--- id: CP-086 slug: clonazione-badge-accesso-nfc-rfid lang: it title: Clonazione dei badge di accesso NFC e RFID description: Un badge di accesso contactless può essere copiato o ritrasmesso senza che chi lo porta se ne accorga. Cosa si sa, cosa si vede e cosa fare. canonical_url: https://startbrain.io/cyberpedia/it/articles/clonazione-badge-accesso-nfc-rfid/ markdown_url: https://startbrain.io/cyberpedia/it/articles/clonazione-badge-accesso-nfc-rfid.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, «Clonazione dei badge di accesso NFC e RFID», Cyberpedia, 2026. https://startbrain.io/cyberpedia/it/articles/clonazione-badge-accesso-nfc-rfid/ (CC BY 4.0) wing: 1 theme: secure_devices reflex: cr-053 schema: G3 updated: "2026-11-03" translations: it: https://startbrain.io/cyberpedia/it/articles/clonazione-badge-accesso-nfc-rfid/ fr: https://startbrain.io/cyberpedia/fr/articles/clonage-badges-acces-nfc-rfid/ en: https://startbrain.io/cyberpedia/en/articles/nfc-rfid-access-badge-cloning/ de: https://startbrain.io/cyberpedia/de/articles/klonen-zutrittsbadges-nfc-rfid/ es: https://startbrain.io/cyberpedia/es/articles/clonacion-tarjetas-acceso-nfc-rfid/ nl: https://startbrain.io/cyberpedia/nl/articles/klonen-toegangsbadges-nfc-rfid/ sources: - "n": 1 title: Multi-Factor Authentication Interception, Technique T1111 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1111/ accessed: "2026-11-03" - "n": 2 title: Adversary-in-the-Middle, Technique T1557 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1557/ accessed: "2026-11-03" - "n": 3 title: Hardware Additions, Technique T1200 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1200/ accessed: "2026-11-03" - "n": 4 title: SP 800-116 Rev. 1, Guidelines for the Use of PIV Credentials in Facility Access | CSRC publisher: NIST url: https://csrc.nist.gov/pubs/sp/800/116/r1/final published: "2018-06-29" accessed: "2026-11-03" --- # Clonazione dei badge di accesso NFC e RFID Un badge di accesso serve ad aprire una porta, un tornello o un ascensore senza toccare nulla. Il badge dialoga con un lettore a breve distanza, e in linea di principio questo dialogo può essere copiato o ritrasmesso da un terzo. Questa scheda spiega l'idea dal punto di vista del dipendente e ciò che può fare nel proprio ruolo. Una precisazione di metodo. Le fonti citate qui sono schede generali sull'hardware malevolo, sull'intercettazione delle comunicazioni e sull'autenticazione forte, più una raccomandazione statunitense sulle tessere di accesso. Nessuna descrive in dettaglio la clonazione dei badge a 125 kHz, le debolezze di MIFARE Classic o una dimostrazione pubblica con Proxmark o Chameleon. Questi punti non sono quindi affermati qui. ## In 30 secondi - Dove accade: all'ingresso dei locali e ovunque un badge venga presentato a un lettore. Le fonti citate qui non indicano un luogo preciso per la copia in sé. - Cosa vuole l'attaccante: ottenere credenziali per accedere a sistemi, servizi e risorse di rete [1]. - Se è già successo: segnali subito lo smarrimento o il sospetto al responsabile della sicurezza dei locali, che può revocare il badge. - Il riflesso: non lasci un badge incustodito, lo riponga quando non lo usa e segnali qualsiasi dispositivo sconosciuto collegato o appoggiato vicino a un lettore o a una rete. ## Domande dirette ### Posso accorgermi che il mio badge è stato copiato? Le fonti citate qui non lo dicono. Descrivono altri casi in cui l'attacco passa da un intermediario posto tra due dispositivi [2]. Occorre quindi ragionare così: l'assenza di segnali non prova nulla. ### Un badge recente è al sicuro? Le fonti non stabiliscono che un modello di badge sia al sicuro. Il NIST pubblica raccomandazioni sull'uso delle carte PIV, le carte d'identità professionali statunitensi, nel controllo degli accessi agli edifici. Si basano su una strategia fondata sul rischio per scegliere il meccanismo di autenticazione adatto [4]. La scelta del meccanismo dipende dunque dal rischio del luogo, non da una regola unica. ### Che cosa devo fare se perdo il badge? Una scheda MITRE raccomanda, per le smart card, di rimuoverle quando non vengono usate [1]. Per un badge smarrito, la segnalazione immediata permette all'organizzazione di disattivarlo. Quest'ultima indicazione è buon senso organizzativo e non proviene da nessuna delle fonti citate. ## Nei panni dell'attaccante Le schede di MITRE ATT&CK descrivono attaccanti che puntano al mezzo di autenticazione piuttosto che alla sola password. La scheda sull'intercettazione dell'autenticazione a più fattori cita le smart card e i generatori di codici tra i meccanismi presi di mira [1]. Precisa che, per una smart card, serve un keylogger per ottenere la password associata durante il normale utilizzo [1]. Con la carta inserita e questa