Cyberpediaod Brain
PLDEENESFRITNLPT

Klonowanie kart dostępu NFC i RFID

Zbliżeniową kartę dostępu można skopiować lub przekazać dalej bez wiedzy właściciela. Co wiadomo, co można zauważyć i jak reagować.

W 30 sekund

Gdzie to się zdarza
Przy wejściu do pomieszczeń i wszędzie tam, gdzie karta jest przykładana do czytnika. Cytowane tu źródła nie wskazują konkretnego miejsca samego kopiowania.
Czego chce atakujący
Zdobyć dane uwierzytelniające, aby uzyskać dostęp do systemów, usług i zasobów sieciowych1.
Jeśli to już się stało
Niezwłocznie zgłosić utratę karty lub podejrzenie osobie odpowiedzialnej za bezpieczeństwo pomieszczeń, która może unieważnić kartę.
Odruch
Nie zostawiać karty bez nadzoru, chować ją, gdy nie jest używana, i zgłaszać każde nieznane urządzenie podłączone lub położone przy czytniku albo sieci.

O co chodzi

Karta dostępu pozwala otworzyć drzwi, bramkę obrotową lub windę bez dotykania czegokolwiek. Karta komunikuje się z czytnikiem na krótki dystans i w zasadzie tę wymianę może skopiować lub przekazać dalej osoba trzecia. Ten artykuł wyjaśnia, na czym polega ten pomysł z punktu widzenia pracownika oraz co pracownik może zrobić na swoim poziomie.

Uwaga metodyczna. Cytowane tu źródła to ogólne opisy sprzętu podrzucanego przez atakujących, przechwytywania komunikacji i silnego uwierzytelniania, a także amerykańskie zalecenie dotyczące kart dostępu. Żadne z nich nie opisuje szczegółowo klonowania kart 125 kHz, słabości MIFARE Classic ani publicznego pokazu z użyciem Proxmark lub Chameleon. Tych kwestii nie przedstawiamy więc jako ustalonych.

Pytania wprost

Czy mogę zauważyć, że ktoś skopiował moją kartę?

Cytowane tu źródła tego nie mówią. Opisują inne przypadki, w których atak odbywa się przez pośrednika umieszczonego między dwoma urządzeniami2. Należy więc przyjąć, że brak jakichkolwiek oznak niczego nie dowodzi.

Czy nowa karta jest bezpieczna?

Źródła nie wykazują, by jakikolwiek model karty był bezpieczny. NIST publikuje zalecenia dotyczące używania kart PIV, czyli amerykańskich służbowych kart tożsamości, w kontroli dostępu do budynków. Opierają się one na strategii uwzględniającej ryzyko, służącej do wyboru odpowiedniego mechanizmu uwierzytelniania4. Wybór mechanizmu zależy więc od ryzyka w danym miejscu, a nie od jednej reguły.

Co zrobić, gdy zgubię kartę?

Jeden z opisów MITRE zaleca w przypadku kart inteligentnych wyjmowanie ich, gdy nie są używane1. Przy zgubionej karcie natychmiastowe zgłoszenie pozwala organizacji ją dezaktywować. To ostatnie zalecenie wynika ze zdrowego rozsądku organizacji i nie pochodzi z żadnego z cytowanych źródeł.

1W skórze atakującego1 min

Opisy w MITRE ATT&CK przedstawiają atakujących, którzy celują w sam sposób uwierzytelniania, a nie tylko w hasło. Opis przechwytywania uwierzytelniania wieloskładnikowego wymienia karty inteligentne i generatory kodów wśród atakowanych mechanizmów1. Wyjaśnia, że w przypadku karty inteligentnej potrzebny jest keylogger, by przejąć powiązane hasło podczas normalnego użycia1. Mając włożoną kartę i to hasło, atakujący może zalogować się do zasobu, przepuszczając uwierzytelnianie przez zainfekowane stanowisko1.

Podobna logika dotyczy komunikacji: umieszczenie się między dwoma urządzeniami, aby zbierać informacje lub działać w ich imieniu2. Pomysł przekazywania w czasie rzeczywistym między kartą a odległymi drzwiami należy do tej rodziny ataków, ale cytowane tu źródła nie odnoszą go do kart dostępu.

2Co widać na ekranie1 min

W przypadku karty zwykle nie ma ekranu. Źródła opisują natomiast oznaki po stronie sieci i stanowiska pracy przy dodawaniu sprzętu: nowe urządzenie zewnętrzne rozpoznane przez system, a po nim procesy uruchomione w tej samej sesji, albo nowy interfejs sieciowy, który otrzymuje adres3. Te oznaki dotyczą zespołów informatycznych, które szukają ich w dziennikach3.

Dla pracownika użyteczny sygnał jest często fizyczny. Nieznana skrzynka lub mały komputer podłączony do gniazdka ściennego: opis dodawania sprzętu mówi o urządzeniach fizycznie podłączonych do środowiska organizacji3. Taki przedmiot się zgłasza, a nie odłącza samodzielnie.

