Carte scadute che tornano a funzionare: scoperti pagamenti non autorizzati

Una carta di credito scaduta dovrebbe essere inutilizzabile, ma una ricerca presentata alla conferenza USENIX Security 2026 dimostra che questa regola non vale sempre per i pagamenti contactless. Tre ricercatori dell’University of Massachusetts Amherst hanno sviluppato un attacco capace di far apparire valida una carta Visa scaduta e completare transazioni in alcune condizioni.

La tecnica non rompe la crittografia EMV, non clona la carta e non recupera chiavi segrete. Sfrutta invece una gestione non coerente della data di scadenza tra carta, terminale POS e banca. I test hanno coinvolto carte reali, terminali, esercenti e cinque importanti banche statunitensi. Le prove hanno evidenziato una vulnerabilità nelle configurazioni Visa analizzate, mentre altri circuiti hanno resistito all’attacco.

Una falla nella catena di verifica

La data stampata sulla carta non la rende fisicamente inutilizzabile. Rappresenta una regola di autorizzazione applicata durante il pagamento, quando diversi componenti interpretano e verificano i dati trasmessi tramite NFC. Il terminale controlla alcuni valori, mentre la banca può basarsi su informazioni ricevute in una fase successiva.

Secondo i ricercatori, nelle configurazioni Visa esaminate la data mostrata al POS non era sufficientemente collegata, tramite crittografia, al dato utilizzato dall’emittente per autorizzare la transazione. Un intermediario poteva quindi modificare il valore letto dal terminale e sostituirlo con una data futura, lasciando intatte le altre verifiche necessarie a considerare autentica la carta.

L’attacco utilizza dispositivi NFC disponibili commercialmente, posizionati tra la carta e il terminale. La carta originale resta coinvolta nella transazione e continua a produrre le proprie risposte crittografiche. Non si tratta quindi di una clonazione, ma della manipolazione di una specifica informazione durante il trasferimento.

L’esito dipende comunque dalla banca. Alcuni istituti testati hanno rifiutato le transazioni, mentre altri le hanno accettate perché non ripetevano autonomamente tutti i controlli sulla validità della carta. La vulnerabilità, dunque, non permette di usare qualsiasi carta scaduta in ogni negozio, ma richiede una combinazione favorevole di circuito, terminale, carta ed emittente.

Cosa cambia per utenti e circuiti

Il problema nasce dalla complessità dell’ecosistema EMV, che deve mantenere compatibilità con terminali vecchi, circuiti diversi e pagamenti rapidi. Sicurezza, interoperabilità e prestazioni non sempre avanzano nella stessa direzione. Un controllo applicato dal POS può risultare inutile se la banca non verifica lo stesso dato durante l’autorizzazione.

Le contromisure dovrebbero quindi coinvolgere più livelli. I circuiti devono collegare crittograficamente la data controllata dal terminale alle informazioni utilizzate dalla banca, mentre gli emittenti dovrebbero eseguire verifiche indipendenti invece di affidarsi completamente al risultato comunicato dal POS.

Per gli utenti, la raccomandazione è distruggere fisicamente le carte scadute e controllare di tanto in tanto i movimenti dell’account, anche dopo la sostituzione. In presenza di operazioni non autorizzate, bisogna contattare subito la banca. I ricercatori affermano di aver informato Visa nel maggio 2025 e di aver effettuato un ulteriore follow-up nel dicembre dello stesso anno. La ricerca dimostra soprattutto che una data stampata sulla plastica non costituisce, da sola, una barriera di sicurezza affidabile.