In questo articolo Indice dei contenuti 2 sezioni
Basta una carta di credito scaduta e due smartphone comuni per portare a termine un pagamento che, in teoria, non dovrebbe mai andare a buon fine. È il risultato di uno studio condotto all’Università del Massachusetts Amherst da Raja Hasnain Anwar, Gerard DeCunha e Muhammad Taqi Raza, che hanno messo alla prova carte contactless di Visa, Mastercard, Discover e American Express su terminali diversi e presso commercianti diversi. Il verdetto è meno rassicurante di quanto piacerebbe: la plastica scade, il conto associato no.
Il punto è tutto qui, in fondo. Quando una carta raggiunge la data stampata sul fronte, l’account collegato non si spegne automaticamente. Il terminale POS non ha modo di sapere se quel pezzo di plastica sia ancora valido, se non leggendo proprio quella data. E quella data, come hanno verificato i ricercatori, non è protetta da alcun sistema crittografico. Tradotto: si può cambiare.
Due telefoni, un lettore ingannato
Il meccanismo messo in piedi dal team è concettualmente semplice, e forse è questo l’aspetto più fastidioso. Servono due smartphone di normale reperibilità e un software di emulazione di base. Il primo telefono si occupa di risvegliare la carta, comunicandole che è in corso un tentativo di acquisto. La carta risponde come farebbe sempre, inviando i dati del titolare e l’applicazione di pagamento, data di scadenza compresa.
A quel punto entra in gioco il secondo dispositivo. Attraverso un sistema di inoltro man in the middle basato su Wi Fi, intercetta le informazioni in transito e modifica la data di scadenza prima che arrivino al lettore. Il POS legge una carta apparentemente attiva e autorizza il pagamento. Nessun allarme, nessun blocco. Anwar, autore principale dello studio e dottorando presso il Khwarizmi Lab dell’UMass Amherst, lo ha spiegato senza giri di parole: la data stampata e memorizzata sulla carta è l’unica informazione che permette al terminale di distinguere una carta viva da una morta, eppure resta priva di protezione crittografica. Facile modificarla, facile ingannare la macchina.
Perché quella carta va distrutta e non buttata
Qui arriva la parte che riguarda tutti, non solo chi si occupa di sicurezza informatica. Raza ha inquadrato bene il problema: l’attacco funziona perché sfrutta un equivoco diffuso e ben documentato. Si dà per scontato che una carta scaduta sia un oggetto inerte, un rettangolo di plastica senza più alcun valore. E quindi finisce nella spazzatura senza troppi pensieri, magari intera, magari con il chip perfettamente integro.
L’indicazione dei ricercatori è di procedere in modo molto più drastico. Tagliare la carta passando attraverso tutti i dettagli sensibili, distruggere fisicamente il chip, e poi separare i frammenti gettandoli in contenitori diversi. Sembra un eccesso di zelo, ma alla luce di quanto dimostrato in laboratorio è semplicemente buon senso applicato.
