Quella carta Visa scaduta nel cassetto può ancora comprare la spesa
La maggior parte delle persone taglia un angolo a una carta scaduta e la butta nella spazzatura, oppure la lascia in un cassetto perché gettare via una carta bancaria sembra sbagliato. Tre ricercatori della University of Massachusetts Amherst hanno appena fornito un motivo solido per distruggerla come si deve.
Muhammad Taqi Raza, Raja Hasnain Anwar e Gerard DeCunha hanno presentato il lavoro, che chiamano attacco Zombie Card, al USENIX Security Symposium di Baltimora dal 12 al 14 agosto. La configurazione prevede due telefoni dotati di NFC posizionati tra la carta e il terminale del negozio. Uno legge la carta, l'altro riscrive la data di scadenza con una data futura, e il terminale la accetta. Il motivo è una lacuna nell'implementazione contactless di Visa, il Kernel 3: la data di scadenza non è vincolata ai dati che la carta firma crittograficamente, quindi modificarla non rompe nulla che venga verificato. Nelle parole di Anwar, funziona praticamente qualsiasi data futura. La stessa manomissione è stata provata su Mastercard, American Express e Discover, e tutte e tre l'hanno respinta.
Non si è trattato solo di risultati da laboratorio. Il team ha portato a termine transazioni presso casse reali - 2,79 dollari in un negozio, 3,19 dollari in un supermercato - oltre a importi fino a 500 dollari nei test. Funziona finché l'account dietro la carta resta aperto con lo stesso numero, che è esattamente ciò che accade quando la banca vi spedisce una carta sostitutiva. Serve anche la carta fisica, o un contatto ravvicinato prolungato con essa. I ricercatori hanno informato Visa a maggio 2025; il red team di Visa lo sta riproducendo, ma nessuna correzione è stata confermata e non è stato assegnato alcun CVE. Nessuno ha segnalato un uso reale di questa tecnica.
Il consiglio di Raza è diretto: buttate sempre via una carta scaduta, e continuate a leggere gli estratti conto degli account che avete chiuso. Distruggete il chip e la banda magnetica, non solo la plastica intorno ad essi. Nulla di tutto questo riguarda il vostro computer, il che vale la pena dirlo chiaramente - il controllo Privacy e account di Tendvane copre gli account a cui il vostro PC è collegato, e una carta in un cassetto della cucina non ne fa parte.