Clonazione dei badge di accesso NFC e RFID
Un badge di accesso contactless può essere copiato o ritrasmesso senza che chi lo porta se ne accorga. Cosa si sa, cosa si vede e cosa fare.
In 30 secondi
- Dove accade
- All'ingresso dei locali e ovunque un badge venga presentato a un lettore. Le fonti citate qui non indicano un luogo preciso per la copia in sé.
- Cosa vuole l'attaccante
- Ottenere credenziali per accedere a sistemi, servizi e risorse di rete1.
- Se è già successo
- Segnali subito lo smarrimento o il sospetto al responsabile della sicurezza dei locali, che può revocare il badge.
- Il riflesso
- Non lasci un badge incustodito, lo riponga quando non lo usa e segnali qualsiasi dispositivo sconosciuto collegato o appoggiato vicino a un lettore o a una rete.
Di cosa si tratta
Un badge di accesso serve ad aprire una porta, un tornello o un ascensore senza toccare nulla. Il badge dialoga con un lettore a breve distanza, e in linea di principio questo dialogo può essere copiato o ritrasmesso da un terzo. Questa scheda spiega l'idea dal punto di vista del dipendente e ciò che può fare nel proprio ruolo.
Una precisazione di metodo. Le fonti citate qui sono schede generali sull'hardware malevolo, sull'intercettazione delle comunicazioni e sull'autenticazione forte, più una raccomandazione statunitense sulle tessere di accesso. Nessuna descrive in dettaglio la clonazione dei badge a 125 kHz, le debolezze di MIFARE Classic o una dimostrazione pubblica con Proxmark o Chameleon. Questi punti non sono quindi affermati qui.
Domande dirette
Posso accorgermi che il mio badge è stato copiato?
Le fonti citate qui non lo dicono. Descrivono altri casi in cui l'attacco passa da un intermediario posto tra due dispositivi2. Occorre quindi ragionare così: l'assenza di segnali non prova nulla.
Un badge recente è al sicuro?
Le fonti non stabiliscono che un modello di badge sia al sicuro. Il NIST pubblica raccomandazioni sull'uso delle carte PIV, le carte d'identità professionali statunitensi, nel controllo degli accessi agli edifici. Si basano su una strategia fondata sul rischio per scegliere il meccanismo di autenticazione adatto4. La scelta del meccanismo dipende dunque dal rischio del luogo, non da una regola unica.
Che cosa devo fare se perdo il badge?
Una scheda MITRE raccomanda, per le smart card, di rimuoverle quando non vengono usate1. Per un badge smarrito, la segnalazione immediata permette all'organizzazione di disattivarlo. Quest'ultima indicazione è buon senso organizzativo e non proviene da nessuna delle fonti citate.
1Nei panni dell'attaccante1 min
Le schede di MITRE ATT&CK descrivono attaccanti che puntano al mezzo di autenticazione piuttosto che alla sola password. La scheda sull'intercettazione dell'autenticazione a più fattori cita le smart card e i generatori di codici tra i meccanismi presi di mira1. Precisa che, per una smart card, serve un keylogger per ottenere la password associata durante il normale utilizzo1. Con la carta inserita e questa password, l'attaccante può collegarsi a una risorsa facendo passare l'autenticazione dalla postazione infetta1.
Una logica affine esiste per le comunicazioni: porsi tra due dispositivi per raccogliere informazioni o agire al loro posto2. L'idea di un relay in tempo reale tra un badge e una porta lontana rientra in questa famiglia di attacchi, ma le fonti citate qui non la applicano ai badge di accesso.
2Cosa si vede sullo schermo1 min
Per un badge, di norma non c'è alcuno schermo. Le fonti descrivono invece segnali lato rete e postazione di lavoro per le aggiunte di hardware: un nuovo dispositivo esterno riconosciuto dal sistema, seguito da processi avviati nella stessa sessione, oppure una nuova interfaccia di rete che ottiene un indirizzo3. Questi segnali riguardano i team informatici, che li cercano nei log3.
Per un dipendente, il segnale utile è spesso fisico. Una scatola sconosciuta o un piccolo computer collegato a una presa a muro: la scheda sulle aggiunte di hardware parla di dispositivi collegati fisicamente all'ambiente dell'organizzazione3. Un oggetto del genere si segnala, non lo si scollega da soli.
