Non buttare la carta scaduta ancora intera: in alcuni casi può ancora pagare

Una carta di credito scaduta dovrebbe essere inutilizzabile per fare acquisti. Dovrebbe: in alcuni casi infatti non è così. Un team di ricercatori della University of Massachusetts Amherst ha scoperto una vulnerabilità che permette di far accettare da un terminale POS alcune carte ormai scadute, trasformandole di fatto in una sorta di “zombie card”. Lo studio, presentato a USENIX Security 2026, parte da una particolarità dei sistemi di pagamento: a scadere è la carta fisica, non necessariamente l’intero rapporto con il conto sottostante. È il motivo per cui, ad esempio, un rimborso può arrivare anche su una carta ormai sostituita. I ricercatori si sono quindi chiesti se una carta scaduta potesse essere utilizzata anche nella direzione opposta, cioè per effettuare un pagamento. Per alcuni circuiti e configurazioni la risposta, purtroppo, è risultata positiva. Il punto debole è la data di scadenza letta dal terminale, che secondo lo studio non è protetta da crittografia. In laboratorio i ricercatori sono riusciti a intercettarla durante una transazione NFC e sostituirla con una data futura prima che l'informazione raggiungesse il POS. Non serve conoscere la vera scadenza della carta sostitutiva, basterebbe indicarne una successiva, a caso. All'esterno il pagamento apparirebbe sostanzialmente come una normale transazione contactless. Ci si aspetterebbe a quel punto che intervenga la banca a bloccarla, visto che la carta è scaduta, ma non tutti gli istituti verificano la data comunicata dal terminale per confrontarla con quella reale della carta. Così, se mancano i controlli, la transazione può passare.

CLICCA QUI PER CONTINUARE A LEGGERE