Come funziona il pagamento tramite NFC?

Il pagamento NFC consente di effettuare pagamenti avvicinando una carta bancaria contactless, un telefono o uno smartwatch a un terminale di pagamento compatibile. La tecnologia NFC gestisce la connessione wireless a corto raggio, mentre il chip della carta, il terminale, la rete di pagamento e la banca gestiscono la transazione vera e propria.

Un semplice tocco può richiedere solo un secondo, ma in quel lasso di tempo avvengono diverse operazioni. Il dispositivo di pagamento comunica con il terminale, genera i dati di sicurezza per la transazione e invia il pagamento attraverso la rete bancaria per l'approvazione.

Che cos’è il pagamento NFC?

La tecnologia NFC (Near Field Communication) è una tecnologia wireless a corto raggio che opera a 13,56 MHz. Nel settore dei pagamenti, consente a una carta di pagamento o a un dispositivo mobile di comunicare con un terminale POS senza bisogno di essere inseriti nel lettore.

La tecnologia EMV Contactless supporta i pagamenti sia tramite carte con chip contactless che tramite dispositivi mobili dotati di tecnologia NFC. È sufficiente avvicinare la carta o il dispositivo al terminale.

Tra i metodi di pagamento NFC più diffusi figurano le carte di debito e di credito contactless, Apple Pay, Google Pay e gli smartwatch dotati di funzione di pagamento.

La connessione NFC di per sé non trasferisce denaro tra conti. Essa fornisce il collegamento di comunicazione locale tra il dispositivo di pagamento e il terminale. Il resto della transazione avviene attraverso la normale infrastruttura di pagamento.

Come funziona il pagamento tramite NFC?

Una tipica transazione con carta contactless può essere suddivisa in cinque fasi.

1. Il terminale attiva la carta

Il commerciante inserisce o conferma innanzitutto l'importo dell'acquisto. Il terminale di pagamento crea quindi un campo a radiofrequenza attorno al proprio lettore contactless.

Una carta bancaria fisica senza contatto non necessita di una propria batteria. La sua antenna interna capta l'energia dal campo magnetico del terminale e fornisce energia sufficiente per il funzionamento del chip.

Pertanto, una carta contactless può talvolta rimanere inutilizzata nel portafoglio per anni e continuare comunque a comunicare con un terminale quando la si avvicina.

I telefoni e gli smartwatch si differenziano perché dispongono di una propria fonte di alimentazione, sebbene utilizzino comunque la stessa interfaccia contactless a corto raggio per comunicare con il terminale di pagamento.

2. La carta e il terminale stabiliscono una comunicazione

Non appena la carta entra nel campo di lettura del terminale, il terminale e la carta iniziano a comunicare.

Le carte di pagamento contactless utilizzano comunemente una tecnologia basata sulla norma ISO/IEC 14443. Le specifiche EMV definiscono poi le modalità con cui l'applicazione di pagamento e il terminale si scambiano le informazioni necessarie per elaborare la transazione.

Il terminale individua un'applicazione di pagamento disponibile e avvia la transazione EMV. A questo punto, la carta non si limita semplicemente a inviare il numero memorizzato.

3. La carta genera i dati relativi alle transazioni

Il chip di pagamento contiene le credenziali e le informazioni crittografiche emesse nell'ambito del sistema delle carte di pagamento.

Durante una transazione, utilizza queste credenziali per generare dati di sicurezza specifici per quel pagamento. Lo standard EMV definisce questo elemento come un codice di sicurezza monouso o criptogramma. Per ogni nuova transazione viene generato un valore diverso, anziché utilizzare ogni volta lo stesso codice di sicurezza fisso.

La transazione può includere anche informazioni fornite dal terminale, quali l'importo dell'acquisto e altri parametri della transazione.

4. La transazione viene inviata per l'autorizzazione

Dopo aver comunicato con la carta, il terminale invia il pagamento alla rete finanziaria.

