Una carta di credito Visa scaduta, dimenticata in un cassetto o gettata via senza essere tagliata con le forbici, può essere ancora impiegata per pagare al supermercato. Lo hanno dimostrato tre ricercatori dell’Università del Massachusetts Amherst, Raja Hasnain Anwar, Gerard DeCunha e Muhammad Taqi Raza, in uno studio presentato una settimana fa al 35esimo USENIX Security Symposium di Baltimora. Il nome scelto per l’attacco, Zombie Card, descrive bene l’idea di fondo: una carta che dovrebbe essere morta e che invece continua a funzionare.

Le carte contactless – ormai la maggior parte, da quella di debito a quella di credito – sfruttano la tecnologia wireless NFC per scambiare dati con i terminali di pagamento. Il presupposto su cui si basa l’intero sistema è che, superata la data stampata sulla plastica, la carta smetta semplicemente di essere accettata. I ricercatori hanno scoperto che questo non è sempre vero: la scadenza non è una proprietà crittografica della carta, cioè un dato protetto e verificabile matematicamente, ma un controllo che il terminale del negozio esegue localmente, in un momento della transazione in cui quel dato viaggia ancora in chiaro.

Gli specialisti hanno sfruttato proprio questo passaggio. Con due comuni smartphone Android collegati tra loro via Wi-Fi, uno vicino alla carta scaduta e uno vicino al terminale del negozio, hanno creato un canale intermedio (un relay) capace di intercettare i dati scambiati durante la lettura della carta e modificare in tempo reale solo il campo della data di scadenza, falsificandola.

La firma digitale della carta, quella che il terminale verifica per accertarsi che non sia falsa, non copre quel campo specifico: la manipolazione passa quindi inosservata e la transazione prosegue come se la carta fosse ancora valida.

Il problema riguarda in modo specifico il Kernel 3, l’insieme di regole tecniche con cui Visa gestisce le transazioni contactless. Mastercard, American Express e Discover utilizzano kernel diversi che, nei test degli autori, hanno bloccato lo stesso tipo di manipolazione: alcuni perché confrontano la data letta dal terminale con quella inviata alla banca, altri perché includono la data di scadenza tra i dati protetti dalla firma digitale della carta.

Acquisti veri, non solo simulazioni

I ricercatori non si sono fermati ai test in laboratorio. Con carte scadute reali, sostituite dalle rispettive banche con nuove carte dallo stesso numero di conto, hanno effettuato reali acquisti in un negozio al dettaglio e in un supermercato universitario, oltre a transazioni di importo crescente fino a 500 dollari su un proprio terminale di pagamento. In un caso la banca emittente ha approvato sistematicamente le transazioni manipolate; in un altro le ha invece rifiutate, segno che le banche non applicano controlli uniformi una volta che il pagamento arriva dal terminale già dato per buono.

Muhammad Taqi Raza ha raccontato all’ufficio comunicazione dell’ateneo il ragionamento che ha dato origine allo studio, notando come un conto resti attivo anche dopo la scadenza fisica della carta, al punto da continuare ad accettare rimborsi. Da qui la domanda che ha guidato la ricerca: "se la carta può ricevere un rimborso, può anche effettuare un pagamento?" Per alcune carte, come lo studio dimostra, la risposta è affermativa.

La risposta di Visa: ancora nessuna patch

Gli autori hanno segnalato la falla a Visa e alle banche coinvolte già a maggio 2025, allegando una guida alla riproduzione dell’attacco, le tracce tecniche complete della transazione e un video dimostrativo. Un secondo contatto è avvenuto a dicembre 2025. Al momento della pubblicazione dello studio, secondo quanto riportato nello studio, il team di sicurezza di Visa aveva superato la fase di verifica iniziale della segnalazione ma stava ancora lavorando per riprodurre l’attacco in autonomia. Né Visa né le banche coinvolte avevano comunicato lo stato di eventuali correzioni.

Una verifica indipendente del sito specializzato The Hacker News, aggiornata al 20 agosto 2026, non ha trovato alcun avviso di sicurezza pubblico né indicazioni di mitigazione da parte di Visa, EMVCo (l’organismo che definisce lo standard EMV), Mastercard, Discover, American Express o del produttore di terminali SumUp, usato dai ricercatori per i test. Alla stessa data non risultava nessun codice CVE assegnato alla vulnerabilità, né casi noti di sfruttamento reale al di fuori dello studio.

Cosa propongono i ricercatori

Le contromisure suggerite dai ricercatori riguardano l’intera catena del pagamento contactless. Sul piano tecnico chiedono di vincolare crittograficamente la data di scadenza ai dati già protetti dalla firma della carta, così che una modifica in transito venga rilevata invece di passare inosservata, e di introdurre controlli di coerenza tra i diversi punti della transazione in cui quella data compare. Sul piano bancario invece propongono che le banche autorizzino i pagamenti verificando non solo il numero di conto ma anche la specifica combinazione di conto e data di scadenza presentata, e che una carta sostituita venga trattata come effettivamente revocata su tutti i canali, non solo su quelli a più alto valore.

Cosa fare?

In attesa di una correzione dal lato tecnico, la principale contromisura resta nelle mani dei titolari delle carte. Gli istituti di credito raccomandano da tempo di distruggere fisicamente le carte scadute prima di smaltirle, tagliando sia il chip EMV sia la banda magnetica, invece di limitarsi a gettarle intatte nella spazzatura o conservarle in un cassetto. Lo studio dimostra che questa precauzione, spesso trattata come superflua proprio perché si presume che una carta scaduta sia già inattiva, resta oggi l’unica barriera davvero efficace.