Una carta di credito scaduta dovrebbe essere inutilizzabile, ma una ricerca presentata alla conferenza USENIX Security 2026 dimostra che questa regola non vale sempre per i pagamenti contactless. Tre ricercatori dell’University of Massachusetts Amherst hanno sviluppato un attacco capace di far apparire valida una carta Visa scaduta e completare transazioni in alcune condizioni.
La tecnica non rompe la crittografia EMV, non clona la carta e non recupera chiavi segrete. Sfrutta invece una gestione non coerente della data di scadenza tra carta, terminale POS e banca. I test hanno coinvolto carte reali, terminali, esercenti e cinque importanti banche statunitensi. Le prove hanno evidenziato una vulnerabilità nelle configurazioni Visa analizzate, mentre altri circuiti hanno resistito all’attacco.
Una falla nella catena di verifica
La data stampata sulla carta non la rende fisicamente inutilizzabile. Rappresenta una regola di autorizzazione applicata durante il pagamento, quando diversi componenti interpretano e verificano i dati trasmessi tramite NFC. Il terminale controlla alcuni valori, mentre la banca può basarsi su informazioni ricevute in una fase successiva.
Secondo i ricercatori, nelle configurazioni Visa esaminate la data mostrata al POS non era sufficientemente collegata, tramite crittografia, al dato utilizzato dall’emittente per autorizzare la transazione. Un intermediario poteva quindi modificare il valore letto dal terminale e sostituirlo con una data futura, lasciando intatte le altre verifiche necessarie a considerare autentica la carta.
