Digitaal zakkenrollen met contactloos betalen

Misschien maakte je het in de afgelopen maanden al mee. Je komt bij de kassa om iets af te rekenen en terwijl je de pinpas in de automaat wil steken zegt de winkelier dat een tik tegen de betaalautomaat volstaat.

Sinds een jaar zijn vrijwel alle grote Nederlandse banken bezig met het uitrollen van een nieuwe betaalmethode, het zogenoemde contactloos betalen. Via een chip die vergelijkbaar is met die in de OV-chipkaart communiceert de pinpas draadloos met de betaalautomaat. Deze staat in verbinding met de bank en handelt de betaling binnen enkele seconden af.

De nieuwe methode verschilt met pinnen doordat de chip geen direct contact meer maakt met de automaat. Verder is er voor het afrekenen geen pincode nodig voor bedragen tot vijfentwintig euro. En als je een totaalbedrag van vijftig euro bereikt vraagt de terminal altijd een pincode. Wat dat betreft lijkt contactloos betalen meer op de chipknip die dit jaar na bijna twintig jaar werd afgeschaft. Maar ook het opladen, zoals bij chippen, is niet meer nodig.

Draadloos betalen zónder pincode lijkt fraudegevoelig. Wordt zakkenrollen nu zo makkelijk als met een mobiele betaalautomaat ongemerkt langs alle broekzakken in een winkel lopen?

Hoe het werkt

De nieuwe pinpassen communiceren via de techniek radio-frequency identification (RFID) en bevatten een kleine chip die in staat is informatie te ontvangen en verzenden, opslaan én te verwerken. Die chip is enkele millimeters groot en kan tientallen kilobytes aan data opslaan.

Een contactloze betaling begint bij een betaalterminal (bijvoorbeeld de kassa in een winkel) die wil controleren of de bank een betaling toestaat. De terminal maakt via RFID draadloos contact met de chip in de pas en stuurt er een hoeveelheid data heen. Daarin zit zowel informatie over de transactie, zoals het bedrag, maar ook een willekeurig getal.

Een zwakheid zit hem in het feit dat bij contactloos betalen de betaalkaart de portemonnee niet meer hoeft te verlaten. In principe kan hij stiekem geactiveerd worden in je broekzak. Dat is aangetoond, door wetenschappers in het buitenland en door het team van Poll.

Hij heeft het over een zogenoemde relay attack, oftewel een estafette-aanval. Deze wordt met twee moderne telefoons uitgevoerd, die vaak zijn uitgerust met near field communication (NFC). Hiermee kunnen ze communiceren met betaalterminals óf de EMV-chips in kaarten.

Poll legt uit: “Als je ervoor zorgt dat deze twee telefoons met elkaar in verbinding staan, dan kunnen ze dus een brug vormen tussen een (legitieme) betaalterminal en de betaalpas in de broekzak van een nietsvermoedende passant.”

Relay-aanval

Doordat de terminal in principe niets merkt van het doorgeven van informatie van en naar de betaalpas lijkt alles in orde voor de bank aan de andere kant van lijn. “Het enige wat je nodig hebt is twee dieven met een goede timing”, zegt Pollen. “In de praktijk hoeft die timing niet eens vlekkeloos te zijn omdat er in tegenstelling tot bijvoorbeeld de OV-chipkaart een vrij ruime time-out is ingesteld vanwege het zwaardere cryptografische protocol.”

Een student die bij Poll afstudeerde testte zo’n relay-aanval met telefoons en die slaagde. “Ik denk zelfs dat het een kwestie van tijd is voordat er een RFID-doorsluis-app verschijnt,” zegt Poll,” dat zal ongetwijfeld breed in het nieuws worden uitgemeten.”

Want natuurlijk is het vervelend als je nietsvermoedend iets afrekent voor een ander. Toch denkt Poll dat dit uiteindelijk niet heel aantrekkelijk is voor dieven. “Het is vrij bewerkelijk, je loopt kans aan ‘beide kanten’ tegen de lamp te lopen, zowel bij de winkelier als bij de betaler. Bovendien ben je genoodzaakt je buit binnen te halen als producten die je ergens koopt, tot maximaal 25 euro.”

Verder is het contactloos betalen een veel internationaler geaccepteerd betaalmiddel. Poll: “De Chipknip was duidelijk een nationaal initiatief, dat buiten Nederland niet bestond. Contactloos betalen bestaat bijvoorbeeld in het Verenigd Koninkrijk en is momenteel het grootst in Polen. Waarom weet ik trouwens niet, misschien omdat zij relatief laat zijn begonnen met betalen per kaart.”

Zelf gebruikt Poll het contactloos betalen nog niet, maar is dat wel van plan. “Grootste risico is het pasje kwijtraken en je bent dan maximaal vijftig euro kwijt”, zegt hij. “Het is daarmee eigenlijk niet onveiliger dan een briefje van vijftig euro in je portemonnee hebben. Bovendien vermoed ik dat de banken in het begin coulant zullen zijn met het vergoeden van eventuele schade.”