Clonagem de cartões de acesso NFC e RFID
Um cartão de acesso sem contacto pode ser copiado ou retransmitido sem que o titular se aperceba. O que se sabe, o que se vê e o que fazer.
Em 30 segundos
- Onde acontece
- À entrada das instalações e em qualquer lugar onde um cartão é apresentado a um leitor. As fontes aqui citadas não indicam um local preciso para a cópia em si.
- O que o atacante quer
- Obter credenciais para aceder a sistemas, serviços e recursos de rede1.
- Se já aconteceu
- Comunique sem demora a perda ou a dúvida à pessoa responsável pela segurança das instalações, que pode revogar o cartão.
- O reflexo
- Não deixe um cartão sem vigilância, guarde-o quando não o usa e comunique qualquer aparelho desconhecido ligado ou pousado junto de um leitor ou de uma rede.
Do que se trata
Um cartão de acesso serve para abrir uma porta, um torniquete ou um elevador sem tocar em nada. O cartão comunica com um leitor a curta distância, e essa comunicação pode, em princípio, ser copiada ou retransmitida por um terceiro. Esta ficha explica a ideia do ponto de vista de um colaborador e o que ele pode fazer ao seu nível.
Uma nota de método. As fontes aqui citadas são fichas gerais sobre equipamento malicioso, interceção de comunicações e autenticação forte, além de uma recomendação norte-americana sobre cartões de acesso. Nenhuma descreve em pormenor a clonagem de cartões de 125 kHz, as fraquezas do MIFARE Classic, nem uma demonstração pública com Proxmark ou Chameleon. Esses pontos não são, por isso, afirmados aqui.
Perguntas diretas
Posso ver se copiaram o meu cartão?
As fontes aqui citadas não o dizem. Descrevem outros casos em que o ataque passa por um intermediário colocado entre dois aparelhos2. Convém, por isso, raciocinar assim: a ausência de sinais não prova nada.
Um cartão recente está a salvo?
As fontes não estabelecem que algum modelo de cartão esteja a salvo. O NIST publica recomendações para a utilização de cartões PIV, cartões de identificação profissional norte-americanos, no controlo de acesso a edifícios. Assentam numa estratégia baseada no risco para escolher o mecanismo de autenticação adequado4. A escolha do mecanismo depende, portanto, do risco do local e não de uma regra única.
O que fazer se perder o meu cartão?
Uma ficha do MITRE recomenda, para os cartões inteligentes, retirá-los quando não estão a ser usados1. No caso de um cartão perdido, a comunicação imediata permite à organização desativá-lo. Esta última indicação decorre do bom senso da organização e não de uma das fontes citadas.
1Na pele do atacante1 min
As fichas do MITRE ATT&CK descrevem atacantes que visam o meio de autenticação e não apenas a palavra-passe. A ficha sobre a interceção da autenticação multifator cita os cartões inteligentes e os geradores de códigos entre os mecanismos visados1. Precisa que, no caso de um cartão inteligente, é necessário um keylogger para obter a palavra-passe associada durante a utilização normal1. Com o cartão inserido e essa palavra-passe, o atacante pode ligar-se a um recurso fazendo passar a autenticação pelo posto infetado1.
Existe uma lógica próxima para as comunicações: colocar-se entre dois aparelhos para recolher informações ou agir em seu lugar2. A ideia de uma retransmissão em tempo real entre um cartão e uma porta distante pertence a esta família de ataques, mas as fontes aqui citadas não a aplicam a cartões de acesso.
2O que vê no ecrã1 min
Num cartão, em geral, não há ecrã. O que as fontes descrevem são sinais do lado da rede e do posto de trabalho, no caso de adições de equipamento: um novo dispositivo externo reconhecido pelo sistema, seguido de processos lançados na mesma sessão, ou uma nova interface de rede que obtém um endereço3. Estes sinais dizem respeito às equipas informáticas, que os procuram nos registos3.
Para um colaborador, o sinal útil é muitas vezes físico. Uma caixa desconhecida ou um pequeno computador ligado a uma tomada de parede: a ficha sobre as adições de equipamento fala de dispositivos ligados fisicamente ao ambiente da organização3. Um objeto assim comunica-se, não se desliga por conta própria.