Un percorso semplificato si presenta così:

Carta o telefono → terminale POS → acquirente/gestore dei pagamenti dell’esercente → rete della carta → banca emittente

La banca emittente è la banca o l'istituto finanziario responsabile della carta del cliente.

Riceve le informazioni relative alla transazione ed esegue i controlli necessari per decidere se il pagamento debba essere accettato. Tali controlli possono includere la verifica delle credenziali di pagamento e dei dati crittografici, nonché la verifica dello stato del conto e della transazione.

5. L'approvazione o il rifiuto vengono restituiti al terminale

L'emittente comunica la propria decisione tramite la rete di pagamento.

Se la transazione viene approvata, il terminale POS conferma il pagamento. Se invece viene rifiutata, il terminale riceve la risposta corrispondente.

L'intera transazione spesso si conclude nel giro di pochi secondi.

Il regolamento dei pagamenti tra gli istituti finanziari avviene separatamente. L’operazione effettuata sul terminale serve principalmente a autenticare e autorizzare la transazione, piuttosto che a trasferire istantaneamente il denaro da un conto bancario direttamente sul conto dell’esercente.

Il pagamento tramite NFC richiede una connessione a Internet?

Lo scambio NFC a corto raggio non richiede di per sé una connessione cellulare o Wi-Fi sul telefono del cliente. Tuttavia, un tipico terminale di pagamento commerciale necessita di accedere all’acquirente o al gestore dei pagamenti per richiedere l’autorizzazione online. Alcuni ambienti di pagamento possono supportare un’elaborazione offline limitata, differita o di tipo “store-and-forward” in base a regole specifiche.

Cosa c'è all'interno di una carta bancaria contactless?

Una carta di debito o di credito contactless è una smart card contactless specializzata.

All'interno della tessera di plastica sono presenti due componenti importanti: un chip di sicurezza e un'antenna. L'antenna di solito circonda gran parte della tessera, in modo da poter interagire con il campo elettromagnetico generato dal terminale.

Il chip contiene l'applicazione di pagamento e le informazioni protette necessarie per le transazioni di pagamento. È in grado di eseguire operazioni crittografiche, anziché funzionare come una semplice memoria leggibile.

Questo spiega anche perché un danno all’antenna può impedire il pagamento contactless anche quando i contatti visibili del chip sulla parte anteriore della carta funzionano ancora. Il pagamento con contatto tramite i contatti metallici e il pagamento contactless utilizzano interfacce fisiche diverse per comunicare con il chip.

Quindi, una carta bancaria contactless è una Scheda NFC?

Per un utilizzo normale, sì: si tratta di una carta che supporta la comunicazione NFC/contactless a 13,56 MHz. Più precisamente, è una smart card per pagamenti sicuri progettata per le transazioni contactless EMV, piuttosto che un tag NFC generico.

Quali informazioni vengono scambiate durante un pagamento NFC?

A volte si dice che le carte contactless si limitino a “inviare i dati della carta”. Questa descrizione tralascia la parte più importante del processo.

Durante la transazione possono essere trasmesse alcune informazioni relative al pagamento. Visa, ad esempio, afferma che le sue carte contactless possono trasmettere il numero di conto, la data di scadenza e un codice monouso che cambia ad ogni transazione effettuata di persona.

La distinzione fondamentale riguarda le informazioni relative al conto, che sono relativamente statiche, e i dati dinamici relativi alla sicurezza delle transazioni.

Le informazioni relative al conto identificano il conto di pagamento. Il valore crittografico generato dinamicamente aiuta l'emittente a stabilire se la transazione provenga da una credenziale di pagamento valida e se i dati della transazione siano validi.

Una transazione contactless intercettata non fornisce quindi a un altro dispositivo un crittogramma riutilizzabile che possa essere semplicemente riproposto per una nuova transazione EMV contactless. Il valore di sicurezza è legato alla singola transazione.

Ciò non significa che i dati di pagamento debbano essere considerati non sensibili. Significa piuttosto che la sicurezza della tecnologia EMV contactless non si basa esclusivamente sulla riservatezza del numero della carta.

