Zombie Card, la falla delle carte Visa scadute: cosa sapere

Zombie Card e circuito Visa: perché continuano a funzionare

Un gruppo di studiosi dell'Università del Massachussets ha scoperto una grave falla nelle carte di credito Visa. Sembra che le carte scadute o gettate via possano essere ancora utilizzate, tanto da averle soprannominate "Zombie Card", ovvero carte zombie che "tornano in vita".

Come è possibile e quali sono i rischi per i dati sensibili? I pagamenti con carta di credito sono sempre sicuri? Gli esperti spiegano che la maggior parte delle carte in circolazione sfrutta la tecnologia wireless NFC per consentire i pagamenti con carta contactless.

In ragione di ciò, superata la data di scadenza, la carta non dovrebbe essere più accettata, eppure non sempre è così. La scadenza, infatti, non è una proprietà crittografica della carta, cioè un dato protetto e verificabile, bensì un controllo che i POS eseguono localmente in un momento in cui quel dato è ancora valido.

Il test, la verifica e la falsificazione della data di scadenza della carta

Per verificare il funzionamento delle carte Visa anche dopo la scadenza, gli studiosi hanno utilizzato due smartphone collegati tramite Wi-Fi, posizionandoli rispettivamente vicino alla carta scaduta e accanto al terminale del negozio.

Poi hanno creato un canale in grado di intercettare i dati scambiati durante la lettura della carta, modificando il campo della data di scadenza, falsificandola.

La firma digitale della carta, utilizzata dal terminale per verificarne l'autenticità, non protegge quel particolare campo. Di conseguenza, l'alterazione non viene rilevata e la transazione procede normalmente, come se la carta fosse ancora valida.

Scoperta la falla, i ricercatori hanno effettuato acquisti reali con carte scadute, sostituite dalle stesse banche con nuove carte dallo stesso numero di conto corrente.

Solo Carte Visa? American Express, Mastercard e Discover non sono manipolabili

La falla scoperta dai ricercatori riguarda nello specifico le carte contactless Visa che utilizzano il sistema di gestione delle transazioni Kernel 3.

Il team ha segnalato il problema a Visa e alle banche coinvolte già nel maggio 2025, fornendo una guida per riprodurre l'attacco, le tracce tecniche delle transazioni e un video dimostrativo, per poi tornare sull'argomento con un secondo contatto a dicembre.

Al momento della pubblicazione dello studio, Visa aveva completato la prima fase di verifica della segnalazione e stava cercando di riprodurre autonomamente l'attacco, ma non aveva ancora comunicato l'eventuale disponibilità di una correzione.

Anche una verifica aggiornata al 20 agosto 2026 non ha rilevato comunicazioni pubbliche o indicazioni di mitigazione da parte della società.

In attesa di eventuali interventi tecnici, ai titolari di carte Visa resta soprattutto una precauzione: distruggere fisicamente le carte scadute, danneggiando sia il chip sia la banda magnetica, invece di gettarle intatte o conservarle.

Il problema non riguarda Mastercard, American Express e Discover: nei test dei ricercatori, i rispettivi sistemi hanno impedito la manipolazione della data di scadenza grazie a controlli differenti, che la collegano ai dati verificati crittograficamente o ne confrontano le diverse copie.