Come funzionano i pagamenti NFC contactless e come sono protetti
I pagamenti contactless e NFC (Near Field Communication) sono ormai diventati una realtà quotidiana nelle nostre tasche. Che sia uno smartphone, una smartwatch o una semplice carta di credito, la possibilità di pagare semplicemente avvicinando il dispositivo a un lettore rappresenta una vera rivoluzione nel modo di gestire il denaro. In Italia, secondo i dati più recenti della Banca d'Italia, nel 2024 i pagamenti contactless hanno superato il 60% delle transazioni con carta nei punti vendita, un dato che continua a crescere mese dopo mese.
Ma come funziona davvero questa tecnologia? È sicura quanto dicono? Come protegge i vostri soldi? Dopo 15 anni di esperienza nel settore finanza personale, posso dirvi che molti italiani usano quotidianamente pagamenti NFC senza comprenderne il funzionamento e, soprattutto, senza conoscere le protezioni che realmente hanno a disposizione. Questa guida vi spiegherà nel dettaglio cos'è la tecnologia NFC, come protegge le vostre transazioni, quali sono i limiti di importo, e come tutelarvi da eventuali rischi. Troverete informazioni pratiche, dati concreti e normative vigenti, il tutto spiegato senza tecnicismi inutili.
NFC sta per Near Field Communication ed è una tecnologia di comunicazione wireless a corto raggio che permette lo scambio di dati tra due dispositivi posti a poca distanza l'uno dall'altro, generalmente tra i 4 e i 10 centimetri. A differenza del Bluetooth o del Wi-Fi, che operano a distanze maggiori, l'NFC è stato specificamente progettato per transazioni sicure e veloci quando i dispositivi sono molto vicini.
La tecnologia NFC si basa su onde radio a frequenza 13,56 MHz ed è stata standardizzata a livello internazionale dall'organizzazione ISO/IEC. In Italia, l'utilizzo dell'NFC nei pagamenti è regolato dalla Banca d'Italia attraverso il Testo Unico Bancario (D.Lgs. 385/1993) e dalle linee guida tecniche della Banca Centrale Europea.
Quando effettuate un pagamento contactless, accadono molte cose in pochi millisecondi:
Dato importante: durante una transazione NFC, il vostro numero di carta completo non viene mai trasmesso al punto vendita. Questo è uno dei motivi principali per cui questa tecnologia è considerata più sicura dei pagamenti tradizionali con inserimento della carta.
La crittografia è il meccanismo principale che protegge i vostri dati durante una transazione NFC. I dati trasmessi dal vostro dispositivo al lettore POS sono completamente cifrati utilizzando algoritmi di crittografia di alto livello, in genere lo standard AES (Advanced Encryption Standard) a 128 bit.
Per rendere il concetto semplice: è come se inviaste un messaggio in una busta chiusa con un lucchetto al quale solo il ricevente ha la chiave. Anche se qualcuno intercettasse il messaggio, non potrebbe aprirlo e leggerlo.
Per importi superiori a 25 euro (limite aggiornato nel 2024 da precedenti 20 euro), molte banche italiane richiedono un'autenticazione aggiuntiva. Questo significa che dopo aver avvicinato la carta, vi verrà richiesto di inserire il PIN o di effettuare un'autenticazione biometrica (impronta digitale o riconoscimento facciale) sul vostro smartphone.
Secondo le normative della Banca d'Italia e delle linee guida europee (PSD2 - Payment Services Directive 2), questa autenticazione forte è obbligatoria per garantire che il pagamento sia autorizzato effettivamente da voi e non da un malintenzionato.
Consiglio pratico: se state pagando con lo smartphone e il sistema vi chiede l'autenticazione biometrica, considerate positivo questo "inconveniente": significa che la vostra banca sta applicando correttamente i protocolli di sicurezza più avanzati.
Uno dei meccanismi più sofisticati che protegge i vostri pagamenti NFC è la tokenizzazione. Quando registrate una carta di credito su Apple Pay, Google Pay, Samsung Pay o su un'app bancaria, il vostro numero di carta non viene memorizzato nel dispositivo. Invece, viene inviato agli server sicuri della banca o del circuito (Visa, Mastercard), che generano un "token" univoco.
Questo token è essenzialmente un codice casuale che:
Se un malintenzionato riuscisse a intercettare il token durante una transazione, non potrebbe usarlo su un altro dispositivo o in un'altra transazione perché è legato specificamente al vostro telefono e al vostro numero di carta tramite criptografia.
Diversamente dai pagamenti online, dove inserite il CVV (quel numero di tre cifre sul retro della carta), nei pagamenti contactless il CVV non viene mai trasmesso. Questo rende ancora più difficile per un malintenzionato replicare una transazione anche se riuscisse a catturare alcune informazioni.
In Italia, il limite massimo per un pagamento contactless senza autenticazione aggiuntiva è di 25 euro (aumentato da 20 euro nel 2024 per limitare l'uso del contante). Questo limite è stato introdotto e regolato dalla Banca d'Italia seguendo le disposizioni europee della PSD2.
| Importo della transazione | Autenticazione richiesta | Limite senza autenticazione |
|---|---|---|
| Fino a 25 euro | No, in molti casi | Sì, limite massimo |
| Da 25 a 50 euro | Sì, autenticazione consigliata | Dipende dalla banca |
| Oltre 50 euro | Sì, richiesta forte | No, obbligatoria |
Attenzione: Alcune banche hanno impostato soglie di autenticazione più basse (ad esempio 15 euro) per motivi di sicurezza aggiuntiva. Controllate le impostazioni della vostra app bancaria per sapere quale sia il limite nel vostro caso specifico.
