Clonación de tarjetas de acceso NFC y RFID
Una tarjeta de acceso sin contacto puede copiarse o retransmitirse sin que su titular lo note. Qué se sabe, qué se ve y qué hacer.
En 30 segundos
- Dónde ocurre
- En la entrada de los locales y en cualquier lugar donde una tarjeta se presenta ante un lector. Las fuentes citadas aquí no indican un lugar concreto para la copia en sí.
- Lo que quiere el atacante
- Obtener credenciales para acceder a sistemas, servicios y recursos de red1.
- Si ya ha ocurrido
- Comunique sin demora la pérdida o la duda a la persona encargada de la seguridad de los locales, que puede revocar la tarjeta.
- El reflejo
- No deje una tarjeta sin vigilancia, guárdela cuando no la use y avise de cualquier aparato desconocido conectado o colocado cerca de un lector o de una red.
De qué se trata
Una tarjeta de acceso sirve para abrir una puerta, un torniquete o un ascensor sin tocar nada. La tarjeta dialoga con un lector a corta distancia, y en principio un tercero puede copiar o retransmitir ese diálogo. Esta ficha explica la idea desde el punto de vista del empleado y lo que puede hacer en su ámbito.
Una precisión de método. Las fuentes citadas aquí son fichas generales sobre hardware malicioso, interceptación de comunicaciones y autenticación fuerte, además de una recomendación estadounidense sobre tarjetas de acceso. Ninguna describe en detalle la clonación de tarjetas de 125 kHz, las debilidades de MIFARE Classic ni una demostración pública con Proxmark o Chameleon. Por eso estos puntos no se afirman aquí.
Preguntas directas
¿Puedo notar que han copiado mi tarjeta?
Las fuentes citadas aquí no lo dicen. Describen otros casos en los que el ataque pasa por un intermediario situado entre dos dispositivos2. Conviene, por tanto, razonar así: la ausencia de señales no prueba nada.
¿Está a salvo una tarjeta reciente?
Las fuentes no establecen que ningún modelo de tarjeta esté a salvo. El NIST publica recomendaciones sobre el uso de las tarjetas PIV, tarjetas de identidad profesional estadounidenses, en el control de acceso a edificios. Se basan en una estrategia fundada en el riesgo para elegir el mecanismo de autenticación adecuado4. La elección del mecanismo se decide, pues, según el riesgo del lugar, no según una regla única.
¿Qué hago si pierdo mi tarjeta?
Una ficha de MITRE recomienda, para las tarjetas inteligentes, retirarlas cuando no se usan1. Si se pierde una tarjeta, avisar de inmediato permite a la organización desactivarla. Esta última indicación responde al sentido común de la organización y no procede de ninguna de las fuentes citadas.
1En la piel del atacante1 min
Las fichas de MITRE ATT&CK describen atacantes que apuntan al medio de autenticación y no solo a la contraseña. La ficha sobre la interceptación de la autenticación multifactor menciona las tarjetas inteligentes y los generadores de códigos entre los mecanismos atacados1. Precisa que, en el caso de una tarjeta inteligente, hace falta un registrador de pulsaciones para obtener la contraseña asociada durante el uso normal1. Con la tarjeta insertada y esa contraseña, el atacante puede conectarse a un recurso haciendo pasar la autenticación por el equipo infectado1.
Existe una lógica parecida para las comunicaciones: colocarse entre dos dispositivos para recoger información o actuar en su lugar2. La idea de un relevo en tiempo real entre una tarjeta y una puerta remota pertenece a esta familia de ataques, pero las fuentes citadas aquí no la aplican a las tarjetas de acceso.
2Lo que ve en la pantalla1 min
Para una tarjeta, por lo general no hay pantalla. Lo que describen las fuentes son señales en la red y en el puesto de trabajo cuando se añade hardware: un nuevo dispositivo externo reconocido por el sistema, seguido de procesos lanzados en la misma sesión, o una nueva interfaz de red que obtiene una dirección3. Estas señales conciernen a los equipos informáticos, que las buscan en los registros3.
Para un empleado, la señal útil suele ser física. Una caja desconocida o un pequeño ordenador conectado a una toma de pared: la ficha sobre las adiciones de hardware habla de dispositivos conectados físicamente al entorno de la organización3. Un objeto así se comunica, no se desconecta uno mismo.
