Attacchi relay NFC, il trucco che mette a rischio i pagamenti contactless

Funzionamento degli attacchi relay NFC spiegato

Per comprendere gli attacchi relay NFC bisogna partire dal funzionamento normale dello scambio dati. Il POS e la carta dialogano a pochi centimetri, in tempo quasi reale. In condizioni standard, il lettore invia una richiesta, la carta risponde e l’operazione termina in frazioni di secondo. In un relay attack due dispositivi, controllati dal criminale, si inseriscono tra carta e POS. Uno è vicino alla vittima, l’altro al terminale di pagamento. I due apparecchi comunicano tra loro via Wi‑Fi o rete mobile e inoltrano i messaggi come un cavo invisibile. Il POS crede di parlare con la carta, ma in realtà dialoga con un proxy. Nel 2026 diversi test di laboratorio, citati dai principali vendor di sicurezza, hanno dimostrato transazioni riuscite con distanza superiore ai 50 metri. In alcuni casi, lo smartphone della vittima restava in tasca, mentre il truffatore usava un altro telefono collegato a un POS compromesso. Il tempo aggiuntivo di trasmissione era minimo e non faceva scattare gli allarmi. Il punto chiave è che il sistema non viene forzato dall’interno. L’attacco sfrutta protocolli legittimi, solo «allungati» nel tempo e nello spazio. Proprio questa caratteristica rende più difficile il rilevamento automatico e richiede difese progettate fin dall’architettura.

Strumenti per attacchi relay NFC nei nuovi scenari

Gli attacchi relay NFC non richiedono più attrezzature da laboratorio, come accadeva dieci anni fa. Oggi bastano smartphone modificati e app sviluppate ad hoc. Le ricerche citate nel blog ufficiale di vendor come Kaspersky mostrano un’evoluzione chiara. Criminali combinano malware Android, lettori NFC portatili e piccole board programmabili. Un telefono vicino alla vittima cattura il segnale della carta o del wallet digitale. Un secondo dispositivo, anche a grande distanza, replica quel segnale davanti a un POS. Alcune varianti usano smartcard programmate per emulare carte di pagamento, alimentate da script che gestiscono i tempi di comunicazione. Nel 2024 un test indipendente europeo ha dimostrato un attacco riuscito con due comuni smartphone Android di fascia media. Un’app non presente su Play Store, ma diffusa nei forum alternativi, gestiva l’inoltro cifrato dei comandi tra i telefoni. L’operatore vicino alla vittima restava in un luogo affollato, ad esempio su un tram. Il complice effettuava micropagamenti ripetuti presso un piccolo esercente compiacente. Questi scenari si affiancano alle frodi tradizionali, come lo skimming dei bancomat. Tuttavia, risultano più difficili da notare, perché non lasciano segni fisici. Per questo le strategie di difesa devono considerare sia il livello software, sia il controllo sulle periferiche hardware usate dai criminali.

Attacchi relay NFC nei pagamenti contactless reali

Gli attacchi relay NFC sfruttano ambienti caotici e gesti ripetuti. Più transazioni fai, più aumenta la superficie di esposizione quotidiana. Gli esperti osservano tre contesti ricorrenti: trasporto pubblico, grandi centri commerciali e aree degli eventi. In metropolitana, un criminale può avvicinare un dispositivo NFC alla tua borsa senza farsi notare. In galleria commerciale, può restare vicino a te con lo smartphone mentre navighi tra i negozi. Negli stadi o ai concerti, la folla rende quasi impossibile capire chi ti tocca davvero. Ecco i principali elementi che rendono critico lo scenario reale:

• Affollamento che riduce la percezione delle distanze personali
• Uso continuo di carte e smartphone per piccoli pagamenti
• Distrazione dovuta a spostamenti, musica o notifiche sul telefono
• Carenza di barriere fisiche tra cliente e dispositivi di lettura

Nel 2023 alcune banche europee hanno segnalato anomalie su micropagamenti ravvicinati, tutti sotto i 25 euro. Le indagini hanno ipotizzato l’uso combinato di app relay e POS compromessi presso piccoli esercenti. Nessuna violazione massiva dei sistemi centrali, ma tante operazioni singole difficili da contestare. Nel mondo reale la linea di difesa non è solo tecnologica. Conta anche la consapevolezza del contesto, soprattutto nei luoghi dove la densità di dispositivi contactless è più alta e il controllo visivo è minore.

