Sicurezza dei Pagamenti

PCI DSS 4.0.1 è lo standard di sicurezza obbligatorio per ogni azienda che archivia, elabora o trasmette dati di carta. Berghem definisce l'ambito e il cardholder data environment (CDE), esegue il gap assessment, supporta la remediation e consegna il pentest richiesto dal Requisito 11.4 — l'evidenza che il QSA richiede per il sign-off.

Il nostro lavoro offensivo valida la segmentazione di rete, testa applicazioni e API all'interno del CDE e conferma che i controlli resistono ad attacchi reali. Vedi la nostra consulenza PCI DSS e il pilastro compliance e audit.

Lo standard organizza i controlli attorno a rete sicura, protezione dei dati di carta, gestione delle vulnerabilità, controllo degli accessi, monitoraggio continuo e policy di sicurezza. Il livello del merchant e il tipo di SAQ definiscono la profondità della validazione — dall'autovalutazione al Report on Compliance (RoC) firmato da un QSA.

PCI MPoC (Mobile Payments on COTS) è lo standard che trasforma uno smartphone comune in un terminale di pagamento, leggendo la carta in contactless e, quando previsto, inserendo il PIN sullo schermo. Consolida e sostituisce i precedenti standard SPoC e CPoC, ampliando la valutazione del software e l'attestazione continua.

Berghem valuta le soluzioni MPoC dal punto di vista dell'attaccante — resilienza dell'app, protezione del PIN, integrità del dispositivo e del canale — in linea con i requisiti dello standard. Dettagli nella pagina dedicata PCI MPoC.

L'ecosistema EMV — carte con chip, transazioni contactless, sportelli automatici (ATM) e terminali POS — resta al centro della frode con carta presente. Valutiamo il flusso di transazione, la crittografia dei dati di traccia e PIN, la protezione dei terminali e la resistenza ad attacchi relay, skimming e manipolazione dei messaggi.

Per acquirer, payment facilitator e produttori di terminali, uniamo analisi del firmware, test delle applicazioni embedded e revisione del flusso EMV, producendo evidenze per le decisioni di sicurezza e conformità lungo tutta la catena.

Sugli ATM valutiamo jackpotting, attacchi black-box e manipolazione del dispenser; sui POS, l'integrità del terminale e del software di cattura. L'obiettivo è dimostrare un impatto reale — clonazione, deviazione della transazione o estrazione dei dati di carta — prima che lo faccia un frodatore in produzione.

I pagamenti istantanei e la condivisione dei dati in open banking hanno ampliato la superficie di attacco. Testiamo le API di avvio del pagamento, il flusso di consenso e i controlli antifrode, cercando falle di autorizzazione, abuso della logica di business ed esposizione di dati sensibili.

Questo lavoro si collega alla sicurezza in Open Finance e all'adeguamento alle risoluzioni BACEN/CMN sulla cybersecurity, inclusa la 4.893. Vedi anche sicurezza per banche e fintech.

Rivediamo inoltre i certificati e l'mTLS tra i partecipanti, la registrazione dinamica dei client e gli scope di consenso, assicurando che l'istituzione non esponga dati oltre quanto autorizzato dal titolare né accetti richieste falsificate da un partecipante malevolo dell'ecosistema.

Il nostro lavoro segue metodologie riconosciute — OWASP, PTES e NIST SP 800-115 — adattate al contesto dei pagamenti. Combiniamo test black-box, gray-box e white-box a seconda del target, sempre con focus sull'impatto di business: frode, deviazione di valori e fuga di dati di carta.

Per il programma offensivo completo, scopri l'EHT — Ethical Hacking Team e la nostra sicurezza offensiva, che estendono il test dei pagamenti ad applicazioni, API, reti interne e cloud dell'istituzione.