Attenti alle carte di credito zombie: un errore del sistema permette di pagare dopo la data di scadenza

Quando una carta di pagamento arriva a scadenza, siamo abituati a pensare che perda automaticamente ogni validità e venga semplicemente sostituita dalla nuova carta inviata dalla banca. In realtà non è proprio così. Sfruttando una falla di alcuni circuiti bancari, alcune carte possono tornare in vita come degli zombie e continuare ad attingere dai conti correnti. È questa la scoperta di un team di ricercatori dell'Università del Massachussetts Amherst, i quali hanno dimostrato come, in determinate condizioni, alcune carte contactless possano essere "resuscitate" per effettuare nuovi pagamenti. Un bel rischio, soprattutto se la carta scaduta è finita nelle mani sbagliate.

Lo studio dal titolo Zombie Cards Back Online: Reviving Expired Credit Cards for Contactless Payments è stato presentato alla conferenza USENIX Security 2026, una delle conferenze più autorevoli nel campo della sicurezza informatica. Gli autori – Raja Hasnain Anwar, Gerard DeCunha e Muhammad Taqi Raza – sono riusciti a utilizzare carte di pagamento scadute per effettuare acquisti nei negozi e pagare conti nei ristoranti. La vulnerabilità individuata ha riguardato soprattutto i circuiti VISA, dove un errore nei controlli del sistema permette a chiunque sappia come agire di alterare la lettura della data della carta. Nelle configurazioni testate, Mastercard, American Express e Discover hanno invece resistito all'attacco.

Come funziona la tecnica della carta zombie

L'attacco descritto e replicato dal team di esperti appartiene alla tipologia man-in-the-middle. In pratica il malintenzionato s'inserisce tra due parti che credono di comunicare tra loro e non servono nemmeno apparecchiature particolarmente sofisticate. Bastano due normalissimi smartphone con tecnologia NFC che permette di effettuare pagamenti avvicinando il cellulare a un lettore abilitato (per capirci, è la stessa usata da sistemi come Google Pay o Apple Pay) e un software di emulazione che permette agli apparecchi di comportarsi come un dispositivo di pagamento.

Anche l'esecuzione della truffa è piuttosto agevole. Un cellulare viene appoggiato sulla carta scaduta, mentre l'altro viene appoggiato al POS per pagare. Il primo smartphone legge i dati inviati dalla carta e li trasmette al secondo. Quando il POS chiede la data di scadenza, il sistema intercetta la risposta della carta, la modifica e la invia al lettore. Al POS arriva così la risposta alterata e il pagamento va a buon fine. Non serve nemmeno conoscere l'effettiva data di scadenza della nuova carta associata al conto da cui si stanno prelevando i soldi. Secondo i ricercatori è sufficiente inserire qualsiasi anno superiore a quello corrente.

Ciò è possibile perché, oltre alla data stampata sulla carta, nei sistemi bancari esiste un'altra scadenza utilizzata dai vari meccanismi di crittografia per autenticare le varie transazioni. Tale data può essere successiva a quella presente sulla carta fisica e se la banca effettua un controllo efficace, l'operazione viene portata a termine.

Qual è la falla che permette di resuscitare le carte scadute

Secondo gli autori dell'indagine, la causa di questa vulnerabilità risiede nel modo in cui il sistema di pagamenti elettronici si è evoluto. Oggi, infatti, la sicurezza di queste operazioni si regge su una collaborazione tra la carta fisica, il POS dell'esercente e il sistema informatico della banca che ha emesso la carta. In questo sistema "a tre", le responsabilità vengono distribuite tra soggetti che devono garantire rapidità ed efficienza.

Per ridurre i tempi di elaborazione, però, alcuni sistemi trascurano dei passaggi che rendono il meccanismo di controllo frammentato e mal coordinato. I controlli non vengono effettuati tutti nello stesso tempo e con le stesse informazioni, creando così delle falle nella filiera di sorveglianza che possono essere sfruttate per riportare in vita le carte di credito fuori corso.

Come evitare il rischio dalle carte zombie: i consigli

Stando a quanto comunicato dai ricercatori, nel maggio 2025 VISA è stata avvisata del problema, tuttavia non è ancora chiaro se l'azienda abbia provveduto a tappare tutti i buchi del sistema. Nel dubbio, ci sono un paio di precauzioni che i clienti delle banche possono adottare per assicurarsi che le carte di credito scadute non possano tornare in vita nelle mani di cyber-criminali.

Innanzitutto è bene non limitarsi a gettare la carta nella spazzatura. Meglio tagliarla, danneggiando la banda magnetica e assicurandosi che il chip venga distrutto. Se proprio si vuole essere minuziosi può essere una buona idea anche raschiare via o rendere illeggibili i numeri e le lettere che identificano il possessore. Sul lungo periodo, invece, gli esperti suggeriscono di dare sempre un occhio alle transazioni effettuate, facendo attenzione a eventuali pagamenti sospetti di cui non si riconosce la provenienza.