Indice
Una carta di credito scaduta può ancora essere accettata da alcuni POS. Ecco come funziona la vulnerabilità scoperta dai ricercatori.
Quando una carta di credito scade, la prima cosa che viene spontaneo pensare è che sia diventata completamente inutilizzabile. In teoria dovrebbe essere proprio così. Una ricerca presentata a USENIX Security 2026 ha però individuato una vulnerabilità che dimostra come, in determinate condizioni, alcune carte scadute possano essere ancora accettate dai terminali POS.
Il problema riguarda il modo in cui viene gestita e verificata la data di scadenza durante una transazione contactless. I ricercatori hanno definito queste carte “zombie card”, perché un supporto che dovrebbe essere ormai inattivo può, in alcuni casi, continuare a funzionare.
La scoperta non significa che tutte le carte scadute possano essere utilizzate per fare acquisti. L’esposizione dipende dalla carta, dal circuito, dal terminale e soprattutto dai controlli effettuati durante il pagamento.
La data di scadenza non è così semplice come sembra
Il punto di partenza della ricerca è una particolarità dei sistemi di pagamento elettronico. Quando una carta viene sostituita perché è scaduta, infatti, non necessariamente viene meno il rapporto con il conto bancario collegato.
Lo dimostra anche un’operazione apparentemente banale: un rimborso può arrivare su una carta ormai scaduta o sostituita. La carta fisica non coincide quindi necessariamente con l’intero rapporto finanziario sottostante.
I ricercatori della University of Massachusetts Amherst hanno provato a capire se lo stesso principio potesse funzionare anche al contrario. La domanda era semplice: una carta scaduta può essere utilizzata per effettuare un pagamento? In alcune configurazioni, la risposta è stata sì.
Il problema è nel controllo della scadenza
La vulnerabilità individuata riguarda la data di scadenza trasmessa durante la transazione. Secondo lo studio, questa informazione non sarebbe protetta tramite crittografia. I ricercatori sono quindi riusciti, in laboratorio, a intercettare la data durante una transazione NFC e a sostituirla con una data futura prima che il dato arrivasse al terminale di pagamento.
La parte più interessante è che non sarebbe necessario conoscere la reale data di scadenza della carta. In determinate condizioni potrebbe essere sufficiente indicarne una successiva.
A quel punto entra in gioco il sistema di pagamento. Se il POS comunica una data apparentemente valida, ci si aspetterebbe che la banca verifichi comunque l’effettiva validità della carta.
Il problema è che non tutti gli istituti effettuerebbero questo controllo nello stesso modo. Se manca una verifica incrociata, una carta fisicamente scaduta potrebbe quindi superare i controlli necessari e consentire il pagamento.
Non tutte le carte sono vulnerabili
È importante evitare una conclusione troppo semplice. La ricerca non dimostra che qualsiasi carta scaduta possa essere utilizzata per pagare.
L’esposizione varia in base alla configurazione dei sistemi coinvolti. Durante i test, infatti, non tutte le carte analizzate hanno mostrato lo stesso comportamento.
Esiste inoltre un ulteriore livello di sicurezza. Le carte utilizzano anche un certificato digitale per autenticare la comunicazione tra il chip e la banca. Anche questo certificato possiede una propria scadenza.
I ricercatori hanno però osservato che questa seconda scadenza può essere più lunga rispetto a quella riportata fisicamente sulla carta. Di conseguenza, non sarebbe necessariamente sufficiente per stabilire se il supporto sia ancora valido.
La vulnerabilità è stata verificata non soltanto in laboratorio, ma anche attraverso pagamenti reali effettuati presso alcuni esercizi commerciali.
I wallet digitali sono più difficili da colpire
Un elemento interessante riguarda anche i pagamenti effettuati attraverso gli smartphone e i wallet digitali. Secondo lo studio, questi sistemi integrano ulteriori meccanismi di protezione che rendono più difficile applicare lo stesso tipo di attacco. La vulnerabilità riguarda quindi soprattutto determinate combinazioni tra carta fisica, POS e sistemi di pagamento.
Il problema nasce proprio dalla complessità dell’ecosistema. Una transazione non viene controllata da un solo soggetto: chip, terminale, circuito di pagamento e banca partecipano alla verifica.
Quando ciascun elemento dà per scontato che un altro abbia già effettuato determinati controlli, possono crearsi delle zone grigie.
Cosa fare con una carta scaduta
La scoperta non significa che sia necessario preoccuparsi ogni volta che si possiede una vecchia carta. È però un buon motivo per non gettarla semplicemente nella spazzatura ancora intatta.
Una carta scaduta contiene comunque informazioni che non è opportuno lasciare facilmente utilizzabili. Prima di eliminarla è quindi consigliabile rendere inutilizzabili chip e banda magnetica e impedire che siano leggibili i dati stampati sulla superficie.
È inoltre buona pratica continuare a controllare i movimenti del conto anche dopo aver ricevuto la carta sostitutiva. In presenza di addebiti sospetti, bisogna contattare immediatamente la propria banca.
La vulnerabilità è stata comunicata ai principali circuiti di pagamento. Il caso dimostra soprattutto una cosa: nel mondo dei pagamenti digitali, una carta scaduta non è necessariamente sinonimo di una carta completamente inattiva. Ed è proprio nelle verifiche che avvengono dietro un semplice pagamento contactless che può nascondersi il problema.