3Por baixo do capôEquipas de TI2 min
A ficha do MITRE sobre as adições de equipamento indica que acessórios, material de rede ou outros aparelhos podem ser introduzidos fisicamente num sistema ou numa rede para obter acesso a eles3. Acrescenta que as referências públicas de utilização por agentes maliciosos são raras, ao passo que muitas equipas de intrusão autorizadas os usam para o acesso inicial3. As capacidades citadas incluem a escuta passiva da rede, a modificação do tráfego, a injeção de teclas e a adição de pontos de acesso sem fios3.
A ficha sobre o atacante no meio descreve o princípio da retransmissão: forçar um aparelho a comunicar através de um sistema controlado pelo atacante para recolher informações ou agir2. Cita também os ataques por redução de versão, que negociam uma versão mais fraca ou obsoleta de um protocolo ou de um algoritmo de cifragem2. Quanto à cifragem do tráfego, a mesma ficha recomenda garantir que todo o tráfego com e sem fios está corretamente cifrado2. O paralelo com cartões antigos ou não cifrados é uma analogia do redator: não está estabelecido por estas fontes.
Do lado da defesa, a ficha sobre as adições de equipamento recomenda bloquear aparelhos e acessórios desconhecidos através da configuração dos postos e controlar o acesso à rede com certificados de dispositivo e a norma 802.1x3. A recomendação do NIST, publicada em junho de 2018, trata da escolha dos mecanismos de autenticação dos cartões PIV para o acesso a edifícios, em função do risco4.
4AutópsiasCasos reais1 min
DarkVishnya, bancos atacados por ligação direta (referência datada de 6 de dezembro de 2018)
A ficha do MITRE sobre as adições de equipamento cita o grupo DarkVishnya. Este ligou fisicamente um Bash Bunny, um Raspberry Pi, netbooks e portáteis baratos ao ambiente da organização visada, a fim de aceder à sua rede local3. A publicação de referência, de S. Golovanov, intitula-se «DarkVishnya: Banks attacked through direct connection to local network» e data de 6 de dezembro de 20183.
Este caso não envolve um cartão clonado. Mostra que uma pessoa presente nas instalações, ou que tenha conseguido entrar nelas, pode colocar equipamento barato que abre o acesso à rede interna3. É mais uma razão para estar atento a quem entra e ao que está ligado.
As fontes aqui citadas não contêm nenhuma demonstração datada de clonagem de cartões HID Prox, nem de retransmissão NFC contra cartões de pagamento ou chaves. Esta ficha não apresenta, por isso, nenhuma.
Ficha
- Identificador
- CP-086
- Ala
- 1. Ataques e técnicas
- Competência Brain
- Proteger os dispositivos (secure_devices)
- Reflexo Brain
- cr-053
- Esquema
- G3 · Corte anatómico
- Idiomas
- de, en, es, fr, it, nl, pt
- Fontes
- 4 fontes verificadas em 3 de novembro de 2026
Fontes4 fontes
- MITRE ATT&CK, «Multi-Factor Authentication Interception, Technique T1111 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1111/ (consultado em 3 de novembro de 2026)
- MITRE ATT&CK, «Adversary-in-the-Middle, Technique T1557 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1557/ (consultado em 3 de novembro de 2026)
- MITRE ATT&CK, «Hardware Additions, Technique T1200 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1200/ (consultado em 3 de novembro de 2026)
- NIST, «SP 800-116 Rev. 1, Guidelines for the Use of PIV Credentials in Facility Access | CSRC», 29 de junho de 2018. https://csrc.nist.gov/pubs/sp/800/116/r1/final (consultado em 3 de novembro de 2026)
Citar este artigo
Brain, «Clonagem de cartões de acesso NFC e RFID», Cyberpedia, 2026. https:/
BibTeX
@misc{brain_cp086_pt_2026,
author = {Brain},
title = {Clonagem de cartões de acesso NFC e RFID},
year = {2026},
howpublished = {Cyberpedia},
url = {https://startbrain.io/cyberpedia/pt/articles/clonagem-cartoes-acesso-nfc-rfid/},
note = {CC BY 4.0}
}