Una carta di credito Visa scaduta, dimenticata in un cassetto o gettata via senza essere tagliata con le forbici, può essere ancora impiegata per pagare al supermercato. Lo hanno dimostrato tre ricercatori dell’Università del Massachusetts Amherst, Raja Hasnain Anwar, Gerard DeCunha e Muhammad Taqi Raza, in uno studio presentato una settimana fa al 35esimo USENIX Security Symposium di Baltimora. Il nome scelto per l’attacco, Zombie Card, descrive bene l’idea di fondo: una carta che dovrebbe essere morta e che invece continua a funzionare.
Le carte contactless – ormai la maggior parte, da quella di debito a quella di credito – sfruttano la tecnologia wireless NFC per scambiare dati con i terminali di pagamento. Il presupposto su cui si basa l’intero sistema è che, superata la data stampata sulla plastica, la carta smetta semplicemente di essere accettata. I ricercatori hanno scoperto che questo non è sempre vero: la scadenza non è una proprietà crittografica della carta, cioè un dato protetto e verificabile matematicamente, ma un controllo che il terminale del negozio esegue localmente, in un momento della transazione in cui quel dato viaggia ancora in chiaro.
Gli specialisti hanno sfruttato proprio questo passaggio. Con due comuni smartphone Android collegati tra loro via Wi-Fi, uno vicino alla carta scaduta e uno vicino al terminale del negozio, hanno creato un canale intermedio (un relay) capace di intercettare i dati scambiati durante la lettura della carta e modificare in tempo reale solo il campo della data di scadenza, falsificandola.
