“¿NFC? Eso no es seguro.” Es probablemente la objeción más común que oímos — y viene de un sitio real: los titulares sobre fraude con NFC en pagos, que en España han sido frecuentes. El prejuicio merece una respuesta seria, no un encogimiento de hombros de vendedor. Así que fuimos a los estudios. La conclusión corta: los ataques NFC documentados atacan pagos y tarjetas de acceso — cosas con dinero o puertas al otro lado. Una tarjeta de visita NFC no tiene ni lo uno ni lo otro. El riesgo que queda es otro, es pequeño, y se mitiga por diseño. Vamos por partes.
Lo que los investigadores atacan de verdad
La investigación de seguridad sobre NFC se concentra en dos objetivos, y merece la pena ver por qué.
Relay attacks a pagos. El estudio ReCoil (arXiv, 2020) demostró que, con bobinas pasivas cuidadosamente construidas, el alcance de lectura de una tarjeta de pago puede extenderse de los ~5 cm nominales hasta unos 49 cm — suficiente para “rozar” el bolsillo de alguien en una cola. El objetivo es el protocolo de autenticación de la tarjeta bancaria, porque al otro lado hay dinero. Aun así, medios técnicos como Xataka han desmontado el mito de que te vacían la cuenta solo con acercarse: los límites y la autenticación bancaria hacen el ataque poco rentable.
Malware que hace relay desde el móvil. En 2024, ESET documentó NGate, un malware de Android que retransmite el tráfico NFC de la tarjeta bancaria de la víctima al móvil del atacante junto a un cajero — la familia de estafas que ha llegado a los titulares españoles. Fíjate en lo que exige el ataque: la víctima tiene que ser llevada por phishing a instalar una app maliciosa, introducir credenciales bancarias y acercar su propia tarjeta de pago al móvil infectado. Es ingeniería social sofisticada contra pagos — no una debilidad del chip.
En cuanto al clásico man-in-the-middle, el propio whitepaper NFC-SEC de Ecma International — el organismo de normalización — clasifica el riesgo práctico como bajo en los casos de uso típicos, precisamente por la distancia cortísima de operación y las características de radio del NFC.
Por qué nada de esto aplica a tu tarjeta de visita
Una tarjeta de visita NFC es una etiqueta pasiva: sin batería, sin procesador ejecutando código, sin secretos dentro. Guarda exactamente una cosa — un enlace público. El mismo enlace que está en tu firma de email, en tu LinkedIn y en el reverso de cualquier tarjeta de papel con código QR.
No hay relay attack posible porque no hay transacción que retransmitir. No hay “clonación” con valor porque el contenido es público por definición — clonar tu tarjeta de visita te da… tu tarjeta de visita, que es su propósito. Y leer la etiqueta exige proximidad física de centímetros: nadie “esnifa” tu tarjeta desde la otra punta de la sala. Explicamos la física del toque aquí.
El riesgo que SÍ existe — y cómo se mata por diseño
Seamos honestos: hay un vector real, documentado en un aviso de Kaspersky sobre etiquetas maliciosas — dirigido sobre todo a etiquetas en espacios públicos (carteles, mesas de café): una etiqueta desbloqueada puede reescribirse para apuntar a un sitio de phishing, o sustituirse físicamente por otra. Es el equivalente NFC de pegar una pegatina con un QR falso encima de uno verdadero.
Las mitigaciones son conocidas — Kaspersky las recomienda y nosotros construimos con ellas:
- Etiquetas bloqueadas (read-only). Nuestros chips se graban y se bloquean: la reescritura por terceros queda físicamente desactivada. Es la recomendación número uno para organizaciones, y es nuestro estándar de fábrica, no un extra.
- Dominio propio, siempre visible. El toque abre el navegador con la URL a la vista — la misma comprobación que haces con cualquier enlace. Una página tapcontact vive en un dominio HTTPS reconocible, no detrás de un acortador anónimo.
- La página no ejecuta nada. Nuestras páginas de contacto son HTML estático con cero JavaScript — no corre código en el móvil de quien toca, así que no hay superficie para “payloads”. El vCard se descarga por el mecanismo nativo de iOS y Android, sin app.
- Sin peticiones de permisos. Tocar una tarjeta nunca pide instalación, acceso a contactos ni credenciales. Si alguna vez una etiqueta te pide eso, es exactamente la señal de alarma que Kaspersky describe — en otra plataforma.
La comparación que nadie hace: ¿y el papel?
La tarjeta de papel también fue siempre “falsificable” — cualquier imprenta imprime una tarjeta con tu nombre y un número equivocado. Nunca lo tratamos como una crisis de seguridad porque el contexto social del apretón de manos valida el intercambio. La tarjeta NFC hereda esa validación y añade algo que el papel no tiene: un destino verificable, en un dominio con HTTPS, controlado por tu organización — que puede revocarla o redirigirla cuando deja de deber hablar por ella.
Checklist de seguridad para quien va a comprar tarjetas NFC
Lleva estas preguntas a cualquier proveedor, incluidos nosotros: ¿las etiquetas vienen bloqueadas de fábrica? ¿La URL abre en un dominio propio con HTTPS, visible para quien toca? ¿La página ejecuta JavaScript o pide permisos? ¿Qué datos de quien toca se guardan — y dónde? Las respuestas correctas son: sí, sí, no, y casi ninguno, en la UE.
¿Te queda alguna duda concreta de seguridad? Escríbenos — responde una persona que sabe lo que es una etiqueta NDEF, no un chatbot.