Plastica scaduta, radio ancora attiva: il trucco NFC che supera ancora il test
Una demo di ricerca mostra che la scadenza non è sempre l'ultima parola nei pagamenti contactless, mettendo in luce quanta fiducia un terminale riponga in un breve scambio radio.
Introduzione
Una carta scaduta dovrebbe essere un capitolo chiuso. Nei pagamenti contactless, però, questa ipotesi può essere pericolosamente rassicurante. Una tecnica soprannominata Zombie Card mostra che alcune carte Visa contactless scadute possono ancora sembrare valide nei terminali POS tramite un attacco relay NFC. La dimostrazione è importante perché prende di mira una convinzione semplice condivisa da molti utenti: una volta superata la data sulla carta, la carta non serve più. In pratica, la conversazione radio tra carta e terminale può essere più complessa di quanto suggerisca la plastica stampata.
Fatti rapidi
- Zombie Card è un attacco relay NFC legato a carte Visa contactless scadute.
- L'effetto è descritto nei terminali POS, dove la carta può apparire valida.
- Il lavoro è stato presentato da ricercatori della University of Massachusetts Amherst.
- I ricercatori citati nella presentazione sono Raja Hasnain Anwar, Gerard DeCunha e Muhammad Taqi Raza.
- La dimostrazione è stata presentata a USENIX Security '26.
Corpo
I sistemi di pagamento contactless si basano su una comunicazione a corto raggio, che è veloce ma anche molto dipendente dalla fiducia. Un terminale deve decidere rapidamente se la carta davanti a sé debba essere accettata. Un attacco relay NFC funziona inoltrando quella conversazione invece di lasciarla avvenire direttamente, e questo può confondere le normali assunzioni su distanza e presenza.
Ciò che rende notevole Zombie Card non è l'affermazione che tutte le carte scadute siano interessate, ma che la sola scadenza potrebbe non essere una garanzia affidabile di fine vita in ogni scenario contactless. I meccanismi esatti non sono stati descritti in modo completo nel materiale disponibile qui, quindi la lettura più prudente è ristretta: alcune carte Visa contactless scadute possono apparire valide in un terminale nelle condizioni descritte.
Per i difensori, la lezione è semplice. La sicurezza contactless non riguarda solo la data stampata su una carta. Dipende da come interagiscono un terminale, una carta e i controlli di pagamento circostanti. Dal punto di vista difensivo, significa che la scadenza va trattata solo come uno dei vari controlli, non come una barriera completa contro un uso improprio.
Le informazioni disponibili supportano un'analisi del rischio, non una conclusione sull'impatto esteso nel mondo reale o su una specifica causa tecnica alla radice. Anche così, il caso è un utile promemoria del fatto che gli attacchi ai pagamenti spesso hanno successo sfruttando la fiducia tra componenti, non rompendo l'intero sistema in una volta sola.
Conclusione
La lezione più ampia è scomoda ma importante: nei pagamenti contactless,
