Mastercard cambia la carta: più resiliente offline, meno esposta online

Il 28 aprile 2025, con la penisola iberica al buio, in buona parte della Spagna pagare con la carta diventò improvvisamente difficile o impossibile. Il Banco de España ha calcolato che, nei momenti più critici, le transazioni nei piccoli esercizi scesero di oltre l'80% rispetto a una giornata comparabile. Anche diversi ATM smisero di funzionare per mancanza di energia o connettività.

Quel blackout ha reso molto concreto un problema che fino ad allora era rimasto soprattutto nei piani di continuità operativa. Mastercard ora lo traduce in un requisito di rete: da febbraio 2027 tutte le carte di nuova emissione in Europa, Italia compresa, dovranno supportare i pagamenti offline; da maggio la stessa capacità sarà richiesta ai terminali nuovi e a quelli sostitutivi. Se il POS non riesce a raggiungere la rete, la transazione potrà essere autorizzata localmente dal chip, con PIN, entro un limite fissato in anticipo dalla banca e comunque non superiore a 200 euro. Il pagamento verrà poi trasmesso quando la connessione tornerà disponibile.

Il requisito non comporta la sostituzione immediata delle carte già in circolazione. L'adeguamento avverrà progressivamente con nuove emissioni e rinnovi; lo stesso vale per i terminali, dal momento che l'obbligo riguarda quelli nuovi e quelli sostitutivi. 

Mastercard non parte da zero. La funzione è già operativa in Danimarca, Svezia, Estonia e Lettonia. In Danimarca, durante un guasto che aveva isolato i terminali dal sistema di pagamento, molte transazioni presso gli esercizi essenziali sono proseguite. In Lettonia, durante una tempesta, si è continuato a pagare nei negozi alimentati da generatori.

Il caso lettone chiarisce bene cosa significhi davvero "offline". Il POS deve comunque avere energia, dalla rete, da una batteria o da un generatore. Quello che può mancare è la connessione all'infrastruttura di autorizzazione. Nel blackout spagnolo, peraltro, il Banco de España ha rilevato che la durata delle batterie dei terminali non fu il principale fattore limitante: il problema era soprattutto la perdita di connettività e la chiusura di molti esercizi.

«Quando vengono meno l'energia elettrica o la connettività di rete, le persone hanno comunque bisogno di acquistare beni essenziali come cibo, carburante e medicinali», ha dichiarato Brice van de Walle, Executive Vice President, Core Payments di Mastercard.

Per le banche emittenti cambia il modo di distribuire il rischio. Un'autorizzazione offline rinuncia, per definizione, a una parte dei controlli disponibili in tempo reale: l'issuer non può interrogare in quel momento tutti i propri sistemi centrali né utilizzare l'intero set di informazioni che normalmente concorrono alla decisione.

L'esposizione viene quindi delimitata prima, attraverso i parametri caricati sulla carta. Mastercard consente un massimo di 200 euro per singola operazione, ma il limite effettivo lo stabilisce la banca. In cambio della continuità del servizio, si accetta una maggiore autonomia locale della carta entro confini predefiniti.

Per acquirer, processor ed esercenti il lavoro riguarda invece il parco terminali. Poiché la regola si applicherà ai POS nuovi e sostitutivi da maggio 2027, la diffusione completa richiederà tempo e seguirà il normale ciclo di rinnovo dell'accettazione.

Il tema è ormai entrato anche nell'agenda delle banche centrali. Nella strategia complessiva sui pagamenti pubblicata quest'anno, l'Eurosistema indica la resilienza tra gli obiettivi prioritari, chiede soluzioni di fallback e sta valutando costi e benefici delle diverse opzioni di continuità per i pagamenti con carta. Il blackout iberico ha fatto uscire la continuità dei pagamenti dal recinto della sola business continuity e l'ha trasformata in una questione di infrastruttura economica. 

Nel digitale Mastercard si muove nella direzione opposta: non dare più autonomia alla carta fisica, ma ridurre progressivamente l'esposizione delle credenziali statiche.