Difese efficaci contro gli attacchi relay su carte, smartphone e POS

Limitare il rischio degli attacchi relay nfc richiede più livelli di protezione. Nessuna singola misura basta, ma combinarle riduce moltissimo la superficie d’attacco. Per le carte fisiche, le soluzioni più concrete sono banali ma efficaci: custodie schermate e disattivazione del contactless quando non serve. Su smartphone e smartwatch, invece, diventa decisivo il controllo delle app e dei permessi NFC. I vendor di sicurezza raccomandano di installare solo software da store ufficiali e di aggiornare regolarmente il sistema. L’abilitazione del pagamento solo con sblocco biometrico riduce l’uso non autorizzato del wallet. Sul fronte infrastrutturale, i gestori di POS e terminali possono introdurre limiti dinamici. Per esempio, monitorare la latenza delle transazioni e bloccare quelle con tempi anomali rispetto alla media. Algoritmi di rischio valutano posizione, importo, frequenza e storico del cliente, segnalando schemi sospetti. Alcuni circuiti testano già modelli comportamentali, progettati per individuare la «firma» tipica di un relay. Per le aziende, una politica di sicurezza digitale strutturata include audit periodici sui terminali, segmentazione delle reti e formazione del personale. Anche piccoli esercenti possono beneficiare di linee guida chiare su sostituzione dei POS obsoleti, gestione delle connessioni e verifica delle anomalie di cassa.

Responsabilità condivise tra banche, esercenti e fornitori tecnologici

Gli attacchi relay NFC dimostrano che la sicurezza dei pagamenti non è solo compito del singolo utente. L’intera filiera deve collaborare in modo strutturato. Le banche possono introdurre controlli più intelligenti sui micropagamenti, senza bloccare l’esperienza d’uso. Motori antifrode moderni analizzano pattern di spesa in tempo reale e applicano autenticazione aggiuntiva solo quando serve. I circuiti di pagamento, dal canto loro, possono rafforzare gli standard su tokenizzazione e gestione delle chiavi crittografiche. I produttori di smartphone e sistemi operativi hanno il compito di chiudere le falle che permettono alle app malevole di usare l’NFC in modo improprio. Gli esercenti, spesso anello debole, devono controllare la provenienza dei terminali e aggiornare il firmware dei POS. Contratti trasparenti con i provider di servizi di pagamento riducono il rischio di dispositivi non certificati. I fornitori tecnologici, infine, possono offrire strumenti di monitoraggio per individuare transazioni con latenza sospetta o provenienza geografica incoerente. Quando ognuno assume la propria parte di responsabilità, il sistema nel suo complesso diventa più resiliente. La lotta agli attacchi relay non passa da un’unica soluzione miracolosa, ma da un ecosistema progettato per considerare l’abuso del protocollo come scenario standard di rischio.

Verso una nuova cultura della sicurezza nei pagamenti senza contatto

La diffusione degli attacchi relay NFC costringe a rivedere un’idea comoda ma fragile: che la vicinanza fisica basti a proteggere il denaro digitale. La tecnologia contactless non è nata per essere insicura, ma per essere rapida. Sono i nuovi modi di abusarne che la trasformano in un potenziale punto cieco. Le informazioni emerse negli ultimi anni, e le ricerche su Android e sugli ecosistemi mobili, mostrano una tendenza chiara: i criminali non cercano più solo di rubare codici, ma di manipolare i protocolli legittimi. Questo rende le frodi più subdole e meno visibili, soprattutto quando si sommano in una miriade di piccoli importi. Resta però una verità rassicurante: progettare difese efficaci è possibile. Richiede attenzione continua, aggiornamenti costanti e un dialogo serio tra utenti, banche e fornitori tecnologici. La vera domanda, oggi, non è se il contactless sia sicuro in assoluto. È se la nostra cultura digitale sia matura abbastanza per comprenderne i limiti e pretendere soluzioni all’altezza della fiducia che ogni giorno riponiamo in un semplice gesto davanti al POS.