Come funzionano i pagamenti NFC su telefoni e smartwatch

Uno smartphone può comunicare con lo stesso tipo di terminale di pagamento contactless, ma non presenta necessariamente le stesse credenziali di pagamento della carta fisica che si trova nel portafoglio.

I portafogli mobili utilizzano comunemente la tokenizzazione dei pagamenti.

Quando si aggiunge una carta compatibile a Google Pay, ad esempio, è possibile assegnare al dispositivo un token, noto anche come DPAN o numero di conto virtuale. Google precisa che, durante un pagamento NFC, al terminale viene inviato questo token anziché il numero di conto principale effettivo della carta.

Apple Pay adotta un approccio simile, specifico per ogni dispositivo. Apple afferma che un numero di conto del dispositivo (Device Account Number) viene memorizzato nell’elemento di sicurezza (Secure Element) del dispositivo e viene utilizzato insieme a dati di sicurezza dinamici specifici per ogni transazione. Il numero effettivo della carta di pagamento non viene inviato dal dispositivo durante una transazione Apple Pay.

La procedura di pagamento generale è sempre la stessa:

Telefono → terminale di pagamento NFC → rete di pagamento → emittente

Ciò che cambia è la credenziale presentata dal dispositivo.

Anche i telefoni e gli orologi possono integrare una verifica del titolare della carta a livello di dispositivo. A seconda del dispositivo e del portafoglio digitale, l’utente può autenticarsi tramite Face ID, impronta digitale, codice di accesso o un altro metodo approvato prima che vengano utilizzate le credenziali di pagamento.

L'interfaccia NFC rimane quindi solo una parte del pagamento mobile. Dietro di essa operano hardware sicuro, l'assegnazione dei token, l'autenticazione dell'utente e l'elaborazione da parte della rete di pagamento.

Il pagamento contactless richiede sempre un PIN?

No. La necessità di inserire un PIN o di utilizzare un altro metodo di verifica del titolare della carta dipende da fattori quali l’importo della transazione, le regole dell’emittente, la configurazione del terminale, le regole della rete di pagamento e le normative locali. Una transazione con carta contactless può talvolta richiedere al cliente di inserire un PIN. Su uno smartphone o uno smartwatch, una verifica biometrica o tramite codice di accesso riuscita può fungere da metodo di verifica del titolare della carta tramite dispositivo del consumatore (Consumer Device Cardholder Verification Method, comunemente denominato CDCVM).

Carte di pagamento NFC vs tag NFC standard

Una carta bancaria contactless e una standard Etichetta NFC Possono entrambi comunicare a 13,56 MHz, ma le loro capacità sono molto diverse.

I chip NFC standard, quali NTAG213, NTAG215 e NTAG216, sono tag di tipo 2 secondo lo standard NFC Forum. Offrono memoria utente per applicazioni quali la pubblicità intelligente, l’interazione con i prodotti, l’autenticazione e altre esperienze NFC. Supportano le strutture di dati NDEF, leggibili dai telefoni compatibili.

Ad esempio, un NTAG213 potrebbe contenere un URL del tipo:

https://example.com/pay/order123

Quando un cliente tocca il tag, il telefono apre quella pagina e il cliente può procedere al pagamento online.

Il tag NFC ha contribuito ad avviare la procedura di pagamento, ma il tag stesso non ha effettuato alcuna transazione con carta bancaria EMV. Si è limitato a fornire i dati che hanno indirizzato il telefono al servizio di pagamento.

La stessa idea può essere applicata nei ristoranti, nei chioschi automatici, nelle confezioni dei prodotti, nei sistemi per eventi o in altre applicazioni in cui è necessario che un tocco metta in relazione un oggetto fisico con una pagina di pagamento online.

