Alcuni ricercatori del Politecnico federale di Zurigo (ETH) hanno identificato una vulnerabilità delle carte di pagamento che permette di eseguire attacchi mirati sia contro i titolari delle carte, sia contro gli esercenti. Hanno anche messo a punto dei proof of concept che dimostrano la fattibilità degli attacchi.

Tutto ruota attorno all'EMV, acronimo di Europay, MasterCard e Visa, le tre aziende che a metà degli anni '90 svilupparono questo standard per la tutela dei pagamenti tramite smart card (le carte con il microchip, ormai molto diffuse). Oggi EMV è utilizzato in più dell'80% delle transazioni in tutto il mondo.

Finora EMV è stato ritenuto sicuro. Tuttavia, i ricercatori di ETH ne hanno di recente messo in discussione l'affidabilità. In un documento appena pubblicato, David Basin, Ralf Sasse e Jorge Toro-Pozo scrivono di avere trovato delle vulnerabilità che potrebbero essere sfruttate per vanificare la verifica del PIN sulle transazioni contactless Visa.
I ricercatori parlano esplicitamente di difetti logici, che portano a due attacchi. Il primo attacco permetterebbe ai criminali di effettuare acquisti anche senza conoscere il PIN della carta, servendosi di uno smartphone per effettuare il pagamento. Nel secondo attacco, il terminale sarebbe indotto ad accettare temporaneamente una transazione offline non autentica. Al momento del rifiuto, "il criminale avrebbe già fatto in tempo ad allontanarsi con la merce".

Il modello proposto dai ricercatori prende in considerazione tutti e tre gli elementi presenti in una sessione EMV: la banca, il terminale e la carta. Dimostra che il metodo di verifica del titolare della carta non è autenticato e non è protetto crittograficamente contro la modifica. Per questi motivi è possibile bypassare la verifica del PIN utilizzando un'applicazione Android appositamente fabbricata.

Quest'ultima realizza il più classico degli attacchi: quello di tipo man-in-the-middle. Induce il terminale di pagamento a credere che la verifica del PIN sia già stata eseguita sul dispositivo del consumatore (per esempio lo smartphone) e pertanto non necessaria. Così facendo un cyber criminale potrebbe usare carte Visa rubate per le transazioni contactless senza conoscere il PIN della carta.

I ricercatori spiegano di avere testato con successo questo tipo di attacco su terminali reali, usando carte Visa Credit, Visa Electron e VPay. 

Il secondo tipo di attacco si può mettere in atto con transazioni contactless offline in cui viene utilizzata una vecchia carta Visa o Mastercard. Qui il problema è che la carta, essendo obsoleta, non autentica al terminale l'Application Cryptogram (AC). Può accadere che il terminale accetti temporaneamente la transazione offline, salvo poi identificare, con ampio ritardo, il crittogramma sbagliato.

I ricercatori hanno informato dei risultati le società produttrici delle carte, proponendo correzioni che possono essere applicate sia dalle banche sia da Visa e Mastercard. In ogni caso, le correzioni non richiedono modifiche allo standard EMV stesso, ma solo alla sua modalità di applicazione.