La notizia in sintesi
- Tre ricercatori di UMass Amherst hanno dimostrato l’attacco Zombie Card.
- La vulnerabilità riguarda le carte contactless Visa basate sul Kernel 3.
- La data di scadenza può essere alterata durante una transazione NFC.
- Distruggere chip e banda magnetica resta la precauzione raccomandata.
Riassunto generato con AI
Zombie Card mette sotto esame Visa contactless
Una vulnerabilità nelle carte contactless Visa potrebbe consentire l’uso di carte scadute, purché fisicamente integre, per effettuare pagamenti. Lo hanno dimostrato Raja Hasnain Anwar, Gerard DeCunha e Muhammad Taqi Raza, ricercatori dell’Università del Massachusetts Amherst, in uno studio presentato al 35esimo USENIX Security Symposium di Baltimora.
L’attacco è stato chiamato Zombie Card: una carta teoricamente inattiva dopo la scadenza continua a essere accettata dal terminale. Il problema nasce dal modo in cui viene gestita la data di validità nelle transazioni contactless basate sulla tecnologia NFC.
Secondo lo studio, la scadenza non risulta protetta crittograficamente nel processo analizzato. Per questo può diventare un punto debole nella catena che collega carta, terminale commerciale e banca emittente.
Le innovazioni piu' interessanti di tecnologia e scienza, dritte nella tua inbox.
Come viene modificata la data di scadenza
Le carte contactless scambiano dati con il lettore tramite NFC. Nel caso esaminato dai ricercatori, il terminale controlla localmente la data di scadenza quando questa informazione è ancora trasmessa in chiaro, senza che sia inclusa nella firma digitale verificata dal sistema.
Il gruppo di UMass Amherst ha utilizzato due comuni smartphone Android connessi via Wi-Fi: uno collocato vicino alla carta scaduta, l’altro vicino al terminale di pagamento. Il collegamento intermedio intercetta i dati della transazione e modifica in tempo reale soltanto il campo relativo alla scadenza.
La firma digitale della carta continua quindi a risultare valida, perché non copre quel dato specifico. Il pagamento può proseguire come se la carta fosse ancora utilizzabile, senza che il terminale rilevi l’alterazione.
La criticità riguarda in particolare il Kernel 3, cioè l’insieme di regole tecniche adottato da Visa per alcune transazioni contactless. Nei test, le carte Mastercard, American Express e Discover, basate su kernel differenti, hanno bloccato lo stesso tipo di manipolazione.
Secondo gli autori, alcuni sistemi confrontano la scadenza letta dal terminale con quella comunicata alla banca. Altri proteggono crittograficamente la data, rendendo rilevabile qualsiasi modifica durante lo scambio.
I ricercatori hanno inoltre effettuato acquisti reali con carte scadute sostituite dalle banche, in un negozio al dettaglio e in un supermercato universitario. Su un proprio terminale hanno eseguito transazioni crescenti fino a 500 dollari.
In un caso, la banca emittente ha approvato con regolarità i pagamenti manipolati; in un altro li ha respinti. Il risultato segnala che i controlli degli emittenti non sono uniformi quando la richiesta di pagamento è già stata accettata dal terminale.
Muhammad Taqi Raza ha spiegato all’ateneo l’origine della ricerca: “se la carta può ricevere un rimborso, può anche effettuare un pagamento?”. Per alcune carte analizzate, lo studio risponde affermativamente.
Nessuna correzione pubblica segnalata
Gli autori hanno comunicato la falla a Visa e alle banche coinvolte nel maggio 2025, trasmettendo istruzioni, tracce tecniche e un video dimostrativo. Un secondo contatto è avvenuto nel dicembre 2025.
Al momento della pubblicazione, secondo lo studio, il team di sicurezza di Visa aveva superato la verifica iniziale ma stava ancora riproducendo autonomamente l’attacco. Non risultavano aggiornamenti sullo stato di eventuali correzioni.
Una verifica di The Hacker News, aggiornata al 20 agosto 2026, non ha rilevato avvisi pubblici, mitigazioni note o un codice CVE assegnato. Non emergono inoltre casi noti di sfruttamento al di fuori della ricerca.
Le contromisure proposte puntano a proteggere crittograficamente la scadenza e a verificare la coerenza del dato lungo tutta la transazione. Sul versante bancario, gli autori chiedono controlli sulla combinazione tra conto e data di scadenza e una revoca effettiva delle carte sostituite.
Per i titolari, la misura immediata resta distruggere le carte scadute tagliando sia chip EMV sia banda magnetica. Conservare o gettare una carta integra può lasciare un rischio che la sola scadenza non elimina.
FAQ
Cos’è l’attacco Zombie Card?
Sì, è una tecnica che altera la data di scadenza di una carta contactless Visa durante il pagamento, facendola apparire ancora valida al terminale.
Quali carte sono coinvolte?
Sì, lo studio indica specificamente le carte contactless Visa che usano il Kernel 3. Nei test, Mastercard, American Express e Discover hanno bloccato la manipolazione.
Una carta scaduta può essere ancora usata?
Sì, alcune carte esaminate hanno consentito pagamenti dopo l’alterazione della scadenza. L’esito dipende però anche dai controlli applicati dalla banca emittente.
Come bisogna smaltire una carta scaduta?
Sì, la soluzione immediata è tagliare fisicamente sia il chip EMV sia la banda magnetica prima dello smaltimento, evitando di conservarla integra o gettarla senza distruggerla.
Su quali fonti si basa questa analisi?
Sì, il contenuto nasce da un’analisi approfondita e da una verifica incrociata condotta dalla nostra Redazione su numerose fonti, tra cui la Repubblica.
Non perdere gli errori di prezzo clamorosi su Amazon!
Iscriviti al canale Telegram e ricevili in tempo reale
Guide agli acquisti su Amazon