3Sotto il cofanoTeam IT2 min
La scheda MITRE sulle aggiunte di hardware indica che accessori, apparati di rete o altri dispositivi possono essere introdotti fisicamente in un sistema o in una rete per ottenerne l'accesso3. Aggiunge che i riferimenti pubblici di utilizzo da parte di attori malevoli sono rari, mentre molti team di intrusione autorizzati se ne servono per l'accesso iniziale3. Tra le capacità citate figurano l'ascolto passivo della rete, la modifica del traffico, l'iniezione di battute di tastiera e l'aggiunta di punti di accesso wireless3.
La scheda sull'attaccante nel mezzo descrive il principio del relay: costringere un dispositivo a comunicare attraverso un sistema controllato dall'attaccante per raccogliere informazioni o agire2. Cita anche gli attacchi di downgrade, che negoziano una versione più debole o obsoleta di un protocollo o di un algoritmo di cifratura2. Per la cifratura del traffico, la stessa scheda raccomanda di assicurarsi che tutto il traffico cablato e wireless sia cifrato correttamente2. Il parallelo con badge vecchi o non cifrati è un'analogia del redattore: non è stabilito da queste fonti.
Sul fronte della difesa, la scheda sulle aggiunte di hardware raccomanda di bloccare dispositivi e accessori sconosciuti tramite la configurazione delle postazioni e di controllare l'accesso alla rete con certificati di dispositivo e lo standard 802.1x3. La raccomandazione del NIST, pubblicata nel giugno 2018, riguarda invece la scelta dei meccanismi di autenticazione delle carte PIV per l'accesso agli edifici, in funzione del rischio4.
4AutopsieCasi reali1 min
DarkVishnya, banche attaccate tramite connessione diretta (riferimento datato 6 dicembre 2018)
La scheda MITRE sulle aggiunte di hardware cita il gruppo DarkVishnya. Ha collegato fisicamente un Bash Bunny, un Raspberry Pi, netbook e portatili economici all'ambiente dell'organizzazione presa di mira, per accedere alla sua rete locale3. La pubblicazione di riferimento, di S. Golovanov, s'intitola «DarkVishnya: Banks attacked through direct connection to local network» ed è datata 6 dicembre 20183.
Questo caso non riguarda un badge clonato. Mostra che una persona presente nei locali, o che è riuscita a entrarvi, può collocare hardware poco costoso che apre l'accesso alla rete interna3. È un motivo in più per fare attenzione a chi entra e a ciò che viene collegato.
Le fonti citate qui non contengono alcuna dimostrazione datata di clonazione di un badge HID Prox, né di relay NFC contro carte di pagamento o chiavi. Questa scheda non ne presenta quindi.
Scheda
- Identificativo
- CP-086
- Ala
- 1. Attacchi e tecniche
- Competenza Brain
- Proteggere i dispositivi (secure_devices)
- Riflesso Brain
- cr-053
- Schema
- G3 · Sezione anatomica
- Lingue
- de, en, es, fr, it
- Fonti
- 4 fonti verificate il 3 novembre 2026
Fonti4 fonti
- MITRE ATT&CK, «Multi-Factor Authentication Interception, Technique T1111 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1111/ (consultato il 3 novembre 2026)
- MITRE ATT&CK, «Adversary-in-the-Middle, Technique T1557 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1557/ (consultato il 3 novembre 2026)
- MITRE ATT&CK, «Hardware Additions, Technique T1200 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1200/ (consultato il 3 novembre 2026)
- NIST, «SP 800-116 Rev. 1, Guidelines for the Use of PIV Credentials in Facility Access | CSRC», 29 giugno 2018. https://csrc.nist.gov/pubs/sp/800/116/r1/final (consultato il 3 novembre 2026)
Cita questo articolo
Brain, «Clonazione dei badge di accesso NFC e RFID», Cyberpedia, 2026. https:/
BibTeX
@misc{brain_cp086_it_2026,
author = {Brain},
title = {Clonazione dei badge di accesso NFC e RFID},
year = {2026},
howpublished = {Cyberpedia},
url = {https://startbrain.io/cyberpedia/it/articles/clonazione-badge-accesso-nfc-rfid/},
note = {CC BY 4.0}
}