{"id":559400,"date":"2026-06-28T00:47:34","date_gmt":"2026-06-28T00:47:34","guid":{"rendered":"https:\/\/www.europesays.com\/it\/559400\/"},"modified":"2026-06-28T00:47:34","modified_gmt":"2026-06-28T00:47:34","slug":"italia-nel-mirino-del-gruppo-tx-nfc-la-nuova-tecnica-di-attacco-punta-alle-carte-di-credito","status":"publish","type":"post","link":"https:\/\/www.europesays.com\/it\/559400\/","title":{"rendered":"Italia nel mirino del gruppo TX-NFC: la nuova tecnica di attacco punta alle carte di credito"},"content":{"rendered":"

I sistemi di pagamento tramite smartphone, come Google Pay<\/strong>, garantiscono teoricamente un livello di sicurezza superiore rispetto all\u2019uso della carta di credito fisica. L\u2019uso della tokenizzazione, infatti, \u201cnasconde\u201d il numero della carta di credito e impedisce quindi che qualcuno possa leggerlo e riutilizzarlo<\/strong>.<\/p>\n

Alla base di questa funzionalit\u00e0 c\u2019\u00e8 la tecnologia NFC (Near Field Communication)<\/a><\/strong>, utilizzata sia per i pagamenti, sia per collegare la carta di credito al proprio wallet. Nelle mani dei cyber criminali, per\u00f2, le informazioni disponibili tramite NFC si trasformano in un perfetto grimaldello che permette di sottrarre denaro dai conti delle ignare vittime<\/strong>.<\/p>\n

Attraverso uno spregiudicato schema ispirato al \u201cmalware as a service\u201d, il gruppo TX-NFC sfrutta questa particolare tecnica di clonazione delle carte di credito per intascare migliaia di euro. Nel mirino, secondo un report di Group-IB, sono recentemente finite Italia, Spagna, Polonia e Germania.<\/p>\n

Scacco matto in due mosse<\/p>\n

La tecnica utilizzata dal malware<\/a> realizzato da TX-NFC, come spiegato nel report di Group-IB, poggia su due componenti fondamentali. Il primo \u00e8 un software che consente di leggere i dati della carta di credito tramite NFC sul telefono della vittima.<\/p>\n

La sua diffusione avviene tramite tecniche di ingegneria sociale, come lo smishing<\/a> (phishing<\/a> tramite messaggio \u2013 ndr) o il vishing<\/a>, cio\u00e8 il contatto diretto tramite chiamata telefonica. \u201cNella maggior parte dei casi, i cyber criminali si spacciano per impiegati dell\u2019istituto di credito della potenziale vittima<\/strong>, inducendola a installare il malware facendo leva sulla necessit\u00e0 di aggiornare l\u2019applicazione bancaria\u201d spiega a Cybersecurity360 Anastasia Tikhonova, Global Threat Research Lead di Group-IB<\/strong>. \u201cIn molti casi si appoggiano a siti di phishing che replicano esattamente quelli originali\u201d.<\/p>\n

Una volta installata l\u2019app malevola, alla vittima viene richiesto di utilizzare la connessione contactless con la carta di credito per associare l\u2019applicazione al suo account. In realt\u00e0, questa operazione permette al malware di esfiltrare una serie di informazioni dalla carta stessa. I dati recuperati in questo modo vengono trasmessi a un server Command and Control che li memorizza.<\/p>\n

Ed \u00e8 qui che entra in gioco la seconda applicazione che funziona come emulatore della carta di credito<\/strong> e permette ai pirati informatici di eseguire pagamenti tramite smartphone che verranno poi addebitati sul conto della vittima.<\/p>\n

Una campagna difficile da contrastare<\/p>\n

Una delle caratteristiche del gruppo TX-NFC \u00e8 quello di operare attraverso uno schema di malware as a service<\/a>, con caratteristiche diverse rispetto a quelle adottate normalmente dai gruppi specializzati i ransomware. Di solito, infatti, questi sistemi di cooperazione prevedono una forma di collaborazione fattuale nel corso degli attacchi e, in caso di successo, la partecipazione ai guadagni.<\/p>\n

TX-NFC ha invece deciso di fornire il suo malware chiedendo il pagamento di una sorta di \u201cabbonamento\u201d, senza creare alcun vincolo operativo con gli affiliati<\/strong>. \u201cIl contatto avviene prevalentemente tramite un canale Telegram \u2013 spiega Tikhonova \u2013 dal quale abbiamo anche potuto fare una stima del numero di partecipanti alla campagna. Dai messaggi presenti emerge che ci sarebbero circa 25.000 criminali che hanno sottoscritto il servizio<\/strong>\u201d.<\/p>\n

Un vero esercito di truffatori, che nella maggior parte dei casi operano individualmente o in piccolo gruppi adottando modus operandi e tecniche di attacco diverse. Una sorta di incubo per gli esperti di cyber security, dal momento che una simile frammentazione rende praticamente impossibile contrastare gli attacchi individuando, per esempio, le infrastrutture IT usate per portare gli attacchi.<\/p>\n

