Si tu control de acceso usa tarjetas de proximidad de 125 kHz, cualquiera que se acerque a unos centímetros de tu credencial puede copiarla en segundos con un duplicador que cuesta menos que una comida. No hace falta forzar nada: la tarjeta transmite su número sin cifrar a quien se lo pida. Y no es un problema exclusivo de las tarjetas viejas: varias tecnologías de 13.56 MHz que se venden como "seguras" tienen el mismo defecto por otro camino.
La buena noticia es que saber qué tienes toma cinco minutos, y corregirlo no obliga a cambiar todas las tarjetas de golpe.
¿Por qué se puede clonar una tarjeta de 125 kHz?
Las tarjetas de proximidad de 125 kHz (las más comunes en México son las tipo HID Prox y las EM, como la EM4100) funcionan igual desde hace más de treinta años: cuando el lector las energiza, responden siempre con el mismo número fijo. No hay contraseña, no hay cifrado y no hay manera de que la tarjeta sepa si quien le pregunta es tu lector o un aparato en el bolsillo de alguien en el elevador.
Con ese número basta. Los duplicadores portátiles leen la tarjeta original y escriben el mismo número en una tarjeta en blanco. Para la puerta, la copia y la original son idénticas: el lector no tiene forma de distinguirlas, y en la bitácora el acceso aparece a nombre del dueño legítimo.
Eso tiene dos consecuencias que suelen pasar desapercibidas:
- La bitácora deja de ser evidencia. Si una tarjeta se puede copiar, "entró con la tarjeta de Juan" no prueba que entró Juan.
- Nadie se entera. La tarjeta original sigue en la cartera de su dueño. No hay robo que reportar ni tarjeta que desactivar.
¿Las tarjetas de 13.56 MHz sí son seguras?
Depende de cuál, y aquí está la confusión más cara del mercado. "13.56 MHz" es una frecuencia, no una tecnología de seguridad. Bajo esa etiqueta conviven tarjetas rotas desde hace años y tarjetas que hoy nadie sabe clonar:
| Tecnología | Frecuencia | ¿Se puede clonar? |
|---|---|---|
| Proximidad (HID Prox, EM4100) | 125 kHz | Sí, en segundos. Número fijo sin cifrar. |
| MIFARE Classic | 13.56 MHz | Sí. Su cifrado se rompió públicamente en 2008. |
| iCLASS estándar (legado) | 13.56 MHz | Sí. Los ataques y su llave maestra se publicaron a principios de la década de 2010. |
| iCLASS SE y Seos | 13.56 MHz | No, con los métodos conocidos. Autenticación mutua y cifrado. |
| MIFARE DESFire EV2 y EV3 | 13.56 MHz | No, si el lector lee la aplicación segura. Cifrado AES de 128 bits. |
Las tecnologías seguras tienen algo en común: la tarjeta y el lector se autentican mutuamente con una llave criptográfica antes de intercambiar la credencial. Un duplicador sin esa llave no obtiene nada útil.
¿Tener DESFire basta para estar protegido?
No, y es el error que más vemos en instalaciones que se pagaron como "seguras". Toda tarjeta de 13.56 MHz tiene un número de serie (CSN o UID) que cualquiera puede leer sin llaves. Muchos lectores vienen configurados, o se instalan, para leer solo ese número porque es lo más fácil de poner a funcionar.
Si tu lector lee el número de serie y no la aplicación cifrada, da igual que la tarjeta sea DESFire EV3: el número de serie se puede leer y reproducir, y la seguridad de la tarjeta nunca entra en juego. Pagaste la tecnología cara y operas con el nivel de protección de una tarjeta de 125 kHz.
La pregunta correcta para tu proveedor no es "¿qué tarjeta usamos?", sino "¿qué dato lee el lector de la tarjeta?".
¿Cómo sé qué tarjetas tengo?
Cuatro pruebas que puedes hacer hoy, sin equipo especial:
- Revisa lo que dice la tarjeta. Leyendas como "ProxCard", "ISOProx", "EM" o "125 kHz" indican proximidad. "1K" o "4K" suelen indicar MIFARE Classic.
- Acércala a un teléfono con NFC. El NFC del teléfono trabaja en 13.56 MHz. Si el teléfono no detecta nada, la tarjeta casi seguro es de 125 kHz.
- Si el teléfono la detecta, identifícala. Aplicaciones gratuitas de lectura NFC muestran el tipo de chip: si dice MIFARE Classic, estás en la segunda fila de la tabla.
- Pregunta por la configuración del lector, no solo por la tarjeta: ¿lee la credencial segura o el número de serie? Si nadie sabe contestar, ya tienes la respuesta.
