Il codice MM/AA stampato o impresso su una carta di credito indica la sua data di scadenza nel formato mese/anno. Due cifre per il mese, due per l’anno, separati da una barra o uno spazio a seconda dell’emittente. La carta rimane utilizzabile fino all’ultimo giorno del mese indicato. Oltre, la rete interbancaria rifiuta sistematicamente qualsiasi richiesta di autorizzazione.
Stato normativo del MM/AA nello standard PCI DSS 4.0
La data di scadenza non è solo un riferimento pratico per il titolare. Dal lato dei commercianti e dei fornitori di pagamento, costituisce un elemento di cardholder data (CHD) non appena è memorizzata insieme al numero di carta (PAN), ai sensi dello standard PCI DSS 4.0 ora pienamente in vigore.
In concreto, ogni attore che conserva la data di scadenza associata al PAN deve giustificare questa memorizzazione, limitarne l’accesso e applicare i controlli di protezione imposti dallo standard. Un sito e-commerce che registra la coppia PAN + MM/AA senza crittografia conforme si espone a una non conformità PCI, con penali finanziarie e la possibile perdita del diritto di accettare pagamenti con carta.
Osserviamo che la maggior parte degli articoli di consumo tratta il MM/AA solo dal punto di vista del modulo di pagamento. Ignorano questa dimensione normativa, mentre riguarda direttamente ogni sviluppatore che integra un modulo di pagamento e ogni responsabile tecnico di un sito commerciale. Per una spiegazione del mm aa su una carta di credito orientata all’uso quotidiano, l’argomento rimane accessibile, ma il livello tecnico merita di essere conosciuto.
MM/AA e autenticazione forte: cosa cambia la DSP2
Durante un pagamento online, il campo MM/AA fa parte del trittico trasmesso al fornitore: numero di carta, data di scadenza e codice di sicurezza (CVV). Questo trio non è più sufficiente per convalidare una transazione dall’entrata in vigore della direttiva europea sui servizi di pagamento (DSP2).
L’autenticazione forte (SCA) richiede almeno due fattori distinti tra tre categorie: conoscenza (codice, password), possesso (telefono, carta fisica) e inerente (biometria). Il MM/AA rientra nel possesso, così come il CVV. Da soli, coprono solo un fattore.
Il protocollo 3D Secure, nella sua versione attuale, interviene precisamente per aggiungere questo secondo fattore. Il server della banca emittente attiva una verifica aggiuntiva (notifica push, codice SMS, impronta digitale) prima di convalidare l’autorizzazione. Il MM/AA rimane necessario per avviare il flusso, ma non ha più potere di autenticazione autonoma.
Esenzioni all’autenticazione forte
Alcune transazioni sfuggono alla SCA, in particolare i pagamenti ricorrenti di importo fisso dopo una prima autenticazione forte, o le transazioni di basso importo. In questi casi, il MM/AA conserva un ruolo di convalida più diretto, poiché il sistema si fida dei dati statici della carta senza richiedere un secondo fattore.
Portafoglio EUDI e futuro del codice MM/AA sulla carta di credito
Il regolamento eIDAS 2.0, adottato a livello europeo, prevede il dispiegamento del portafoglio di identità digitale europeo (EUDI Wallet). Questo dispositivo permetterà in futuro di autenticare il titolare di una carta senza trasmettere i dati stampati sul supporto fisico.
In questo scenario, il MM/AA perderebbe parte della sua funzione attuale. L’identità del pagatore sarebbe verificata dal portafoglio digitale, e non più dall’inserimento manuale della data di scadenza e del codice di sicurezza. Il ruolo del MM/AA si limiterebbe quindi alla gestione del ciclo di vita della carta (rinnovo, disattivazione), senza più intervenire come dato di sicurezza transazionale.
Raccomandiamo ai team tecnici di seguire l’avanzamento del quadro EUDI, poiché modificherà il modo in cui i moduli di pagamento raccolgono e trattano i dati della carta.
Carta scaduta e sicurezza: un rischio sottovalutato
Una carta di cui il MM/AA è scaduto non può più essere utilizzata per un pagamento classico. La rete interbancaria la rifiuta. Tuttavia, alcuni dati della carta scaduta rimangono sfruttabili dai truffatori se il PAN e il CVV sono stati compromessi prima della scadenza.
Le ragioni sono tecniche:
- Il numero di carta (PAN) non cambia sistematicamente durante un rinnovo. Presso diversi emittenti, la nuova carta conserva lo stesso PAN con un MM/AA e un CVV aggiornati.
- Un attaccante in possesso del PAN può tentare di indovinare la nuova data di scadenza tramite attacco a forza bruta, le combinazioni essendo limitate (alcune decine di mesi plausibili moltiplicati per alcuni anni).
- Sui siti non conformi alla SCA o che beneficiano di esenzioni, questa combinazione può essere sufficiente per avviare una transazione fraudolenta.
La soluzione più affidabile rimane quella di richiedere un cambio di PAN durante il rinnovo se si sospetta una compromissione precedente. Il rinnovo automatico non garantisce un nuovo numero di carta.
Formati di visualizzazione del MM/AA secondo le reti
Il formato della data di scadenza varia leggermente a seconda dell’emittente e della rete:
- Visa e Mastercard visualizzano generalmente MM/AA su due righe o su una sola, preceduto dalla dicitura “VALID THRU” o “EXPIRES END”.
- American Express utilizza talvolta il formato MM/AAAA (quattro cifre per l’anno) in alcuni mercati, il che può creare confusione durante l’inserimento in un modulo che si aspetta due cifre.
- Le carte virtuali, sempre più comuni, riprendono lo stesso formato ma lo visualizzano esclusivamente nell’app bancaria, senza supporto fisico.
I moduli di pagamento online accettano talvolta MM/AA, talvolta MM/AAAA, talvolta due campi separati. Un errore di formato (inserire quattro cifre per l’anno in un campo che ne aspetta due) provoca un rifiuto immediato della transazione, spesso interpretato erroneamente come un problema di plafond o di carta bloccata.
Il codice MM/AA rimane, nonostante la sua apparente semplicità, un anello tecnico di cui la portata supera il semplice modulo di pagamento. Tra il suo status di dato regolamentato sotto PCI DSS 4.0, il suo ruolo nel flusso di autenticazione forte e le evoluzioni legate al portafoglio EUDI, la sua funzione è destinata a concentrarsi sulla gestione del ciclo di vita della carta piuttosto che sulla sicurezza delle transazioni.
