Cómo descifran los hackers la seguridad de las tarjetas de transporte público

• La picaresca para no pagar en el metro evoluciona con las nuevas tecnologías
• Los billetes con bandas magnéticas pueden manipularse
• Unos investigadores han descubierto cómo trucar las tarjetas con chips 

Estos días se ha dado a conocer la historia de unos hackers que han «roto» la seguridad de las tarjetas de transporte público de algunas ciudades de Estados Unidos. La técnica funciona con las llamadas «tarjetas sin contacto» que funcionan mediante NFC (near field communications) de corto alcance, que también se usan en el metro y el autobús de algunas ciudades españolas. Para romper la seguridad no se necesitan grades medios: son suficientes un teléfono inteligente moderno –que funcione con NFC– y el software adecuado, que puede conseguirse en Internet.

La picaresca para «colarse» en el metro o el autobús sin pagar es tan vieja como los propios medios de transporte. Con el paso del tiempo se ha llegado a una combinación de sistemas que permiten facilitar el cobro en diversas modalidades (billetes simples, abonos, descuentos…) a la vez que sistemas mecánicos como los tornos comprueban que los títulos de transporte son válidos. Cualquiera de estos sistemas debe encontrar un equilibrio entre comodidad, seguridad y coste, de modo que sean baratos como para ser usados en la modalidad «de usar y tirar», no resulten un engorro para los pasajeros ni requieran demasiado mantenimiento, ofreciendo cierto grado de seguridad que impida su copia o manipulación.

Las triquiñuelas de los más «vivos» han incluido históricamente todo tipo de técnicas: alargar los bono-buses de diez viajes con un cartoncillo para que la máquina los perforara como si todavía estuvieran sin usar; borrar la banda magnética de los billetes más simples con un imán para inutilizarla (y luego reclamar el cambio del billete por uno nuevo en la taquilla, tras haber pegado un trozo de celofán para evitar la impresión mecánica) o incluso sistemas más complejos para copiar o regrabar cierto tipo de bandas magnéticas.

Con la llegada hace unos años de las máquinas expendedoras más modernas aumentaron las vulnerabilidades: este verano un hacker español explicó en la conferencia DEFCON cómo los terminales del Metro y Renfe –que internamente funciona con versiones obsoletas de Windows XP– se podían vulnerar aprovechando agujeros conocidos de este sistema operativo para obtener billetes con descuentos (como los que se aplican a jóvenes y jubilados) e incluso cómo se podría extraer una lista de las tarjetas de crédito usadas recientemente en las máquinas.

La nueva vulnerabilidad descubierta en Estados Unidos por gente que trabaja en la empresa de seguridad Intrepidus Group se refiere a las tarjetas que funcionan a través de comunicaciones inalámbricas NFC, similares a las que en España se emplean en algunos tipos abonos, como los mensuales y de la tercera edad. Estas tarjetas contienen un chip RFID (identificación por radio frecuencia) que contiene datos y se activa cuando recibe señales y energía de forma inalámbrica; son básicamente del mismo tipo que los que hacen las veces de alarmas antirrobo en los productos de muchas tiendas. Los abonos de transporte con estos chips se graban con datos que incluyen el número de viajes que quedan por utilizar (si se trata, por ejemplo, de un billete de 10 viajes).

Se puede hackear con un teléfono móvil inteligente

Los investigadores descubrieron que con el software del kit de desarrollo NFC de los teléfonos móviles inteligentes podían leer el contenido de los chips de las tarjetas. Entonces observaron con detalle qué tipo de información contenía y cómo cambiaba a medida que se usaba el billete. El resultado fue que dieron con una secuencia de bits que simbolizaba si un viaje se había utilizado o no.  Cuál fue su sorpresa al comprobar que si borraban de nuevo esos bits, poniéndolos a cero, los tornos de las estaciones les permitían el paso como si el billete fuera nuevo.

¿Lo mejor de todo? Con este sistema el billete no parece manipulado de ninguna forma y un revisor puede comprobarlo y darlo por válido, algo que con otros sistemas es siempre un riesgo para quienes están cometiendo la infracción – y arriesgándose a multas que no son precisamente pequeñas.

Sorprendentemente, estas tarjetas disponen de medidas de seguridad para evitar que algunos bits puedan se regrabados, que es la técnica que utilizaron estos hackers. Sin embargo, por razones que todavía se desconocen, estas medidas no se utilizan: es como tener un candado para una bicicleta y aparcarla con el candado abierto. Mayor fue el asombro de los expertos cuando al dar a conocer la idea entre otros círculos hackers de confianza descubrieron más ciudades del país donde sucedía exactamente lo mismo.

Los hackers crearon una aplicación llamada UltraReset, capaz de «resetear» un billete a su estado original, como si nunca se hubiera usado. Lo interesante del asunto no es tanto cómo lo hicieron –aseguran que no hacen falta grandes conocimientos técnicos– sino que el equipamiento para ello está al alcance de casi cualquiera: un teléfono móvil inteligente y descargar una aplicación gratuita. Antiguamente para manipular los billetes y tarjetas a veces hacían falta grabadores magnéticos o de tarjetas y en ocasiones grandes conocimientos técnicos; ahora ya no: cualquiera con un mínimo de interés puede hacerlo.

Como buenos hackers que eran –a diferencia de los crackers que se dedican a robar secretos o información para obtener pingües beneficios– y para evitar que la cosa se les fuera de las manos, los descubridores de esta técnica avisaron del problema de seguridad a las empresas de transporte involucradas y a algunas agencias interesadas en el tema antes de hacer público su descubrimiento. Alguna de ellas reconoció que efectivamente la seguridad de las tarjetas actuales era demasiado débil, y desde entonces trabajan en actualizar el software, dado que por suerte las tarjetas físicas y los chips siguen siendo válidos. No obstante, cabe esperar que esta peculiar «guerra fría» entre los pícaros y las autoridades por algo tan cotidiano como pagar (o «ahorrarse») un billete de metro o autobús perdure con nuevas y evolucionadas técnicas a medida que pasan los años.