--- id: CP-086 slug: clonacion-tarjetas-acceso-nfc-rfid lang: es title: Clonación de tarjetas de acceso NFC y RFID description: Una tarjeta de acceso sin contacto puede copiarse o retransmitirse sin que su titular lo note. Qué se sabe, qué se ve y qué hacer. canonical_url: https://startbrain.io/cyberpedia/es/articles/clonacion-tarjetas-acceso-nfc-rfid/ markdown_url: https://startbrain.io/cyberpedia/es/articles/clonacion-tarjetas-acceso-nfc-rfid.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, «Clonación de tarjetas de acceso NFC y RFID», Cyberpedia, 2026. https://startbrain.io/cyberpedia/es/articles/clonacion-tarjetas-acceso-nfc-rfid/ (CC BY 4.0) wing: 1 theme: secure_devices reflex: cr-053 schema: G3 updated: "2026-11-03" translations: es: https://startbrain.io/cyberpedia/es/articles/clonacion-tarjetas-acceso-nfc-rfid/ fr: https://startbrain.io/cyberpedia/fr/articles/clonage-badges-acces-nfc-rfid/ en: https://startbrain.io/cyberpedia/en/articles/nfc-rfid-access-badge-cloning/ de: https://startbrain.io/cyberpedia/de/articles/klonen-zutrittsbadges-nfc-rfid/ it: https://startbrain.io/cyberpedia/it/articles/clonazione-badge-accesso-nfc-rfid/ sources: - "n": 1 title: Multi-Factor Authentication Interception, Technique T1111 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1111/ accessed: "2026-11-03" - "n": 2 title: Adversary-in-the-Middle, Technique T1557 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1557/ accessed: "2026-11-03" - "n": 3 title: Hardware Additions, Technique T1200 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1200/ accessed: "2026-11-03" - "n": 4 title: SP 800-116 Rev. 1, Guidelines for the Use of PIV Credentials in Facility Access | CSRC publisher: NIST url: https://csrc.nist.gov/pubs/sp/800/116/r1/final published: "2018-06-29" accessed: "2026-11-03" --- # Clonación de tarjetas de acceso NFC y RFID Una tarjeta de acceso sirve para abrir una puerta, un torniquete o un ascensor sin tocar nada. La tarjeta dialoga con un lector a corta distancia, y en principio un tercero puede copiar o retransmitir ese diálogo. Esta ficha explica la idea desde el punto de vista del empleado y lo que puede hacer en su ámbito. Una precisión de método. Las fuentes citadas aquí son fichas generales sobre hardware malicioso, interceptación de comunicaciones y autenticación fuerte, además de una recomendación estadounidense sobre tarjetas de acceso. Ninguna describe en detalle la clonación de tarjetas de 125 kHz, las debilidades de MIFARE Classic ni una demostración pública con Proxmark o Chameleon. Por eso estos puntos no se afirman aquí. ## En 30 segundos - Dónde ocurre: en la entrada de los locales y en cualquier lugar donde una tarjeta se presenta ante un lector. Las fuentes citadas aquí no indican un lugar concreto para la copia en sí. - Lo que quiere el atacante: obtener credenciales para acceder a sistemas, servicios y recursos de red [1]. - Si ya ha ocurrido: comunique sin demora la pérdida o la duda a la persona encargada de la seguridad de los locales, que puede revocar la tarjeta. - El reflejo: no deje una tarjeta sin vigilancia, guárdela cuando no la use y avise de cualquier aparato desconocido conectado o colocado cerca de un lector o de una red. ## Preguntas directas ### ¿Puedo notar que han copiado mi tarjeta? Las fuentes citadas aquí no lo dicen. Describen otros casos en los que el ataque pasa por un intermediario situado entre dos dispositivos [2]. Conviene, por tanto, razonar así: la ausencia de señales no prueba nada. ### ¿Está a salvo una tarjeta reciente? Las fuentes no establecen que ningún modelo de tarjeta esté a salvo. El NIST publica recomendaciones sobre el uso de las tarjetas PIV, tarjetas de identidad profesional estadounidenses, en el control de acceso a edificios. Se basan en una estrategia fundada en el riesgo para elegir el mecanismo de autenticación adecuado [4]. La elección del mecanismo se decide, pues, según el riesgo del lugar, no según una regla única. ### ¿Qué hago si pierdo mi tarjeta? Una ficha de MITRE recomienda, para las tarjetas inteligentes, retirarlas cuando no se usan [1]. Si se pierde una tarjeta, avisar de inmediato permite a la organización desactivarla. Esta última indicación responde al sentido común de la organización y no procede de ninguna de las fuentes citadas. ## En la piel del atacante Las fichas de MITRE ATT&CK describen atacantes que apuntan al medio de autenticación y no solo a la contraseña. La ficha sobre la interceptación de la autenticación multifactor menciona las tarjetas inteligentes y los generadores de códigos entre los mecanismos atacados [1]. Precisa que, en el caso de una tarjeta inteligente, hace falta un registrador de pulsaciones para obtener la contraseña asociada durante el uso normal [1]. Con la tarjeta insertada y esa contraseña, el atacante