Zombie Card: l’attacco NFC che può riattivare alcune carte Visa scadute

Una carta contactless può essere scaduta secondo la data stampata sulla plastica e conservare comunque credenziali di pagamento funzionanti. Ricercatori dell’University of Massachusetts Amherst hanno dimostrato come sfruttare questa discrepanza con un attacco pratico di tipo man-in-the-middle su NFC, chiamato “Zombie Card”. Utilizzando due normali smartphone come ponte, l’aggressore può modificare la data di scadenza mostrata al terminale mentre la carta autentica continua a generare dati validi per la transazione.

Non si tratta però di un metodo universale per usare qualsiasi carta scaduta. È una debolezza della catena dei pagamenti che dipende dall’implementazione contactless del circuito, dal terminale e, soprattutto, dai controlli effettuati dalla banca emittente durante l’autorizzazione.

Come funziona l’attacco Zombie Card

L’attacco si inserisce tra la carta fisica scaduta e il terminale del punto vendita. Un primo smartphone comunica con la carta; un secondo presenta al terminale le risposte della carta. I due telefoni inoltrano lo scambio attraverso una connessione di rete e, durante la comunicazione, sostituiscono la data di scadenza visualizzata dal terminale con una data futura.

Secondo i ricercatori, l’aggressore non deve conoscere la data di scadenza della carta sostitutiva. Nel controllo eseguito dal terminale può essere sufficiente una qualsiasi data futura per far apparire la carta ancora valida.

Questo non significa che la carta venga clonata o che la crittografia EMV venga spezzata. La carta fisica continua a fornire dati autentici, firme e crittogrammi di transazione validi. Il problema, nella configurazione Visa esaminata, è che il valore della scadenza usato dal terminale non risulta adeguatamente collegato ai dati autenticati utilizzati in seguito per l’autorizzazione online.

Il ruolo di Visa EMV Kernel 3

I kernel EMV sono le implementazioni software con cui i terminali gestiscono i pagamenti dei diversi circuiti. Visa, Mastercard, American Express e Discover utilizzano percorsi contactless distinti.

La scoperta riguarda il percorso contactless Visa identificato nei materiali forniti come EMV Kernel 3. La lacuna progettuale consente a due parti della transazione di non essere coerenti: il terminale può ricevere una data futura modificata, mentre la transazione inviata all’emittente conserva dati autentici e controlli crittografici validi.

In un’implementazione più strettamente integrata, la modifica in transito di un valore legato alla scadenza renderebbe incoerente la transazione autenticata e ne provocherebbe il rifiuto. Il caso Zombie Card mostra quindi un principio importante della sicurezza: la crittografia protegge meno quando un campo critico viene verificato in un punto della catena, ma non è collegato in modo affidabile ai dati considerati attendibili in un altro.

Perché la tecnica non ha funzionato sugli altri circuiti

I ricercatori hanno testato l’approccio anche con altri kernel contactless e hanno riferito che non ha funzionato con Mastercard Kernel 2, American Express Kernel 4 e Discover Kernel 6. Secondo le informazioni disponibili, questi percorsi offrono una protezione, una validazione o un collegamento crittografico più efficace per i dati relativi alla scadenza.

Le fonti disponibili non permettono però di identificare con precisione la regola di protocollo che blocca l’attacco in ciascuno dei tre kernel. La conclusione più prudente è quindi circoscritta: la manipolazione della scadenza è stata segnalata come efficace nella configurazione Visa testata, ma non nei percorsi Mastercard, American Express e Discover esaminati. Non dimostra che le carte Visa siano generalmente falsificabili o che tutte le Visa scadute possano essere utilizzate.

Cosa hanno mostrato i test con cinque banche statunitensi

Le prove, condotte tra diversi esercenti, terminali, kernel EMV e cinque grandi banche degli Stati Uniti, hanno dato risultati diversi. Alcuni emittenti hanno autorizzato transazioni contenenti la data di scadenza modificata lato terminale; altri le hanno respinte grazie a controlli più rigorosi eseguiti dalla banca.

Questa variabilità è il punto centrale della ricerca. Il solo esito del controllo del terminale non determina necessariamente il completamento del pagamento: conta anche la logica di autorizzazione dell’emittente. Una banca che verifica autonomamente scadenza, sostituzione, blocco e stato del conto ha più probabilità di rifiutare la transazione rispetto a un istituto che si affida soprattutto alla decisione del terminale.

I materiali disponibili non forniscono un elenco verificabile banca per banca delle cinque istituzioni, né i risultati esatti di approvazione e rifiuto o limiti di transazione affidabili per ciascuna. Questi dettagli non possono essere dedotti dal risultato generale della ricerca.

Divulgazione e stato delle correzioni

La ricerca è stata presentata a USENIX Security 2026 e le informazioni collegate all’università indicano che le principali società dei circuiti sono state avvisate prima della pubblicazione dei risultati.

Al 20 agosto 2026, le evidenze disponibili confermano la vulnerabilità osservata nella valutazione dei ricercatori, ma non dimostrano che Visa abbia completato una modifica universale del kernel, un aggiornamento dei terminali o una correzione applicata a tutti gli emittenti interessati. Non è inoltre disponibile una tempistica definitiva per ogni banca.

La divulgazione, dunque, non equivale a una correzione già completata. Il rischio concreto può variare mentre circuiti, fornitori di terminali, acquirer e banche definiscono come validare in modo coerente i dati sul ciclo di vita della carta.

Le contromisure lungo la catena dei pagamenti

La ricerca indica la necessità di una difesa a più livelli, non di un’unica correzione:

• Progettisti dei kernel e dei sistemi di pagamento: collegare crittograficamente la data di scadenza e gli altri campi relativi al ciclo di vita mostrati al terminale ai dati autenticati della transazione. Una modifica durante il trasferimento dovrebbe invalidare il pagamento.
• Terminali e sistemi di acquiring: verificare la scadenza utilizzando, quando disponibili, informazioni autenticate e rifiutare valori incoerenti invece di affidarsi a un campo non protetto visibile solo al terminale.
• Banche emittenti: controllare autonomamente, durante l’autorizzazione, scadenza, sostituzione, revoca e stato del conto, senza basarsi soltanto sul controllo locale del terminale.
• Circuiti e team antifrode: cercare discrepanze tra la scadenza fornita dal terminale e i dati visibili all’emittente, applicando controlli adeguati a schemi sospetti di inoltro contactless. Questa raccomandazione deriva dal fatto che la responsabilità è distribuita tra carta, terminale, circuito e banca.

Come smaltire una carta scaduta

Una carta scaduta non dovrebbe essere gettata via intatta. Le indicazioni associate alla ricerca raccomandano di rendere inutilizzabile la banda magnetica, distruggere il chip EMV e tagliare o triturare la carta, compresi numeri e lettere stampati, prima di gettare i frammenti separatamente. Per le carte in metallo è meglio chiedere alla banca come procedere allo smaltimento sicuro.

È inoltre consigliabile continuare a controllare il conto collegato, anche dopo la chiusura della carta, e segnalare rapidamente eventuali addebiti non autorizzati. L’attacco richiede l’accesso fisico alla carta o una prossimità NFC prolungata: distruggere in modo sicuro una vecchia carta riduce quindi le opportunità di abuso.