In un’epoca in cui i pagamenti contactless sono diventati la norma, una scoperta allarmante ha scosso il mondo della sicurezza informatica. I ricercatori dell’Università del Massachusetts Amherst hanno dimostrato che le carte di credito scadute possono essere riutilizzate per transazioni fraudolente, un fenomeno che hanno battezzato carte zombie.
Presentata al convegno USENIX Security 2026, questa ricerca ha rivelato una vulnerabilità critica nei sistemi di pagamento contactless, permettendo a carte scadute di essere utilizzate per acquisti fraudolenti. Guidati dal dottorando Raja Hasnain Anwar e dal professore assistente Taqi Raza, il team ha dimostrato come sia possibile ingannare i terminali di pagamento per approvare transazioni con carte che dovrebbero essere inutilizzabili.
Il meccanismo delle carte zombie
La ricerca è partita da un’osservazione semplice: le istituzioni finanziarie permettono alle carte scadute di ricevere rimborsi. I ricercatori si sono chiesti se fosse possibile invertire questo flusso di denaro, utilizzando carte scadute per effettuare pagamenti. La risposta è stata affermativa.
Il team ha scoperto che la data di scadenza memorizzata sul chip della carta è utilizzata dai terminali POS per verificare la validità della carta, ma questa informazione non è protetta criptograficamente. Inoltre, i certificati digitali all’interno delle carte spesso rimangono validi ben oltre la data di scadenza stampata, permettendo alla carta e al terminale di stabilire una comunicazione crittografata.
L’attacco relay
Per eseguire l’attacco, i ricercatori hanno costruito un sistema di relay a basso costo utilizzando due smartphone di uso comune. Il primo smartphone interagisce con la carta fisica scaduta tramite Near Field Communication (NFC) per estrarre i dati principali dell’account. Questi dati vengono poi trasmessi via Wi-Fi a un secondo smartphone, che li modifica per alterare la data di scadenza e li invia al terminale di pagamento.
Durante la trasmissione, il software modifica la data di scadenza non crittografata in una data futura. Un aspetto cruciale è che l’attaccante non ha bisogno di conoscere la vera data di scadenza della nuova carta di sostituzione; qualsiasi data futura soddisferebbe il terminale.
Le implicazioni della scoperta
Questa vulnerabilità rivela che molte reti di pagamento e banche emittenti non riesaminano la data di scadenza letta dal terminale rispetto ai loro database centrali durante l’autorizzazione in tempo reale. Mentre i portafogli digitali offrono una maggiore resistenza grazie a ulteriori livelli di crittografia, le carte fisiche tap-to-pay di diverse reti principali si sono dimostrate vulnerabili nei test del mondo reale.
Il team di ricerca ha già notificato le principali reti di carte e le istituzioni finanziarie della vulnerabilità. Nel frattempo, si consiglia ai consumatori di distruggere le vecchie carte invece di buttarle via casualmente, demagnetizzando la striscia e frantumando o tagliando il microchip incorporato.
Questa scoperta sottolinea l’importanza di migliorare la sicurezza dei pagamenti contactless e invita le istituzioni finanziarie a adottare misure più rigorose per prevenire l’uso fraudolento di carte scadute.