puede conectarse a un recurso haciendo pasar la autenticación por el equipo infectado [1]. Existe una lógica parecida para las comunicaciones: colocarse entre dos dispositivos para recoger información o actuar en su lugar [2]. La idea de un relevo en tiempo real entre una tarjeta y una puerta remota pertenece a esta familia de ataques, pero las fuentes citadas aquí no la aplican a las tarjetas de acceso. ## Lo que ve en la pantalla Para una tarjeta, por lo general no hay pantalla. Lo que describen las fuentes son señales en la red y en el puesto de trabajo cuando se añade hardware: un nuevo dispositivo externo reconocido por el sistema, seguido de procesos lanzados en la misma sesión, o una nueva interfaz de red que obtiene una dirección [3]. Estas señales conciernen a los equipos informáticos, que las buscan en los registros [3]. Para un empleado, la señal útil suele ser física. Una caja desconocida o un pequeño ordenador conectado a una toma de pared: la ficha sobre las adiciones de hardware habla de dispositivos conectados físicamente al entorno de la organización [3]. Un objeto así se comunica, no se desconecta uno mismo. ## Bajo el capó La ficha de MITRE sobre las adiciones de hardware indica que accesorios, equipos de red u otros dispositivos pueden introducirse físicamente en un sistema o una red para obtener acceso a ellos [3]. Añade que las referencias públicas de uso por actores maliciosos son escasas, mientras que muchos equipos de intrusión autorizados los emplean para el acceso inicial [3]. Entre las capacidades citadas figuran la escucha pasiva de la red, la modificación del tráfico, la inyección de pulsaciones de teclado y la adición de puntos de acceso inalámbricos [3]. La ficha sobre el atacante en el medio describe el principio del relevo: obligar a un dispositivo a comunicarse a través de un sistema controlado por el atacante para recoger información o actuar [2]. Cita también los ataques de degradación, que negocian una versión más débil u obsoleta de un protocolo o de un algoritmo de cifrado [2]. Respecto al cifrado del tráfico, la misma ficha recomienda asegurarse de que todo el tráfico por cable e inalámbrico esté cifrado correctamente [2]. El paralelo con tarjetas antiguas o sin cifrar es una analogía del redactor: estas fuentes no lo establecen. En cuanto a la defensa, la ficha sobre las adiciones de hardware recomienda bloquear los dispositivos y accesorios desconocidos mediante la configuración de los equipos y controlar el acceso a la red con certificados de dispositivo y la norma 802.1x [3]. La recomendación del NIST, publicada en junio de 2018, trata de la elección de los mecanismos de autenticación de las tarjetas PIV para el acceso a edificios, según el riesgo [4]. ## Autopsias ### DarkVishnya, bancos atacados por conexión directa (referencia fechada el 6 de diciembre de 2018) La ficha de MITRE sobre las adiciones de hardware menciona al grupo DarkVishnya. Conectó físicamente un Bash Bunny, una Raspberry Pi, netbooks y portátiles baratos al entorno de la organización objetivo, con el fin de acceder a su red local [3]. La publicación de referencia, de S. Golovanov, se titula «DarkVishnya: Banks attacked through direct connection to local network» y data del 6 de diciembre de 2018 [3]. Este caso no trata de una tarjeta clonada. Muestra que una persona presente en los locales, o que haya podido entrar en ellos, puede colocar hardware poco costoso que abre el acceso a la red interna [3]. Es una razón más para vigilar quién entra y qué se conecta. Las fuentes citadas aquí no contienen ninguna demostración fechada de clonación de tarjetas HID Prox ni de relevo NFC contra tarjetas de pago o llaves. Por eso esta ficha no presenta ninguna. ## Fuentes 1. MITRE ATT&CK, «Multi-Factor Authentication Interception, Technique T1111 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1111/ (consultado el 3 de noviembre de 2026) 2. MITRE ATT&CK, «Adversary-in-the-Middle, Technique T1557 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1557/ (consultado el 3 de noviembre de 2026) 3. MITRE ATT&CK, «Hardware Additions, Technique T1200 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1200/ (consultado el 3 de noviembre de 2026) 4. NIST, «SP 800-116 Rev. 1, Guidelines for the Use of PIV Credentials in Facility Access | CSRC», 29 de junio de 2018. https://csrc.nist.gov/pubs/sp/800/116/r1/final (consultado el 3 de noviembre de 2026) --- Fuente original: Cyberpedia, la enciclopedia pública de ciberseguridad e IA publicada por Brain. Versión canónica: https://startbrain.io/cyberpedia/es/articles/clonacion-tarjetas-acceso-nfc-rfid/ Puede reutilizar este texto libremente bajo la licencia CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), siempre que cite «Brain, Cyberpedia» con un enlace a la dirección anterior.