Secondo l'articolo 166 del Testo Unico Bancario (D.Lgs. 385/1993) e le linee guida della Banca d'Italia, se una transazione contactless non autorizzata viene addebitata sul vostro conto, avete diritto a richiedere il rimborso. La responsabilità della frode ricade su:
In pratica, se notate un pagamento sospetto, dovete segnalarlo alla vostra banca entro 90 giorni. La banca ha l'obbligo di investigare e, nella maggior parte dei casi, di rimborsarvi l'importo se la frode è riconosciuta.
Molti circuiti internazionali come Visa e Mastercard offrono una protezione aggiuntiva chiamata "Zero Liability" (responsabilità zero). Questo significa che se una transazione non autorizzata viene riconosciuta come tale, non sarete responsabili del pagamento, indipendentemente dall'importo. Tuttavia, dovete segnalare il problema rapidamente (generalmente entro 60 giorni) alla vostra banca.
Una delle preoccupazioni più comuni riguarda lo "skimming NFC", cioè la possibilità che qualcuno legga i vostri dati bancari semplicemente avvicinandosi con un lettore portatile. In teoria, è possibile, ma in pratica è molto meno probabile di quanto si pensi.
Perché? Innanzitutto, il dispositivo di lettura deve essere molto vicino (2-4 centimetri) e il vostro telefono deve avere la funzione NFC attiva. In secondo luogo, come abbiamo visto, i dati trasmessi sono completamente crittografati e tokenizzati, quindi anche se catturati, non sono direttamente utilizzabili.
Tuttavia, per essere completamente al sicuro:
Dato di sicurezza: Secondo i dati forniti dalla Federazione Bancaria Italiana (ABI) nel 2024, le frodi su pagamenti contactless rappresentano meno dell'1% delle frodi bancarie totali. La maggior parte delle frodi continuano a verificarsi attraverso canali di phishing e malware, non attraverso skimming NFC.
Il rischio più reale non viene dallo skimming passivo, ma da malware installati sul vostro telefono. Se scaricate un'app fasulla che simula Apple Pay o Google Pay, oppure il vostro telefono è infettato da malware, è possibile che i vostri dati vengano compromessi.
Per proteggervi:
Un rischio spesso sottovalutato è che il vostro smartphone o la vostra carta vengano utilizzati da persone a voi vicine (familiari, partner, colleghi) senza il vostro permesso. In questi casi, tecnicamente la transazione è autorizzata dal dispositivo, quindi è più difficile contestarla.
La protezione migliore rimane la responsabilità personale: tenete il vostro dispositivo sempre con voi, cambiate regolarmente i vostri PIN e password, e monitorate le vostre transazioni.
| Tipo di pagamento | Velocità | Sicurezza | Limite senza PIN | Tracciabilità |
|---|---|---|---|---|
| NFC su smartphone | Molto veloce (2-3 sec) | Altissima (crittografia + token + biometrica) | 25 euro (Italia) | Completa |
| Contactless con carta | Veloce (2-3 sec) | Alta (crittografia + token) | 25 euro (Italia) | Completa |
| Pagamento con PIN in carta | Moderato (10-15 sec) | Buona | Nessun limite | Completa |
| Contante | Veloce | Bassa (anonimato) | Nessun limite | Nulla |
La maggior parte degli smartphone Android moderni ha il chip NFC integrato. Per attivarlo:
Gli iPhone da iPhone 6 in poi hanno il supporto NFC integrato:
Consiglio utile: Aggiungete almeno due metodi di pagamento diversi (carta di credito e carta di debito, oppure due banche diverse). Se uno fosse compromesso o bloccato, avrete sempre un'alternativa.
Se possedete uno smartwatch, potete attivare i pagamenti NFC direttamente dall'orologio, senza neppure prendere il telefono. Su Apple Watch, usate Wallet. Su smartwatch Android, usate Google Pay per Wear OS. Una volta configurato, il pagamento avviene semplicemente toccando l'orologio al lettore POS.
La normativa principale che regola i pagamenti NFC in Italia è il Decreto Legislativo 385/1993 (Testo Unico Bancario), in particolare gli articoli dedicati ai servizi di pagamento e alla sicurezza. La Banca d'Italia ha anche emanato circolari specifiche che disciplinano i limiti di importo, i requisiti di autenticazione e la responsabilità civile.
Dal 2019, in tutta l'Europa è entrata in vigore la PSD2 (Payment Services Directive 2), direttiva che obbliga gli istituti bancari a utilizzare l'Autenticazione Forte (SCA - Strong Customer Authentication) per tutti i pagamenti online e, progressivamente, per i pagamenti contactless di importo elevato.
Questa direttiva ha introdotto il concetto di "Dynamic Linking", che per certi tipi di transazione richiede che il cliente confermi specificamente l'importo e il beneficiario. Per i pagamenti NFC al punto vendita, il meccanismo è leggermente diverso ma lo scopo è lo stesso: garantire che il pagamento sia davvero autorizzato dal proprietario della carta.
Secondo le normative europee incorporate nel nostro ordinamento, il consumatore è responsabile dei pagamenti non autorizzati solo se:
In tutti gli altri casi, la responsabilità ricade sull'istituto bancario o sul gestore della piattaforma di pagamento.
Le guide Moneyside hanno carattere educativo e informativo. Non costituiscono consulenza finanziaria, legale o fiscale ai sensi del D.Lgs. 58/1998 (TUF) e della Direttiva MiFID II. Verifica sempre le informazioni con fonti ufficiali o un professionista qualificato.