Zombie Card: carta Visa scaduta usata per pagare con due telefoni

La sicurezza dei pagamenti digitali basati su smartphone e terminali POS ha subito un nuovo scossone grazie a una scoperta accademica di primissimo piano. Un gruppo di ricercatori dell'Università del Massachusetts Amherst è riuscito nell'impresa di far pagare una carta Visa contactless formalmente scaduta presso negozi reali, sfruttando una lacuna strutturale nei protocolli di comunicazione senza violare in alcun modo la crittografia intrinseca della carta.

Come funziona l'attacco Zombie Card e il contesto accademico

L'attacco Zombie Card si basa sulla manipolazione mirata di un campo specifico che il terminale legge ma che, per una svista di progettazione nei protocolli, non viene protetto dalla firma crittografica della carta: stiamo parlando della data di scadenza. Questa tecnica allarmante è stata presentata ufficialmente in occasione del 35esimo USENIX Security Symposium, tenutosi a Baltimora dal 12 al 14 agosto 2026. L'operazione richiede necessariamente il possesso fisico della carta scaduta oppure, in alternativa, una prossimità NFC prolungata, abbinata a un sistema di inoltro basato su un attacco man-in-the-middle.

Affinché l'attacco vada a buon fine, sul lato bancario devono verificarsi due precise condizioni: la prima è che il conto associato resti aperto sullo stesso PAN (Primary Account Number), ovvero il numero primario che l'emittente conserva e riutilizza quando spedisce una carta sostitutiva al cliente, una procedura che costituisce la normale prassi corrente delle sostituzioni bancarie. La seconda condizione richiede che la banca emittente (identificata nel paper di ricerca come Banca A) non ricontrolli autonomamente e in autonomia la scadenza durante la fase di autorizzazione online della transazione.

Nelle prove condotte dai ricercatori americani contro la Banca A, la carta rianimata ha completato con successo transazioni reali da 1, 100 e 500 dollari su un terminale registrato sotto una categoria merceologica di servizi professionali. A queste si sono aggiunti un acquisto da 2,79 dollari presso un esercizio commerciale e uno da 3,19 dollari in un negozio di alimentari situato all'interno del campus universitario. Gli autori dello studio hanno tenuto a precisare che i due acquisti effettuati al di fuori del laboratorio rigorosamente controllato servivano unicamente a verificare la validità esterna del risultato empirico, e non costituiscono in alcun modo una misurazione statistica dell'intero ecosistema globale su esercenti, produttori di terminali e configurazioni degli emittenti bancari. Tutte le prove sperimentali sono state condotte sul territorio degli Stati Uniti.

Per realizzare materialmente il relay, il team ha impiegato due comuni smartphone Android dotati di tecnologia NFC avanzata, installando un apposito software di emulazione della carta su un dispositivo e del POS sull'altro. I due terminali mobili comunicavano tra loro via Wi-Fi. Ogni singolo scambio APDU ha aggiunto circa 20 millisecondi di latenza per il semplice inoltro dei dati e circa 50 millisecondi quando interveniva la modifica della data, raggiungendo una media complessiva di circa 415 millisecondi a transazione, rimanendo così al di sotto del limite massimo imposto dallo standard EMV fissato a 500 millisecondi per comando. Di rilievo il fatto che nessuna delle carte e nessuno dei terminali impiegati nel banco di prova implementasse il Relay Resistance Protocol, ovvero la contromisura opzionale definita da EMV che limita rigorosamente il tempo di risposta ammesso e che avrebbe potuto intercettare e bloccare la latenza aggiunta dall'inoltro.

La discrepanza tra la data letta dal terminale e quella inviata alla banca

Per comprendere appieno la vulnerabilità, bisogna analizzare il flusso dei dati in una transazione contactless standard. All'interno di uno scambio con carta Visa, la data di scadenza viene trasmessa in due punti distinti, e le due differenti rappresentazioni finiscono inevitabilmente a destinatari diversi. Il terminale POS valuta le proprie restrizioni locali di elaborazione basandosi sulla cosiddetta Application Expiration Date, la quale viene trasportata all'interno del tag TLV 5F24. Al contrario, l'emittente bancario ricava la scadenza direttamente dal Track 2 Equivalent Data, identificato dal tag 57, che viaggia all'interno del pacchetto della richiesta di autorizzazione online.