A complicare ulteriormente le cose, c\u2019\u00e8 anche il fatto che i cyber criminali possono monetizzare l\u2019attacco attraverso numerose tecniche. \u201cNelle nostre indagini abbiamo individuato strategie diverse\u201d spiega Tikhonova. \u201cUna di queste \u00e8 quella di utilizzare dei POS nella disponibilit\u00e0 dei criminali, ma abbiamo anche registrato organizzazioni che si limitano a eseguire acquisti che vengono poi addebitati sul conto della vittima<\/strong>\u201d. In uno dei casi citati nel rapporto, un singolo POS ha permesso ai truffatori di incassare pagamenti per oltre 300.000 euro.<\/p>\n

Come sottolinea l\u2019esperta di Group-IB, il fenomeno non \u00e8 nuovo ed \u00e8 stato individuato gi\u00e0 nel 2025. L\u2019anno scorso, per\u00f2, il malware veniva utilizzato prevalentemente in Asia e Medioriente. Adesso, invece, il giro si \u00e8 allargato all\u2019Europa e, in particolare, a Italia, Spagna, Polonia e Germania<\/strong>.<\/p>\n

Il nodo dei controlli degli istituti di credito<\/p>\n

Dal momento che il malware sviluppato da TX-NFC non sfrutta una vera e propria vulnerabilit\u00e0 e che la strategia adottata per il suo utilizzo permette loro di esporsi il meno possibile, le strategie per contrastare questo tipo di attacco possono fare leva soltanto sulla capacit\u00e0 di utenti e istituti di credito di individuare le transazioni malevole.<\/p>\n

\u201cNella maggior parte dei casi i truffatori preferiscono sottrarre piccole somme di denaro, in modo che abbiano maggiori probabilit\u00e0 di passare inosservate\u201d sottolinea Tikhonova. \u201cIn alcune versioni del malware, per\u00f2, abbiamo individuato accorgimenti che mirano a offuscare le attivit\u00e0 attraverso strumenti tecnologici\u201d.<\/p>\n

Nel dettaglio, l\u2019esperta di Group-IB cita la possibilit\u00e0 che l\u2019applicazione malevola, oltre a sottrarre i dati della carta di credito, integri un sistema che \u00e8 in grado di bloccare le notifiche dei pagamenti effettuati inviate tramite l\u2019app bancaria legittima<\/strong>.<\/p>\n

\u201cPurtroppo molti utenti prestano scarsa attenzione ai permessi che vengono concessi alle applicazioni nel momento dell\u2019installazione\u201d prosegue. \u201cI cyber criminali fanno leva su questo per coprire le loro attivit\u00e0\u201d.<\/p>\n

In assenza di una notifica, infatti, l\u2019unico modo per accorgersi del problema sarebbe quello di controllare manualmente tutte le transazioni registrate sul conto.<\/p>\n

Qualcosa che ben poche persone fanno abitualmente.<\/p>\n

Ben pi\u00f9 efficaci sono i controlli che, sempre pi\u00f9 spesso, vengono eseguiti automaticamente dalle banche e che si basano sulle abitudini dei clienti, la geolocalizzazione delle transazioni e un\u2019analisi degli orari in cui vengono effettuate<\/strong>.<\/p>\n

\u201cSe un utente effettua una transazione sospetta \u00e8 possibile bloccarla. In questo scenario dobbiamo considerare questo tipo di controlli come l\u2019unico strumento realmente efficace per bloccare il fenomeno\u201d, conclude Anastasia Tikhonova.<\/p>\n","protected":false},"excerpt":{"rendered":"I sistemi di pagamento tramite smartphone, come Google Pay, garantiscono teoricamente un livello di sicurezza superiore rispetto all\u2019uso…\n","protected":false},"author":3,"featured_media":559401,"comment_status":"","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"footnotes":"","_share_on_mastodon":"0"},"categories":[173],"tags":[7361,53814,1174,1537,90,89,53015,3644,197085,195,198,199,197,200,201,308454,163154,182990,194,196,308455],"class_list":["post-559400","post","type-post","status-publish","format-standard","has-post-thumbnail","category-scienza-e-tecnologia","tag-android","tag-applicazioni","tag-infrastrutture","tag-it","tag-italia","tag-italy","tag-malware","tag-phishing","tag-ransomware","tag-science","tag-science-and-technology","tag-scienceandtechnology","tag-scienza","tag-scienza-e-tecnologia","tag-scienzaetecnologia","tag-security-awareness","tag-smishing","tag-social-engineering","tag-technology","tag-tecnologia","tag-vishing"],"share_on_mastodon":{"url":"https:\/\/pubeurope.com\/@it\/116824981331440610","error":""},"_links":{"self":[{"href":"https:\/\/www.europesays.com\/it\/wp-json\/wp\/v2\/posts\/559400","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.europesays.com\/it\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.europesays.com\/it\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.europesays.com\/it\/wp-json\/wp\/v2\/users\/3"}],"replies":[{"embeddable":true,"href":"https:\/\/www.europesays.com\/it\/wp-json\/wp\/v2\/comments?post=559400"}],"version-history":[{"count":0,"href":"https:\/\/www.europesays.com\/it\/wp-json\/wp\/v2\/posts\/559400\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.europesays.com\/it\/wp-json\/wp\/v2\/media\/559401"}],"wp:attachment":[{"href":"https:\/\/www.europesays.com\/it\/wp-json\/wp\/v2\/media?parent=559400"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.europesays.com\/it\/wp-json\/wp\/v2\/categories?post=559400"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.europesays.com\/it\/wp-json\/wp\/v2\/tags?post=559400"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}