Carte di credito “zombie” che possono essere usate dopo la scadenza: lo studio e i possibili rischi

Uno studio condotto dai ricercatori dell’Università del Massachusetts Amherst e presentato alla conferenza USENIX Security 2026 ha rivelato un fatto che ha per certi versi dell’inquietante. Secondo lo studio, anche le vecchie carte scadute possono essere potenzialmente riutilizzate per effettuare pagamenti fraudolenti. Non a caso i ricercatori le hanno definite carte di credito “zombie”: anche dopo la sostituzione, possono in alcuni casi tornare in “vita” ed essere utilizzabili da un criminale informatico per fini fraudolenti.

Il problema nasce dal fatto che a scadere è la carta fisica, ma non il conto associato a quest’ultima. Lo dimostra il fatto che, se si acquista un prodotto e poi lo si restituisce, il rimborso può arrivare sul proprio conto anche quando la carta utilizzata per il pagamento, associata a quest'ultimo, risulta ormai scaduta. Proprio da qui è partita la domanda dei ricercatori: se una vecchia carta può ancora ricevere un rimborso, può anche essere utilizzata per effettuare un pagamento? Per alcune carte, la risposta è sì. Il gruppo guidato dal professor Taqi Raza ha dimostrato che è possibile costruire un sistema capace di convincere un terminale POS che una carta scaduta sia ancora valida. Vediamo come funziona più nel dettaglio questo particolare attacco.

Come funziona l’attacco delle carte di credito “zombie”

L’attacco si basa fondamentalmente sull’uso della tecnologia NFC, la stessa che permette di pagare avvicinando una carta o uno smartphone al terminale. I ricercatori utilizzano due normali smartphone e un software in grado di emulare il comportamento necessario per la transazione. Il primo telefono attiva la carta e avvia la richiesta di pagamento, trasmettendo anche la sua data di scadenza. Il secondo telefono intercetta questi dati attraverso un collegamento Wi-Fi e va a modificare proprio la data, sostituendo quella ormai scaduta con una qualsiasi data successiva.

Tecnicamente si tratta di un attacco “man-in-the-middle”, ovvero un attacco in cui un soggetto si inserisce tra due dispositivi che stanno comunicando, intercettando e, in questo caso, modificando le informazioni scambiate. Il secondo smartphone viene poi collegato al lettore del negozio: dall’esterno, l’operazione può apparire simile a un normale pagamento effettuato tramite un portafoglio digitale.

L’aspetto più preoccupante è che il criminale non deve necessariamente conoscere la vera data di scadenza della carta sostitutiva. Secondo i ricercatori, può essere sufficiente inserire una qualsiasi data futura. Questo è possibile perché la data di scadenza che il POS legge dalla carta non è protetta crittograficamente. A questo punto ci si potrebbe aspettare che sia la banca a bloccare automaticamente l’operazione. Ma è proprio qui che emerge una grossa vulnerabilità. Non tutti gli istituti bancari verificano la data di scadenza ricevuta dal terminale confrontandola con le informazioni autenticate dalla carta. Se manca un ulteriore controllo sullo stato della carta, il pagamento fraudolento può quindi andare a buon fine.

Il sistema di pagamento contiene infatti un altro elemento che può creare confusione. La carta possiede una chiave di sicurezza che protegge la comunicazione con la banca e che è associata a un certificato digitale, cioè una sorta di credenziale elettronica utilizzata per verificare l’autenticità della comunicazione. I ricercatori hanno scoperto che la scadenza di questo certificato può essere successiva a quella riportata sulla carta. Di conseguenza, il controllo della chiave non basta a stabilire se la carta fisica sia realmente scaduta o no. La vulnerabilità è stata verificata sia in laboratorio sia in esercizi commerciali veri e propri, come ristoranti e supermercati. Non tutte le carte risultano però esposte allo stesso modo e i portafogli digitali dispongono di protezioni aggiuntive che li rendono più resistenti a questo specifico attacco.

Come smaltirle in sicurezza per evitare truffe

Per dormire sonni ragionevolmente tranquilli, quindi, occorre imparare a smaltire in sicurezza le carte di credito scadute. I ricercatori consigliano di distruggerle anche quando se ne riceve una sostitutiva o è stato chiuso definitivamente il conto. Per prima cosa, si può passare lentamente una calamita sulla banda magnetica e, successivamente, danneggiare il chip con un martello o delle forbici. Infine, bisognerebbe tagliare la carta in più parti, eliminando anche numeri e lettere in rilievo. È inoltre consigliabile distribuire i frammenti in diversi contenitori della spazzatura. Per le carte metalliche, invece, è meglio contattare direttamente il servizio clienti della banca che ha emesso la carta, così da sapere il da farsi.

non perderti questo articolo

Come funziona la truffa del POS pirata che ti svuota il conto: come difendersi dai furti invisibili