La introducción de los chips EMV marcó un antes y un después en la lucha contra el fraude de tarjetas de crédito, especialmente en mercados como Argentina y Latinoamérica, donde el robo de datos por banda magnética era endémico. No obstante, este avance tecnológico no cerró la puerta a todas las formas de ataque. Una de las vulnerabilidades más destacadas en la historia reciente de los pagos electrónicos, conceptualizada como “Chip & Skim”, puso de manifiesto las limitaciones de los protocolos iniciales del estándar.
El ataque de replay o “Chip & Skim” no se enfoca en la clonación física de la información estática del chip —la cual es inherentemente segura— sino en la interceptación y reutilización de los datos dinámicos generados durante una transacción legítima. Específicamente, los atacantes buscan capturar el Authorization Request Cryptogram (ARQC), una clave única generada por la tarjeta para validar esa operación específica.
Aunque el ARQC está diseñado para ser de un solo uso, las fallas en la implementación o la laxitud en los sistemas de autenticación permitieron que estas credenciales dinámicas fueran capturadas y retransmitidas (replayed) para autorizar transacciones fraudulentas. En esencia, el atacante utiliza hardware especializado (el “skimmer”) para grabar la comunicación entre el chip y el terminal de punto de venta (POS).
La eficacia de este método residía, en gran parte, en la capacidad de los atacantes para engañar al sistema haciéndole creer que la transacción se estaba realizando bajo condiciones que no requerían una validación de PIN en el punto de venta, o bien en ambientes de validación offline menos rigurosos. Este tipo de fraude resaltó que la seguridad de EMV no solo depende del chip, sino también de la robustez del software del terminal y de los protocolos del sistema host bancario.
Desde la aparición de estas demostraciones de vulnerabilidad, la industria ha migrado hacia implementaciones más seguras, como la Autenticación de Datos Dinámicos (DDA), que utiliza cifrado más complejo para asegurar que cada transacción sea verdaderamente única e imposible de replicar. En el contexto regional, donde la adopción de tecnología sin contacto (contactless) y la tokenización están ganando terreno, la lección de “Chip & Skim” sigue siendo relevante: la seguridad en la identificación y los pagos es una carrera armamentista constante. Los sistemas deben ser diseñados no solo para prevenir la clonación, sino también para asegurar la unicidad y frescura de los datos criptográficos transmitidos en cada interacción. La ciberseguridad en el ecosistema de pagos es tan fuerte como su eslabón más débil, y los ataques de replay demuestran que ese eslabón puede ser el propio protocolo de comunicación.