Ricercatori universitari hanno dimostrato che le carte di credito contactless scadute possono ancora essere usate per transazioni fraudolente. Lo studio, presentato all’USENIX Security 2026, evidenzia una falla seria nei sistemi di pagamento moderni. Il problema riguarda in particolare alcune carte Visa contactless e i terminali che non verificano correttamente la data di scadenza.
La Vulnerabilità Scoperta dai Ricercatori
Come Funziona l’Attacco con Carte Contactless Scadute
Il team dell’Università del Massachusetts Amherst ha condotto test approfonditi. I ricercatori hanno scoperto che alcune carte contactless scadute rimangono operative. Questo avviene a causa di una mancata verifica della data di scadenza da parte di certi terminali di pagamento.
L’attacco sfrutta una tecnica di tipo man-in-the-middle. Un aggressore si interpone tra la carta e il terminale. Durante questa intercettazione, manipola i dati della transazione. Il terminale non rileva l’anomalia e autorizza il pagamento.
Tuttavia, non tutte le carte sono vulnerabili allo stesso modo. La ricerca indica che il problema riguarda principalmente alcune emissioni Visa. Non tutte le banche e non tutti i circuiti sono esposti al rischio.
I Dettagli Tecnici della Manipolazione
In questo contesto, vale la pena spiegare il meccanismo tecnico in modo semplice. Quando una carta contactless comunica con un terminale, invia dati in formato crittografato. Tra questi dati figura la data di scadenza della carta.
Il problema sorge quando il terminale non verifica attivamente questo campo. Alcuni terminali si affidano alla carta stessa per segnalare la propria validità. Un attaccante può modificare il campo della data durante la trasmissione. Il terminale accetta la transazione senza ulteriori controlli.
Di conseguenza, una carta fisicamente scaduta può completare un pagamento reale. Questo è possibile anche senza che il titolare sia coinvolto o consapevole.
L’Impatto per Aziende e Consumatori
Perché Questa Ricerca Riguarda anche i CISO
In particolare, i responsabili della sicurezza aziendale devono prestare attenzione. Le organizzazioni gestiscono flotte di carte aziendali. Alcune di queste carte potrebbero essere scadute ma ancora fisicamente presenti. Dipendenti che hanno lasciato l’azienda potrebbero ancora possederle.
Parallelamente, i team IT devono rivedere le procedure di dismissione delle carte. Non basta cancellare la carta nei sistemi interni. Occorre assicurarsi che i terminali fisici verifichino correttamente la scadenza.
Inoltre, le aziende che gestiscono terminali di pagamento devono verificare la configurazione. I terminali devono essere aggiornati secondo gli standard più recenti. La responsabilità non ricade solo sulle banche emittenti.
Rischi Concreti per i Titolari di Carte
Per i consumatori, il rischio principale è l’addebito non autorizzato. Una carta scaduta e smarrita potrebbe essere utilizzata da un malintenzionato. L’utente, convinto che la carta sia inutilizzabile, potrebbe non monitorare l’estratto conto.
Tuttavia, è importante sottolineare che questo non è un attacco di massa documentato. Si tratta di una vulnerabilità dimostrata in laboratorio. Non sono state identificate campagne criminali attive che la sfruttino.
Il Contesto della Ricerca e le Responsabilità del Settore
USENIX Security 2026: Una Piattaforma per la Divulgazione Responsabile
La ricerca è stata presentata all’USENIX Security 2026, conferenza di riferimento mondiale. Questo contesto garantisce che la divulgazione sia avvenuta in modo responsabile. I ricercatori hanno seguito le pratiche standard di responsible disclosure.
Vale la pena sottolineare che Visa e i produttori di terminali sono stati informati. La comunità accademica ha rispettato i tempi necessari per permettere eventuali correzioni. Non sono stati resi pubblici strumenti offensivi pronti all’uso.
Le Misure Correttive Possibili
Di conseguenza, il settore dei pagamenti è chiamato ad agire. I produttori di terminali devono rilasciare aggiornamenti firmware. Le banche devono verificare che i propri sistemi validino correttamente le date di scadenza.
In questo contesto, emerge anche un problema strutturale più ampio. Gli standard EMV per i pagamenti contactless prevedono la verifica della scadenza. Non tutti i terminali, però, implementano questi standard in modo completo e uniforme.
Parallelamente, i consumatori possono adottare misure preventive semplici. È buona pratica distruggere fisicamente le carte scadute. Tagliare il chip e il chip NFC rende la carta inutilizzabile per attacchi di questo tipo.
Conclusione
La scoperta delle carte di credito contactless scadute ancora operative è un campanello d’allarme. Non indica una crisi imminente, ma evidenzia una lacuna nei meccanismi di controllo. Il settore dei pagamenti deve rispondere con aggiornamenti concreti e verificabili.
Fonti:
- The Register – Expired credit cards revived by researchers
- Risky Biz News – Expired cards can be used for new transactions
- Pasquale Pillitteri – Zombie Cards: Expired Visa Contactless Payments
- Fonte originale – Risky Biz RBNEWS604
Fonte: Articolo originale
Vulnerabilità come quella delle carte contactless scadute evidenziano quanto sia critico per le organizzazioni finanziarie e i team di sicurezza condividere tempestivamente informazioni sulle minacce emergenti. IsacChain permette la condivisione sicura di threat intelligence tra ISAC e operatori di settore, con tracciabilità garantita da blockchain e funzionalità di compliance NIS2 automatizzata che semplificano la gestione degli obblighi normativi. In scenari dove i vettori di attacco evolvono rapidamente, disporre di una piattaforma verificabile e affidabile per la collaborazione tra organizzazioni fa la differenza tra una risposta reattiva e una proattiva. Scopri come IsacChain può aiutare la tua organizzazione su www.isacchain.com