Ifølge hjemmesidene til DnB (Visa) og Eurocard (MasterCard) er kontaktløse betalingskort er på vei inn i det norske markedet.

Teknologien som benyttes heter Near Field Communication (NFC), og er i likhet med RFID basert på radiokommunikasjon over korte avstander. Ifølge reklamen kan en benytte et bankkort utstyrt med NFC til å betale for småkjøp (opp til 200 kroner) uten å taste PIN-kode eller på annen måte bekrefte at man ønsker å overføre penger fra en konto til en annen.

Antatt elektronisk lommetyv, av Oleg Gorobets

Oleg Gorobets, som arbeider i det anerkjente russiske datasikkerhetsselskapet Kaspersky Lab postet den 8. februar 2016 et bilde på sin Facebook-side som viser en mann med en aktivert NFC-terminal på t-banen i Moskva. Gorobets antok at mannen forsøkte å bruke terminalen til å «skimme» andre passasjerers trådløse betalingskort. Gorobets vet ikke om den antatte elektroniske lommetyven klarte å overføre penger, men mener det er sannsynlig.

Dersom noen klarer å aktivere et trådløst betalingskort uten at kortets eiere er klar over det, er det ganske opplagt at det er mulig å stjele penger. Bankene innrømmer da også såpass, men hevder at tapet i så fall blir begrenset av beløpsgrensen på 200 kroner. Imidlertid avslørte forskere ved Newcastle University i 2014 at en feil i algoritmen som håndterte beløpsgrensen gjorde det mulig å overføre langt større beløp enn dette. Selv om vi må anta at feilen som ble oppdaget i 2014 er rettet nå, er det ikke betryggende at slike feil har forekommet i en produksjonsversjon av betalingsprogramvare.

I en artikkel publisert i Journal of Engineering: Eavesdropping near-field contactless payments: a quantitative analysis hevder fire forskere knyttet til University of Surrey at det mulig å avlytte den trådløse kommunika­sjonen mellom bankkort og betalingsterminal ved avstander opp til 90 cm. De sier at det kan gjøre med forholdsvis rimelig utstyr (£1500) satt sammen av standardkomponenter, og at utstyret ikke er større enn at det kan skjules i en ryggsekk. Kommunikasjonen mellom kort og terminal er ukryptert. Med slikt utstyr og en strategisk plassering ved en betalingsterminal kan nær sagt hvem som helst fange opp data som kan benyttes til identitetstyveri, til å spore folks bevegelser, og til relebasert «skimming» (informasjonen som fanges opp videresendes til en fjerntliggende betalingsterminal og utfører en transaksjon uten at offeret forstår hva som skjer).

Les også: Expressen: Tusentals skimmas varje år – går på några sekunder.

Det virker som banker og kortselskaper nå dytter slike kort på kundene sine enten de ønsker å kunne betale trådløst eller ikke. Hvordan kan forbrukere som er skeptisk til automatisk trådløs betaling beskytte seg mot at kortet tappes («skimmes») når vi står tett sammen på T-banen? Og hvordan kan vi forhindre at de trådløse signalene avlyttes når kortet brukes til å betale for en vare eller en tjeneste.

Det beste hadde selvsagt vært om man kunne bestille et betalingskort uten trådløsfunksjon fra sin bank, men det er uklart om betalingskort uten NFC-cip er et produkt bankene vil fortsette å selge. Visa Norge påstår for eksempel på sine hjemmesider at trådløs betaling fører til økt omsetning:

Kortholder som blokkerer radiosignaler

Undersøkelser som nylig er gjennomført i USA, viser at kunder som bruker kontaktløs betaling med Visa bruker gjennomsnittlig 22 prosent mer enn dem som betaler med kontanter.

Og siden Visa lever av prosenter av denne omsetningen, blir summen på bunnlinja mindre dersom kundene kan velge bort trådløs betaling. Det tjener ikke Visas interesser.

Selv har jeg så langt nøyd meg med å investere i en en kortholder som blokkerer radiosignaler (se bildet). En slik kortholder beskytter mot elektroniske lommetyver på t-banen, men ikke mot de som avlytter radiosambandet når kortet er tatt ut av holderen og faktisk er i bruk. Skal man verne seg mot dette må man fysisk ødelegge radioantennen ved å drille et hull gjennom kortet slik at antennen ikke lenger er forbundet med kretsen.