3Bajo el capóEquipos de TI2 min
La ficha de MITRE sobre las adiciones de hardware indica que accesorios, equipos de red u otros dispositivos pueden introducirse físicamente en un sistema o una red para obtener acceso a ellos3. Añade que las referencias públicas de uso por actores maliciosos son escasas, mientras que muchos equipos de intrusión autorizados los emplean para el acceso inicial3. Entre las capacidades citadas figuran la escucha pasiva de la red, la modificación del tráfico, la inyección de pulsaciones de teclado y la adición de puntos de acceso inalámbricos3.
La ficha sobre el atacante en el medio describe el principio del relevo: obligar a un dispositivo a comunicarse a través de un sistema controlado por el atacante para recoger información o actuar2. Cita también los ataques de degradación, que negocian una versión más débil u obsoleta de un protocolo o de un algoritmo de cifrado2. Respecto al cifrado del tráfico, la misma ficha recomienda asegurarse de que todo el tráfico por cable e inalámbrico esté cifrado correctamente2. El paralelo con tarjetas antiguas o sin cifrar es una analogía del redactor: estas fuentes no lo establecen.
En cuanto a la defensa, la ficha sobre las adiciones de hardware recomienda bloquear los dispositivos y accesorios desconocidos mediante la configuración de los equipos y controlar el acceso a la red con certificados de dispositivo y la norma 802.1x3. La recomendación del NIST, publicada en junio de 2018, trata de la elección de los mecanismos de autenticación de las tarjetas PIV para el acceso a edificios, según el riesgo4.
4AutopsiasCasos reales1 min
DarkVishnya, bancos atacados por conexión directa (referencia fechada el 6 de diciembre de 2018)
La ficha de MITRE sobre las adiciones de hardware menciona al grupo DarkVishnya. Conectó físicamente un Bash Bunny, una Raspberry Pi, netbooks y portátiles baratos al entorno de la organización objetivo, con el fin de acceder a su red local3. La publicación de referencia, de S. Golovanov, se titula «DarkVishnya: Banks attacked through direct connection to local network» y data del 6 de diciembre de 20183.
Este caso no trata de una tarjeta clonada. Muestra que una persona presente en los locales, o que haya podido entrar en ellos, puede colocar hardware poco costoso que abre el acceso a la red interna3. Es una razón más para vigilar quién entra y qué se conecta.
Las fuentes citadas aquí no contienen ninguna demostración fechada de clonación de tarjetas HID Prox ni de relevo NFC contra tarjetas de pago o llaves. Por eso esta ficha no presenta ninguna.
Ficha
- Identificador
- CP-086
- Ala
- 1. Ataques y técnicas
- Competencia Brain
- Proteger los dispositivos (secure_devices)
- Reflejo Brain
- cr-053
- Esquema
- G3 · Corte anatómico
- Idiomas
- de, en, es, fr
- Fuentes
- 4 fuentes verificadas el 3 de noviembre de 2026
Fuentes4 fuentes
- MITRE ATT&CK, «Multi-Factor Authentication Interception, Technique T1111 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1111/ (consultado el 3 de noviembre de 2026)
- MITRE ATT&CK, «Adversary-in-the-Middle, Technique T1557 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1557/ (consultado el 3 de noviembre de 2026)
- MITRE ATT&CK, «Hardware Additions, Technique T1200 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1200/ (consultado el 3 de noviembre de 2026)
- NIST, «SP 800-116 Rev. 1, Guidelines for the Use of PIV Credentials in Facility Access | CSRC», 29 de junio de 2018. https://csrc.nist.gov/pubs/sp/800/116/r1/final (consultado el 3 de noviembre de 2026)
Citar este artículo
Brain, «Clonación de tarjetas de acceso NFC y RFID», Cyberpedia, 2026. https:/
BibTeX
@misc{brain_cp086_es_2026,
author = {Brain},
title = {Clonación de tarjetas de acceso NFC y RFID},
year = {2026},
howpublished = {Cyberpedia},
url = {https://startbrain.io/cyberpedia/es/articles/clonacion-tarjetas-acceso-nfc-rfid/},
note = {CC BY 4.0}
}