Il Kernel 3 di Visa, secondo quanto evidenziato nel paper di ricerca, non impone in alcun modo che questi due distinti valori siano strettamente legati fra loro. Inoltre, la firma fDDA (Fast Dynamic Data Authentication) che il terminale verifica durante la procedura esclude completamente il tag 5F24. Il sistema di relay si limita quindi a riscrivere la data rivolta al terminale inserendo un valore futuro qualsiasi, lasciando però del tutto intatto il Track 2. In questo modo, sia la firma crittografica della carta che il crittogramma verificato direttamente dall'emittente rimangono perfettamente validi e formali. All'attaccante malintenzionato non serve nemmeno conoscere la scadenza reale della nuova carta sostitutiva spedita dalla banca: è sufficiente impostare una qualsiasi data successiva a quella in cui avviene la transazione.

Come evidenziato da Raja Hasnain Anwar, dottorando del Khwarizmi Lab e primo autore del lavoro di ricerca, in un comunicato ufficiale diffuso dall'ateneo: "Eppure non è protetta crittograficamente, quindi possiamo modificarla facilmente per ingannare il POS". Va inoltre sottolineato che una carta scaduta riesce comunque a superare senza problemi l'autenticazione offline dei dati. Questo accade perché la durata dei certificati digitali dell'emittente e del chip integrato è fissata in modo completamente indipendente dalla data di scadenza dell'applicazione e, di norma, sopravvive alla data fisica stampata sulla plastica. La chiave privata residente all'interno della carta non possiede alcuna nozione temporale di scadenza. Il Kernel 3 prescrive inoltre che i Terminal Verification Results inoltrati all'emittente siano impostati tutti a zero, impedendo di fatto alla banca di venire a conoscenza del fatto che il terminale abbia eseguito o fallito il proprio controllo locale sulla data.

Perché sugli altri kernel la modifica non passa

La forza e la specificità dell'attacco Zombie Card emergono chiaramente quando i ricercatori hanno testato la medesima tecnica di manipolazione contro gli altri tre principali kernel EMV contactless, ovvero le implementazioni proprietarie del protocollo specifiche per ciascun circuito di pagamento internazionale.

Analizzando il comportamento dei competitor, emergono difese strutturali molto più solide:

• Mastercard (Kernel 2): Il terminale confronta meticolosamente le due diverse rappresentazioni della scadenza mentre analizza i record della carta, trattando qualsiasi discordanza come un errore critico dei dati e declinando l'operazione anziché ripiegare sull'autorizzazione online.
• American Express (Kernel 4): La data di scadenza costituisce un elemento obbligatorio e indissolubile, strettamente legato ai dati statici coperti dall'autenticazione offline; qualsiasi tentativo di manomissione genera un errore di hash durante la delicata fase di verifica della firma.
• Discover (Kernel 6): L'architettura sfrutta la Combined Dynamic Data Authentication, che lega indissolubilmente gli oggetti TLV restituiti dalla carta all'hash della transazione verificata, portando al rigetto immediato delle transazioni modificate.

Soltanto l'implementazione del Kernel 3 di Visa ha mostrato la falla, lasciando passare la modifica e superando brillantemente il controllo delle restrizioni di elaborazione locale.

Il contesto della sicurezza mobile e i malware correlati

La tecnica del relay NFC non rappresenta un unicum isolato nel panorama della tecnologia finanziaria moderna. Nello stesso periodo in cui veniva presentato lo studio accademico, la rinomata società di sicurezza informatica Group-IB, con sede a Singapore, ha descritto e documentato l'esistenza di pericolose famiglie di malware per Android, tra cui il software malevolo battezzato WindRelay, attivamente diffuso in Europa centrale attraverso sofisticate campagne di ingegneria sociale affiancate al trojan bancario SpyNote.

Anche se strumenti come WindRelay non modificano direttamente le date di scadenza come fa l'attacco Zombie Card, ma si limitano a inoltrare flussi di carte di credito perfettamente attive in tempo reale sfruttando dispositivi compromessi, dimostrano in modo inequivocabile come l'infrastruttura hardware e software dei moderni dispositivi mobili possa essere manipolata per aggirare le protezioni di prossimità tradizionali. È possibile approfondire dinamiche di sicurezza e normative digitali simili leggendo l'articolo sull'stretta sulle Big Tech e nuove normative, utile per comprendere come variano le tutele per gli utenti a livello internazionale.