“NFC? Isso não é seguro.” É provavelmente a objeção mais comum que ouvimos — e vem de um sítio real: manchetes sobre fraude em pagamentos contactless. O preconceito merece uma resposta séria, não um encolher de ombros de vendedor. Fomos aos estudos. A conclusão resumida: os ataques documentados ao NFC atacam pagamentos e cartões de acesso — coisas com dinheiro ou portas do outro lado. Um cartão de visita NFC não tem nem uma coisa nem outra. O risco que sobra é outro, é pequeno, e mitiga-se por desenho. Vamos por partes.
O que os investigadores realmente atacam
A investigação de segurança sobre NFC concentra-se em dois alvos, e vale a pena ver porquê.
Relay attacks a pagamentos. O estudo ReCoil (arXiv, 2020) demonstrou que, com bobinas passivas cuidadosamente construídas, é possível estender o alcance de leitura de um cartão de pagamento dos ~5 cm nominais até cerca de 49 cm — o suficiente para “encostar” ao bolso de alguém numa fila. O alvo é o protocolo de autenticação do cartão bancário, porque do outro lado há dinheiro.
Malware que faz relay do telemóvel. Em 2024, a ESET documentou o NGate, um malware Android que retransmite o tráfego NFC do cartão bancário da vítima para o telemóvel do atacante junto a um multibanco. Repara no que o ataque exige: a vítima tem de ser levada por phishing a instalar uma app maliciosa, introduzir credenciais bancárias e encostar o próprio cartão de pagamento ao telemóvel infetado. É engenharia social sofisticada contra pagamentos — não uma fragilidade do chip.
Quanto ao clássico man-in-the-middle, o próprio whitepaper NFC-SEC da Ecma International — o organismo de normalização — classifica o risco prático como baixo nos casos de uso típicos, precisamente pela distância curtíssima de operação e pelas características de rádio do NFC.
Porque é que nada disto se aplica ao teu cartão de visita
Um cartão de visita NFC é uma tag passiva: sem bateria, sem processador a correr código, sem segredos lá dentro. Guarda exatamente uma coisa — um link público. O mesmo link que está no teu email, no teu LinkedIn e no verso de qualquer cartão de papel com QR code.
Não há relay attack possível porque não há transação para retransmitir. Não há “clonagem” com valor porque o conteúdo é público por definição — clonar o teu cartão de visita dá… o teu cartão de visita, que é o objetivo dele. E ler a tag exige proximidade física de centímetros: ninguém “sniffa” o teu cartão do outro lado da sala. Explicámos a física do toque aqui.
O risco que EXISTE — e como se mata por desenho
Sejamos honestos: há um vetor real, documentado num alerta da Kaspersky sobre tags maliciosas — dirigido sobretudo a tags em espaços públicos (cartazes, mesas de café): uma tag desbloqueada pode ser regravada para apontar a um site de phishing, ou fisicamente substituída por outra. É o equivalente NFC de colar um autocolante com QR falso por cima de um verdadeiro.
As mitigações são conhecidas — a Kaspersky recomenda-as e nós construímos com elas:
- Tags bloqueadas (read-only). Os nossos chips são gravados e trancados: a regravação por terceiros fica fisicamente desativada. É a recomendação número um para organizações, e é o nosso padrão de fábrica, não um extra.
- Domínio próprio, sempre visível. O toque abre o browser com o URL à vista — a mesma verificação que fazes a qualquer link. Uma página tapcontact vive num domínio HTTPS reconhecível, não num encurtador anónimo.
- A página não executa nada. As nossas páginas de contacto são HTML estático com zero JavaScript — não há código a correr no telemóvel de quem toca, logo não há superfície para “payloads”. O vCard descarrega-se pelo mecanismo nativo do iOS e do Android, sem app.
- Sem pedidos de permissões. Tocar num cartão nunca pede instalação, acesso a contactos ou credenciais. Se alguma vez uma tag te pedir isso, é exatamente o sinal de alarme que a Kaspersky descreve — noutra plataforma.
A comparação que ninguém faz: e o papel?
O cartão de papel também sempre foi “falsificável” — qualquer gráfica imprime um cartão com o teu nome e um número errado. Nunca tratámos isso como crise de segurança porque o contexto social do aperto de mão valida a troca. O cartão NFC herda essa validação e acrescenta uma coisa que o papel não tem: um destino verificável, num domínio com HTTPS, controlado pela tua organização — que o pode revogar ou reencaminhar quando deixa de dever falar por ela.
Checklist de segurança para quem vai comprar cartões NFC
Leva estas perguntas a qualquer fornecedor, incluindo a nós: as tags vêm bloqueadas de fábrica? O URL abre num domínio próprio com HTTPS, visível para quem toca? A página executa JavaScript ou pede permissões? Que dados de quem toca ficam guardados — e onde? As respostas certas são: sim, sim, não, e quase nenhuns, na UE.
Resta-te alguma dúvida concreta de segurança? Escreve-nos — responde uma pessoa que sabe o que é uma tag NDEF, não um chatbot.