Alcune organizzazioni utilizzano anche carte o dispositivi contactless in sistemi a circuito chiuso, in cui la credenziale identifica un account all’interno della piattaforma propria dell’organizzazione. Le carte per i trasporti pubblici, i sistemi universitari, i sistemi prepagati e applicazioni simili possono utilizzare chip contactless sicuri e più avanzati. Questi sistemi non devono comunque essere confusi con l’emissione di una normale carta bancaria che funziona su Visa, Mastercard o un’altra rete di pagamento aperta.

In che modo vengono protetti i pagamenti NFC?

La sicurezza dei pagamenti contactless si basa sulle credenziali di pagamento e sullo scambio crittografico, non semplicemente sulla breve distanza di lettura della tecnologia NFC.

Crittogrammi specifici per transazione

Le transazioni con chip EMV generano dati di sicurezza per ogni singola transazione. EMVCo descrive il criptogramma come un valore monouso che aiuta l'emittente e il terminale ad autenticare la transazione.

Se qualcuno registra una transazione valida, quel valore crittografico non può essere semplicemente riutilizzato come crittogramma valido per un’altra transazione.

Chiavi crittografiche protette

Le chiavi utilizzate per generare crittogrammi di pagamento validi sono protette all'interno delle credenziali di pagamento, anziché essere trasmesse in chiaro ogni volta che la carta viene letta.

L'emittente o la rete di pagamento può utilizzare le informazioni corrispondenti per verificare il crittogramma durante l'elaborazione della transazione.

Tokenizzazione sui dispositivi mobili

I portafogli mobili aggiungono un ulteriore livello di sicurezza sostituendo il numero di conto principale della carta fisica con un token di pagamento specifico per il dispositivo.

Sia Apple Pay che Google Pay utilizzano credenziali di pagamento specifiche per il dispositivo per i pagamenti contactless supportati. La perdita delle credenziali del dispositivo non comporta quindi la necessità di rivelare il numero della carta originale utilizzata per ricaricarlo.

È proprio questa combinazione di credenziali sicure, dati dinamici delle transazioni e verifica da parte dell’emittente il motivo per cui il pagamento NFC non dovrebbe essere inteso come un semplice processo in cui il lettore scansiona una carta bancaria e si affida ciecamente al numero che riceve.

Dove si utilizza il pagamento NFC?

Lo stesso processo di base per i pagamenti contactless può essere utilizzato ovunque siano disponibili un terminale di pagamento compatibile e un'infrastruttura di pagamento adeguata.

I negozi al dettaglio e i ristoranti sono gli esempi più noti. I terminali contactless sono diffusi anche nei distributori automatici, nei sistemi di pagamento dei parcheggi, nei chioschi self-service e in altri punti di pagamento non presidiati.

I trasporti pubblici rappresentano un altro ambito di utilizzo importante. Alcuni sistemi accettano direttamente ai tornelli le normali carte bancarie contactless o i portafogli digitali. Questi sistemi vengono spesso definiti “a circuito aperto” poiché utilizzano le credenziali di pagamento già esistenti emesse dalle banche.

Altri sistemi relativi ai trasporti, al campus, all’ospitalità e alle strutture emettono le proprie tessere o credenziali. Queste sono a circuito chiuso sistemi in cui l'operatore gestisce le credenziali e l'account ad esse associato.

Entrambi possono utilizzare la tecnologia contactless, ma è il sistema finanziario alla base del "tap" a determinare ciò che la carta o il dispositivo possono effettivamente fare.

Conclusione

La tecnologia NFC garantisce la connessione wireless che consente a una carta, a un telefono o a uno smartwatch di comunicare con un terminale di pagamento. Il chip di pagamento o il portafoglio digitale forniscono le credenziali di sicurezza, il terminale inoltra la transazione alla rete finanziaria e l’emittente decide se autorizzarla.

Questa suddivisione dei ruoli è importante anche quando si sceglie la tecnologia NFC per un progetto. Un tag NFC programmabile può reindirizzare un cliente a una pagina di pagamento o a un altro servizio digitale, mentre il pagamento diretto con carta bancaria richiede le credenziali sicure e l’infrastruttura di un sistema di pagamento dedicato.