In questo articolo Indice dei contenuti 2 sezioni
Una carta di credito scaduta dovrebbe smettere di funzionare, punto. Eppure un gruppo di ricercatori della University of Massachusetts Amherst ha dimostrato che in certi casi le carte scadute riescono ancora a farsi accettare da un terminale POS, trasformandosi in quelle che sono state ribattezzate zombie card. Lo studio è stato presentato a USENIX Security 2026 e mette il dito su un dettaglio dei circuiti di pagamento che di solito nessuno si ferma a considerare.
Il ragionamento di partenza è semplice, quasi banale nella sua logica. Quando una carta scade, a scadere è l’oggetto fisico che si tiene nel portafoglio, non per forza il rapporto con il conto che ci sta sotto. È esattamente il motivo per cui capita di ricevere un rimborso su una carta che nel frattempo è stata sostituita: il denaro trova comunque la strada giusta. Da lì la domanda dei ricercatori, che poi è la parte interessante della faccenda: se i soldi possono entrare, possono anche uscire? Per alcuni circuiti e alcune configurazioni la risposta è risultata affermativa.
Dove si rompe la catena dei controlli
Il punto critico riguarda la data di scadenza che il terminale legge dalla carta. Secondo lo studio quel dato non viaggia protetto da crittografia, e questo apre uno spiraglio. In laboratorio il team è riuscito a intercettare l’informazione durante una transazione NFC e a sostituirla con una data futura prima che arrivasse al POS. Non serve nemmeno sapere quale sia la scadenza reale della carta sostitutiva, ne basta una qualsiasi collocata più in là nel tempo.
Dall’esterno l’operazione somiglia in tutto e per tutto a un normale pagamento contactless. Nessun errore sul display, nessun avviso, nessuna anomalia visibile per chi sta dietro il bancone. A quel punto ci si aspetterebbe che sia la banca a mettere lo stop, perché l’istituto sa benissimo che quella carta è scaduta. E invece no, o meglio: non sempre. Non tutti gli istituti confrontano la data comunicata dal terminale con quella effettiva registrata nei propri sistemi. Dove quel controllo manca, la transazione passa senza fare rumore.
Una falla che sta a metà tra circuito e banca
Quello che emerge dalla ricerca non è tanto un difetto di un singolo produttore di carte o di un singolo modello di POS, quanto una zona grigia nella distribuzione delle responsabilità. Il terminale legge quello che gli viene comunicato e si fida. La banca, dal canto suo, dovrebbe fare da ultima linea di verifica, ma se la validazione incrociata non è prevista nessuno accorge la discrepanza. Il risultato è una vulnerabilità che vive nello spazio vuoto tra due componenti che, presi singolarmente, funzionano come previsto.
Va detto che l’esperimento è stato condotto in condizioni controllate, con strumentazione dedicata all’intercettazione del traffico NFC durante la transazione. Non si tratta quindi di qualcosa che chiunque può improvvisare alla cassa del supermercato con lo smartphone in mano. Resta però il fatto che il meccanismo funziona, ed è stato documentato in un contesto accademico di rilievo come USENIX Security 2026, dove finiscono ogni anno alcune delle ricerche più solide sulla sicurezza informatica.
La conseguenza pratica per chi possiede una carta è meno teorica di quanto sembri. Una tessera scaduta, se ancora integra, potrebbe in determinate condizioni essere sfruttata per autorizzare un pagamento invece di restare un semplice pezzo di plastica inerte. Il consiglio implicito che deriva dalla ricerca riguarda proprio la distruzione fisica delle carte non più valide, invece di lasciarle intere in un cassetto o buttarle così come sono nella spazzatura. Il chip e la banda restano leggibili finché qualcuno non li rende materialmente inutilizzabili.