3Pod maskąZespoły IT1 min

Opis MITRE dotyczący dodawania sprzętu wskazuje, że akcesoria, sprzęt sieciowy lub inne urządzenia mogą zostać fizycznie wprowadzone do systemu lub sieci, aby uzyskać do nich dostęp3. Dodaje, że publicznych odniesień do użycia ich przez podmioty złośliwe jest niewiele, podczas gdy wiele upoważnionych zespołów testujących włamania wykorzystuje je do uzyskania pierwszego dostępu3. Wśród wymienionych możliwości są pasywne podsłuchiwanie sieci, modyfikowanie ruchu, wstrzykiwanie naciśnięć klawiszy i dodawanie bezprzewodowych punktów dostępu3.

Opis ataku typu „atakujący pośrodku" przedstawia zasadę przekazywania: zmuszenie urządzenia do komunikacji przez system kontrolowany przez atakującego, aby zbierać informacje lub działać2. Wymienia też ataki z wymuszeniem obniżenia poziomu zabezpieczeń, które negocjują słabszą lub przestarzałą wersję protokołu albo algorytmu szyfrowania2. W kwestii szyfrowania ruchu ten sam opis zaleca upewnienie się, że cały ruch przewodowy i bezprzewodowy jest prawidłowo szyfrowany2. Porównanie ze starymi lub niezaszyfrowanymi kartami jest analogią autora: te źródła go nie potwierdzają.

Po stronie obrony opis dodawania sprzętu zaleca blokowanie nieznanych urządzeń i akcesoriów w konfiguracji stanowisk oraz kontrolę dostępu do sieci za pomocą certyfikatów urządzeń i standardu 802.1x3. Zalecenie NIST, opublikowane w czerwcu 2018 r., dotyczy natomiast wyboru mechanizmów uwierzytelniania kart PIV w dostępie do budynków, zależnie od ryzyka4.

4Analizy incydentówPrawdziwe przypadki1 min

DarkVishnya, banki zaatakowane przez bezpośrednie podłączenie (publikacja z 6 grudnia 2018 r.)

Opis MITRE dotyczący dodawania sprzętu przywołuje grupę DarkVishnya. Podłączyła ona fizycznie Bash Bunny, Raspberry Pi, netbooki i tanie laptopy do środowiska atakowanej organizacji, aby uzyskać dostęp do jej sieci lokalnej3. Publikacja źródłowa, autorstwa S. Golovanova, nosi tytuł „DarkVishnya: Banks attacked through direct connection to local network" i pochodzi z 6 grudnia 2018 r.3.

Ten przypadek nie dotyczy sklonowanej karty. Pokazuje, że osoba przebywająca w pomieszczeniach lub taka, której udało się do nich wejść, może podłożyć tani sprzęt otwierający dostęp do sieci wewnętrznej3. To kolejny powód, by zwracać uwagę, kto wchodzi i co jest podłączone.

Cytowane tu źródła nie zawierają żadnego datowanego pokazu klonowania karty HID Prox ani przekazywania NFC wobec kart płatniczych czy kluczy. Ten artykuł żadnego takiego przykładu więc nie przedstawia.

Karta

Identyfikator
CP-086
Skrzydło
1. Ataki i techniki
Kompetencja Brain
Zabezpieczać urządzenia (secure_devices)
Odruch Brain
cr-053
Schemat
G3 · Przekrój anatomiczny
Języki
de, en, es, fr, it, nl, pl, pt
Źródła
Źródła sprawdzone 3 listopada 2026: 4
ŹródłaŹródła: 4
  1. MITRE ATT&CK, „Multi-Factor Authentication Interception, Technique T1111 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1111/ (dostęp 3 listopada 2026)
  2. MITRE ATT&CK, „Adversary-in-the-Middle, Technique T1557 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1557/ (dostęp 3 listopada 2026)
  3. MITRE ATT&CK, „Hardware Additions, Technique T1200 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1200/ (dostęp 3 listopada 2026)
  4. NIST, „SP 800-116 Rev. 1, Guidelines for the Use of PIV Credentials in Facility Access | CSRC”, 29 czerwca 2018. https://csrc.nist.gov/pubs/sp/800/116/r1/final (dostęp 3 listopada 2026)

Zacytuj ten artykuł

Brain, „Klonowanie kart dostępu NFC i RFID”, Cyberpedia, 2026. https://startbrain.io/cyberpedia/pl/articles/klonowanie-kart-dostepu-nfc-rfid/

BibTeX 
@misc{brain_cp086_pl_2026,
  author = {Brain},
  title = {Klonowanie kart dostępu NFC i RFID},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/pl/articles/klonowanie-kart-dostepu-nfc-rfid/},
  note = {CC BY 4.0}
}
Licencja CC BY 4.0