Le “carte di credito zombie” che tornano in vita dopo la scadenza

Una ricerca dell’Università del Massachusetts Amherst rivela una vulnerabilità nei pagamenti contactless: in determinate condizioni, una carta scaduta può essere fatta apparire come ancora valida a un terminale POS, aprendo la strada a possibili transazioni fraudolente.
La data di scadenza stampata sulla carta dovrebbe rappresentare il confine oltre il quale il supporto fisico non è più utilizzabile. Eppure, secondo una nuova ricerca presentata alla conferenza USENIX Security 2026, questo meccanismo non è sempre applicato in modo uniforme dai sistemi di pagamento. I ricercatori Raja Hasnain Anwar, Gerard DeCunha e Muhammad Taqi Raza, dell’Università del Massachusetts Amherst, hanno dimostrato una tecnica capace di trasformare una vecchia carta contactless in una sorta di “carta zombie”.
Il problema nasce dal modo in cui viene gestita la data di scadenza durante una transazione. La carta contiene informazioni che permettono di comunicare con il terminale POS attraverso la tecnologia NFC, ma la data utilizzata dal terminale per stabilire se la carta sia ancora valida non risulta adeguatamente protetta crittograficamente in alcune configurazioni. Questo crea una discrepanza tra ciò che il terminale considera valido e le informazioni effettivamente associate alla carta.
Per dimostrare la vulnerabilità, i ricercatori hanno realizzato un sistema basato su due normali smartphone e software specifico. Un telefono comunica con la carta scaduta, mentre l'altro si presenta al terminale POS e modifica durante il trasferimento la data di scadenza, facendola apparire futura. In determinate condizioni, il terminale può quindi considerare valida una carta che in realtà ha già superato la propria scadenza.
La sperimentazione è stata condotta con diverse carte e configurazioni di pagamento, coinvolgendo circuiti Visa, Mastercard e Discover, terminali POS e carte emesse da cinque importanti banche statunitensi. I ricercatori hanno inoltre verificato la tecnica in ambienti reali, dimostrando che l'attacco può funzionare senza ricorrere a hardware particolarmente sofisticato.
Un aspetto particolarmente interessante riguarda il fatto che la scadenza della carta fisica non coincide necessariamente con la scadenza delle credenziali digitali utilizzate per proteggere le transazioni. I ricercatori hanno infatti rilevato che alcuni certificati e meccanismi crittografici possono rimanere validi più a lungo della carta stessa. Il problema, quindi, non consiste nel “rompere” la crittografia della carta, ma nello sfruttare una lacuna nel modo in cui i diversi componenti del sistema verificano la sua validità.
Il rischio principale riguarda una carta rubata o smarrita dopo la sua scadenza. L’utente potrebbe infatti considerarla ormai inutilizzabile e liberarsene senza prestare particolare attenzione. In realtà, in presenza delle condizioni necessarie, un aggressore potrebbe tentare di sfruttare la vecchia carta per effettuare pagamenti non autorizzati. È importante sottolineare, però, che non tutte le carte risultano vulnerabili allo stesso modo e che la ricerca non dimostra che qualsiasi carta scaduta possa essere utilizzata fraudolentemente.
Anche i portafogli digitali come Apple Pay e Google Pay hanno mostrato caratteristiche di sicurezza aggiuntive che li rendono più resistenti a questo specifico attacco, pur non essendo necessariamente immuni da altre tipologie di vulnerabilità.
La scoperta mette in evidenza un problema più generale della sicurezza dei pagamenti elettronici: la protezione non dipende da un singolo elemento, ma dalla collaborazione tra chip della carta, terminale, circuito di pagamento e banca emittente. Se uno di questi componenti applica controlli differenti dagli altri, possono crearsi margini di attacco.
Per gli utenti, la raccomandazione resta semplice: una carta scaduta non dovrebbe essere considerata automaticamente innocua. Va distrutta in modo da rendere inutilizzabili chip, banda magnetica, numeri e altri dati presenti sul supporto. È inoltre consigliabile continuare a controllare i movimenti del conto e segnalare immediatamente alla banca eventuali operazioni non riconosciute.
La ricerca sulle “zombie cards” non significa quindi che le carte scadute possano normalmente continuare a essere utilizzate. Dimostra piuttosto come una particolare combinazione di tecnologie, controlli distribuiti e procedure di autorizzazione possa creare una falla inaspettata. Un promemoria importante in un settore nel quale velocità e comodità dei pagamenti devono necessariamente procedere insieme alla sicurezza.
© 𝗯𝘆 𝗔𝗻𝘁𝗼𝗻𝗲𝗹𝗹𝗼 𝗖𝗮𝗺𝗶𝗹𝗼𝘁𝘁𝗼
Tutti i diritti riservati | All rights reserved
Informazioni Legali
I testi, le informazioni e gli altri dati pubblicati in questo sito nonché i link ad altri siti presenti sul web hanno esclusivamente scopo informativo e non assumono alcun carattere di ufficialità.
Non si assume alcuna responsabilità per eventuali errori od omissioni di qualsiasi tipo e per qualunque tipo di danno diretto, indiretto o accidentale derivante dalla lettura o dall'impiego delle informazioni pubblicate, o di qualsiasi forma di contenuto presente nel sito o per l'accesso o l'uso del materiale contenuto in altri siti.








