de um concorrente, um site qualquer, uma brincadeira.

É comum? Não. A gente quase não vê isso acontecer. Mas o conserto é simples, então vale conhecer as proteções que os próprios chips oferecem.

Senha de gravação

Chips da família NTAG21x, como a NTAG213, aceitam uma senha de proteção. Com ela ativada, qualquer pessoa continua lendo o link normalmente, mas só quem tem a senha consegue gravar outro. Apps como o NFC Tools têm a opção de definir e remover senha. É a proteção que a gente recomenda, porque dá para desfazer.

Bloqueio permanente

O chip também permite travar a gravação para sempre. Depois disso, ninguém regrava, nem você. Se mudar o link de avaliação, trocar de perfil ou quiser apontar a placa para o Instagram, não tem volta: só comprando outra. Por isso a gente não recomenda bloqueio permanente para placa de balcão.

Nossas placas usam NTAG213 reprogramável e chegam configuradas com o seu link. Isso permite trocar o link depois e também aplicar uma senha, se você quiser. O passo a passo de gravação está em como gravar link em tag NFC.

Etiqueta colada por cima

Outra forma de adulteração é mais física: colar uma etiqueta NFC ou um QR Code falso por cima do original. Senha não resolve isso, olho resolve. Repare na sua placa de vez em quando.

NFC é mais seguro que QR Code?

Para quem lê, os dois têm o mesmo ponto fraco: os dois entregam um link, e o link pode ser falso. A diferença está em como cada um pode ser adulterado.

Um QR Code impresso só muda se alguém colar outro por cima, e isso costuma dar para ver. Uma etiqueta NFC sem proteção pode ser regravada sem deixar marca nenhuma. Por outro lado, com senha de gravação ativada, a etiqueta fica protegida contra essa troca invisível, coisa que o papel não oferece.

Do lado do cliente, o iPhone mostra o endereço na notificação antes de abrir, e o Android costuma abrir o navegador, onde o endereço aparece na barra. Em ambos os casos, olhar se o domínio faz sentido (google.com para avaliação, instagram.com para perfil) é o melhor filtro.

Na nossa opinião, o mais seguro para o balcão é ter os dois juntos: placa NFC protegida e QR Code impresso como reserva, e o dono conferindo de vez em quando.

Riscos do NFC, um por um

Rotina de 30 segundos para quem tem placa NFC

1. 1

   Encoste o seu celular

   Uma vez por semana, ao abrir a loja, aproxime o celular da placa.

2. 2

   Confira o destino

   Tem que abrir a tela de avaliação do seu perfil, com o nome da sua empresa no topo.

3. 3

   Olhe a placa

   Veja se não tem adesivo, QR Code ou etiqueta que você não colocou.

4. 4

   Se algo mudou, regrave

   Grave o link certo de novo e, se ainda não tiver, defina uma senha. Se não conseguir, fale com quem te vendeu a placa.

Vale também manter um QR Code impresso como alternativa, para cliente com celular sem NFC. A comparação entre os dois está em NFC ou QR Code para avaliações, e dúvidas sobre garantia e troca estão nas perguntas frequentes.