Esperti avvertono: carte di credito scadute possono essere utilizzate per pagamenti contactless
Esperti avvertono che carte di credito scadute possono essere utilizzate per pagamenti contactless se non vengono verificate correttamente.
Il 21 agosto 2026, esperti hanno avvertito che carte di credito scadute possono essere utilizzate per effettuare pagamenti contactless, se non vengono verificate correttamente. La scoperta è emersa da una ricerca condotta da ricercatori che hanno dimostrato come un’identità di carta di credito non più valida possa essere utilizzata per completare un acquisto reale, se il sistema di pagamento non controlla correttamente la data di scadenza. L’attacco richiede il possesso fisico della carta e due smartphone comuni, e i risultati variano in base alla banca, con carte Visa che risultano particolarmente vulnerabili.
Un rischio reale per la sicurezza
La ricerca ha evidenziato come la data di scadenza stampata sulla carta non sia sempre sufficiente a garantire la validità del pagamento. I ricercatori hanno scoperto che il sistema di pagamento contactless non verifica in modo completo la data di scadenza, permettendo a un attacco di modificare il valore della data in modo da apparire ancora valida. Questo crea un rischio reale per i consumatori, poiché una carta scaduta potrebbe essere utilizzata per effettuare acquisti senza alcuna verifica adeguata.
La mancanza di verifiche complete rappresenta un grave problema di sicurezza.
Le implicazioni per il sistema di pagamento
La scoperta ha sollevato preoccupazioni circa la sicurezza del sistema di pagamento contactless, che coinvolge diversi attori, tra cui il chip della carta, il terminale, la rete e la banca emittente. Ogni parte ha un ruolo nella decisione finale del pagamento, ma la mancanza di una verifica completa della data di scadenza ha creato una vulnerabilità. I ricercatori hanno anche sottolineato che le protezioni EMV esistenti potrebbero rilevare l’attacco, ma non sono attivate in modo sistematico, né da Visa né dalle banche coinvolte.
Il team di ricerca ha notificato Visa e le banche interessate nel maggio 2025 e nel dicembre 2025, fornendo un manuale di riproduzione, tracciati delle transazioni e un video. Tuttavia, non è stato confermato che una soluzione sia in atto. La scoperta ha anche evidenziato come la data di scadenza non sia sempre verificata in modo corretto, e come il sistema di pagamento possa essere sfruttato in modo non previsto. La ricerca ha anche sottolineato come il problema non riguardi solo una singola banca o un singolo sistema, ma coinvolga l’intero ecosistema del pagamento contactless. La mancanza di una verifica completa della data di scadenza ha creato una vulnerabilità che potrebbe essere sfruttata da chi ha accesso fisico alla carta e a due smartphone. La soluzione richiede una collaborazione tra banche, terminali e reti di pagamento per garantire una protezione adeguata.
La mancanza di una verifica completa della data di scadenza ha creato una vulnerabilità che potrebbe essere sfruttata.