password, l'attaccante può collegarsi a una risorsa facendo passare l'autenticazione dalla postazione infetta [1]. Una logica affine esiste per le comunicazioni: porsi tra due dispositivi per raccogliere informazioni o agire al loro posto [2]. L'idea di un relay in tempo reale tra un badge e una porta lontana rientra in questa famiglia di attacchi, ma le fonti citate qui non la applicano ai badge di accesso. ## Cosa si vede sullo schermo Per un badge, di norma non c'è alcuno schermo. Le fonti descrivono invece segnali lato rete e postazione di lavoro per le aggiunte di hardware: un nuovo dispositivo esterno riconosciuto dal sistema, seguito da processi avviati nella stessa sessione, oppure una nuova interfaccia di rete che ottiene un indirizzo [3]. Questi segnali riguardano i team informatici, che li cercano nei log [3]. Per un dipendente, il segnale utile è spesso fisico. Una scatola sconosciuta o un piccolo computer collegato a una presa a muro: la scheda sulle aggiunte di hardware parla di dispositivi collegati fisicamente all'ambiente dell'organizzazione [3]. Un oggetto del genere si segnala, non lo si scollega da soli. ## Sotto il cofano La scheda MITRE sulle aggiunte di hardware indica che accessori, apparati di rete o altri dispositivi possono essere introdotti fisicamente in un sistema o in una rete per ottenerne l'accesso [3]. Aggiunge che i riferimenti pubblici di utilizzo da parte di attori malevoli sono rari, mentre molti team di intrusione autorizzati se ne servono per l'accesso iniziale [3]. Tra le capacità citate figurano l'ascolto passivo della rete, la modifica del traffico, l'iniezione di battute di tastiera e l'aggiunta di punti di accesso wireless [3]. La scheda sull'attaccante nel mezzo descrive il principio del relay: costringere un dispositivo a comunicare attraverso un sistema controllato dall'attaccante per raccogliere informazioni o agire [2]. Cita anche gli attacchi di downgrade, che negoziano una versione più debole o obsoleta di un protocollo o di un algoritmo di cifratura [2]. Per la cifratura del traffico, la stessa scheda raccomanda di assicurarsi che tutto il traffico cablato e wireless sia cifrato correttamente [2]. Il parallelo con badge vecchi o non cifrati è un'analogia del redattore: non è stabilito da queste fonti. Sul fronte della difesa, la scheda sulle aggiunte di hardware raccomanda di bloccare dispositivi e accessori sconosciuti tramite la configurazione delle postazioni e di controllare l'accesso alla rete con certificati di dispositivo e lo standard 802.1x [3]. La raccomandazione del NIST, pubblicata nel giugno 2018, riguarda invece la scelta dei meccanismi di autenticazione delle carte PIV per l'accesso agli edifici, in funzione del rischio [4]. ## Autopsie ### DarkVishnya, banche attaccate tramite connessione diretta (riferimento datato 6 dicembre 2018) La scheda MITRE sulle aggiunte di hardware cita il gruppo DarkVishnya. Ha collegato fisicamente un Bash Bunny, un Raspberry Pi, netbook e portatili economici all'ambiente dell'organizzazione presa di mira, per accedere alla sua rete locale [3]. La pubblicazione di riferimento, di S. Golovanov, s'intitola «DarkVishnya: Banks attacked through direct connection to local network» ed è datata 6 dicembre 2018 [3]. Questo caso non riguarda un badge clonato. Mostra che una persona presente nei locali, o che è riuscita a entrarvi, può collocare hardware poco costoso che apre l'accesso alla rete interna [3]. È un motivo in più per fare attenzione a chi entra e a ciò che viene collegato. Le fonti citate qui non contengono alcuna dimostrazione datata di clonazione di un badge HID Prox, né di relay NFC contro carte di pagamento o chiavi. Questa scheda non ne presenta quindi. ## Fonti 1. MITRE ATT&CK, «Multi-Factor Authentication Interception, Technique T1111 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1111/ (consultato il 3 novembre 2026) 2. MITRE ATT&CK, «Adversary-in-the-Middle, Technique T1557 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1557/ (consultato il 3 novembre 2026) 3. MITRE ATT&CK, «Hardware Additions, Technique T1200 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1200/ (consultato il 3 novembre 2026) 4. NIST, «SP 800-116 Rev. 1, Guidelines for the Use of PIV Credentials in Facility Access | CSRC», 29 giugno 2018. https://csrc.nist.gov/pubs/sp/800/116/r1/final (consultato il 3 novembre 2026) --- Fonte originale: Cyberpedia, l'enciclopedia pubblica di cybersicurezza e IA pubblicata da Brain. Versione canonica: https://startbrain.io/cyberpedia/it/articles/clonazione-badge-accesso-nfc-rfid/ Puoi riutilizzare liberamente questo testo con licenza CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), a condizione di citare «Brain, Cyberpedia» con un link all'indirizzo qui sopra.