Lo Square Reader è un piccolo lettore di carte di credito "mobile", piuttosto popolare negli USA: la possibilità del suo utilizzo in mobilità e il costo contenuto rispetto a un lettore fisso lo hanno reso infatti la scelta d'elezione per molti gestori di piccole attività.

Lo si collega a uno smartphone o a un tablet e questo, grazie all'app ufficiale, si trasforma in un lettore di carte completo di tutte le funzionalità e in grado di gestire facilmente i pagamenti.

Ora però uno studio ha mostrato come sia possibile trasformare il lettore in uno skimmer portatile, senza nemmeno troppa fatica.

Per approfondire:

Due vulnerabilità di carte di credito col chip

Le migliori 5 carte prepagate per l'estate 2015

Pensare prima di postare: @needadebitcard

La carta di credito impossibile da falsificare

Bastano un cacciavite, un po' di colla e 10 minuti per modificare lo Square Reader affinché rubi i dati della carta di credito, anziché limitarsi a utilizzarli per gestire un acquisto: un commerciante poco onesto o qualunque altro malintenzionato potrebbero approfittarne facilmente.

Secondo i ricercatori il dispositivo contiene diversi problemi di sicurezza, in parte dovuti al fatto che per contenere i costi sarebbero state fatte delle scelte di compromesso nella realizzazione, come decidere di affidarsi all'interazione diretta con gli smartphone: ciò apre la strada all'utilizzo di app non ufficiali e potenzialmente pericolose.

Il problema più grave sta però nel fatto che agendo sull'hardware è possibile disattivare la crittografia che normalmente protegge la trasmissione dei dati delle carte di credito: i ricercatori hanno mostrato come ciò avviene durante l'ultima Black Hat Conference di Las Vegas.

Square, dal canto proprio, ha affermato che modificare in tal modo un Reader ha come effetto collaterale l'impossibilità di adoperare l'app ufficiale: un cliente potrebbe quindi accorgersi che c'è qualcosa che non va. Tuttavia è difficile che il cliente verifichi quale app sia in uso, ed è sempre possibile sviluppare un software che imiti nell'aspetto quello originale ma venga usato per scopi illeciti.

L'azienda ha sollevato poi un'altra obiezione circa le colpe che il suo lettore avrebbe secondo i ricercatori: sostiene infatti che le debolezze rilevate non si possono imputare al dispositivo in particolare, quanto al sistema basato su banda magnetica in generale.

Lo Square Reader è infatti molto diffuso negli USA perché lì sono ancora molto utilizzate le carte di credito a banda magnetica anziché quelle più moderne, dotate di chip e protette da un PIN.

«Nel 2015» - scrive Square - «non dovrebbe sorprenderci che un sistema che adopera sostanzialmente la stessa tecnoogia delle audiocassette sia vulnerabile».

Inoltre - aggiunge l'azienda - «ogni lettore di carte sul mercato può essere smontato. Il chip può essere distrutto e riassemblato utilizzato la scocca».

Per quanto poi riguarda un'ulteriore vulnerabilità, questa volta software, che permette ai commercianti disonesti di ripetere una "strisciata" già effettuata, Square ha risposto che ciò è possibile una volta sola e, dato che quindi i dati possono essere soltanto limitati, l'azienda «non lo vede come un rischio per la sicurezza».