Come possono le carte contactless scadute tornare a essere utilizzate come mezzo di pagamento?

Gli esperti dell'Università UMass Amherst hanno presentato uno studio intitolato "Carte di credito scadute di nuovo online: riattivare le carte di credito obsolete per i pagamenti contactless.Il documento spiegava in dettaglio come le carte di pagamento contactless scadute possano essere riutilizzate per gli acquisti presso i punti vendita.

I pagamenti contactless si basano sul protocollo EMV, in cui una carta o uno smartphone comunicano con un terminale POS utilizzando la tecnologia NFC. I messaggi viaggiano quindi attraverso la rete di pagamento fino alla banca e all'emittente della carta. I ricercatori avvertono che questo processo è vulnerabile, poiché alcuni dati vengono trasmessi tra la carta e il terminale in forma non crittografata e vengono combinati solo successivamente con la verifica crittografica.

Questa vulnerabilità di sicurezza si presta ad abusi. Utilizzando due smartphone come dispositivi proxy NFC, i ricercatori sono riusciti a condurre un attacco man-in-the-middle. Hanno scoperto che le transazioni contactless sulla rete Visa erano vulnerabili a tali attacchi perché prive di adeguate protezioni per l'integrità dei dati.

Il problema risiede nel cosiddetto protocollo EMV di base. Mentre Mastercard, American Express e Discover utilizzano regole più rigide, il sistema Visa è più "aperto". Con le carte Visa, la data di scadenza letta dal terminale non è protetta crittograficamente da una firma digitale. Il terminale controlla la data sulla carta, ma la banca emittente verifica un'altra informazione relativa alla data al momento dell'approvazione. Poiché le due informazioni non sono collegate crittograficamente, un malintenzionato può modificare le informazioni visualizzate dal terminale durante la trasmissione, mentre gli altri elementi di sicurezza appaiono perfettamente validi.

Il successo pratico dell'attacco dipende dalla singola banca e dalle sue procedure di elaborazione delle transazioni. Tuttavia, tali risultati sollevano giustamente dubbi sull'accuratezza con cui gli istituti finanziari verificano gli standard di sicurezza prima di diffondere ampiamente questa tecnologia. Il responsabile della ricerca, Raja Hasnain Anwar, ha spiegato che si tratta di un compromesso consapevole tra un elevato livello di sicurezza e la velocità dei terminali più datati.

Gli autori hanno segnalato la vulnerabilità a Visa nel maggio 2025 e nuovamente nel dicembre 2025. Ad oggi, né Visa né alcuna delle banche informate ha confermato di aver risolto il problema.