Ojo con un caso frecuente: muchas terminales biométricas traen un lector de tarjetas EM de 125 kHz como alternativa al rostro o a la huella. Si esa opción está habilitada, esa puerta es tan segura como la tarjeta, no como la biometría. Lo explicamos al comparar tarjeta, huella o rostro.
¿Tengo que cambiar todas las tarjetas de golpe?
No. La migración ordenada se hace en tres etapas, sin detener la operación:
- Cambia los lectores primero. Los lectores multitecnología, como los de HID, leen al mismo tiempo las tarjetas de proximidad actuales y las credenciales seguras nuevas. El día del cambio nadie nota nada.
- Reemplaza las tarjetas por zonas o por riesgo. Empieza por quien entra a las áreas críticas: centro de datos, almacén de alto valor, dirección. Después, el resto, al ritmo del presupuesto o de la rotación normal de credenciales.
- Apaga la tecnología vieja en los lectores. Es el paso que más se olvida: mientras el lector siga aceptando 125 kHz, una tarjeta clonada sigue abriendo. La migración termina cuando el lector deja de aceptarla, no cuando entregas la última tarjeta nueva.
Una tarjeta para dos mundos
Durante la transición, o en sitios donde conviven sistemas distintos (la puerta principal con lectores EM de hace años, el comedor o el estacionamiento con lectores MIFARE nuevos), la solución práctica es una tarjeta dual. La que manejamos es la de AccessPro, marca de Syscom, que lleva en la misma credencial un chip de proximidad de 125 kHz tipo EM y uno MIFARE de 13.56 MHz. Una sola tarjeta abre en los dos tipos de lector, y la persona no tiene que cargar dos.
Es muy versátil, pero hay que ser claros con lo que resuelve: sus dos tecnologías están en la parte clonable de la tabla. Resuelve la convivencia de sistemas y facilita la migración; no resuelve el riesgo de copia. Para las zonas críticas, la credencial tiene que ser una de las seguras.
Hay una alternativa que conviene considerar en la etapa 2: la credencial en el teléfono. El acceso móvil usa la misma criptografía que las tarjetas seguras y se emite o revoca a distancia, lo que elimina el costo y la logística de imprimir tarjetas para una parte del personal.
¿La tarjeta es el único punto débil?
No. Una credencial segura protege el tramo entre la tarjeta y el lector. Pero del lector a la controladora, la mayoría de las instalaciones usa todavía un cableado que envía el número de tarjeta sin cifrar, y la controladora es un equipo más en tu red, con su propio firmware y sus propias contraseñas. Por eso tratamos el control de acceso como lo que es: tecnología operativa que también se ataca por la red, no solo como una chapa con lector.
La tarjeta es por donde conviene empezar porque es el ataque más barato y el que no deja rastro. ¿Sabes qué tecnología llevan las credenciales de tu empresa, y qué dato lee de ellas el lector de tu puerta principal? Si quieres revisarlo con nosotros, así trabajamos el control de acceso.
Preguntas frecuentes
help ¿Se puede clonar una tarjeta de acceso de 125 kHz?
Sí. Las tarjetas de proximidad de 125 kHz, como HID Prox o EM4100, responden siempre con el mismo número fijo y sin cifrar. Un duplicador portátil lo lee a unos centímetros y lo escribe en una tarjeta en blanco en segundos; para el lector, la copia es idéntica a la original.
help ¿Qué tarjetas de acceso no se pueden clonar?
Las que usan autenticación mutua y cifrado entre tarjeta y lector: iCLASS SE, Seos y MIFARE DESFire EV2 o EV3. MIFARE Classic e iCLASS estándar, aunque sean de 13.56 MHz, ya se pueden clonar porque sus mecanismos de seguridad se rompieron públicamente.
help ¿Una tarjeta DESFire es segura aunque el lector lea solo el número de serie?
No. Si el lector lee el número de serie (CSN o UID) en lugar de la aplicación cifrada, la seguridad de la tarjeta nunca se usa: ese número se lee sin llaves y se puede reproducir. La protección depende de qué dato lee el lector, no solo de la tarjeta.
help ¿Cómo migro a tarjetas seguras sin cambiar todas de golpe?
Primero se cambian los lectores por modelos multitecnología que leen las tarjetas actuales y las nuevas; después se reemplazan las tarjetas por zonas o por riesgo; al final se desactiva la lectura de 125 kHz en los lectores. Mientras el lector acepte la tecnología vieja, una tarjeta clonada sigue abriendo.
Rubén Espinoza es fundador y Director Técnico de IT Experts de México. Trabaja en la industria de TI desde 1998: diseña y opera soluciones de infraestructura, ciberseguridad, continuidad, automatización y tecnología OT para entornos empresariales e industriales. Escribe desde proyectos reales y sistemas en producción.
Ver perfil y todos sus artículos →