L'obiettivo dichiarato per il 2030 è eliminare, nell'e-commerce, la necessità di digitare manualmente numero della carta e password statiche, combinando tokenizzazione e Payment Passkeys. A giugno 2026 tre transazioni e-commerce Mastercard su cinque in Europa erano già tokenizzate; il traguardo resta il 100% entro la fine del decennio. Secure Card on File è attivo in 45 Paesi e territori europei.

La carta fisica senza numero è la manifestazione più visibile di questa strategia. Il PAN - il Primary Account Number - continua a esistere nell'architettura, ma può smettere di essere stampato sulla plastica, digitato dal cliente o conservato dall'esercente come credenziale statica. Mastercard ha esplicitamente indicato un futuro in cui le carte numberless possano diventare la norma; in Australia ha avviato con le banche un percorso specifico verso il 2030. 

Non è soltanto una prospettiva. AMP Bank GO ha già lanciato in Australia carte di debito per piccole imprese senza numero stampato: i dati della carta restano consultabili nell'app, mentre chip e contactless funzionano normalmente. È però importante non generalizzare: l'obiettivo globale Mastercard riguarda la trasformazione del checkout; la diffusione della plastica numberless dipende ancora dalle strategie dei singoli mercati e degli issuer.

Sul piano della sicurezza, il principio è semplice. Una credenziale statica compromessa può essere riutilizzata in tentativi di frode; un payment token può invece essere vincolato a un determinato merchant, dispositivo o contesto d'uso. È proprio la riduzione del valore delle credenziali sottratte uno dei vantaggi centrali della tokenizzazione EMV.

Le passkey intervengono su un altro punto: l'autenticazione. Sono credenziali crittografiche legate al sito o all'app per cui sono state create e, secondo FIDO Alliance, resistono al phishing in modo che password e OTP non possono garantire. Mastercard sta portando questa logica dentro il checkout: token per proteggere la credenziale di pagamento, passkey per autenticare chi la sta usando.

Il rischio però non sparisce. Cambia posizione. Diventano più delicati il provisioning dei token, la compromissione del dispositivo o dell'account, i processi di recovery e il ciclo di vita delle credenziali. Per issuer e processor la sicurezza si sposta sempre più dalla protezione di un numero statico alla capacità di governare chi può creare, utilizzare, sospendere o sostituire una credenziale digitale.

Offline e numberless sembrano due progetti lontani, ma raccontano la stessa trasformazione della carta. Nel pagamento fisico Mastercard sposta una quota di intelligenza verso chip e terminale, così da mantenere il servizio quando la rete non risponde. Nel digitale prova invece a togliere dalla transazione informazioni statiche che non è più necessario esporre.

La carta diventa quindi meno dipendente da due suoi tradizionali punti deboli: la connessione continua nel mondo fisico e il numero statico nel commercio online.

C'è poi un terzo tassello. Nell'ottobre 2025 Mastercard ha annunciato un investimento di circa 250 milioni di euro in tre data center in Francia per localizzare maggiormente la propria infrastruttura europea. Nell'ottobre 2026 ha comunicato che Francia, Germania e Spagna stanno già processando transazioni domestiche attraverso la nuova infrastruttura e che altri mercati seguiranno dal 2027; la società punta inoltre a mantenere in Europa la copia primaria dei dati delle transazioni intra-SEE. 

Qui il confronto con la BCE diventa interessante. L'Eurosistema chiede maggiore autonomia strategica, resilienza operativa e soluzioni di pagamento pan-europee governate in Europa; Mastercard, gruppo globale, risponde localizzando infrastrutture e processing e cercando di presentarsi sempre più come componente radicata dell'ecosistema europeo. Non sono la stessa visione, ma ormai si confrontano sugli stessi temi: resilienza, localizzazione dei dati, governance e capacità di continuare a pagare anche in condizioni eccezionali. 

Per le banche italiane le due roadmap si sovrappongono. Dal 2027 parte l'abilitazione offline delle nuove carte; parallelamente continua il percorso verso la tokenizzazione del checkout e l'adozione di nuove forme di autenticazione. Significa lavorare nello stesso momento su parametri EMV, credenziali digitali, app, fraud prevention, autenticazione e rinnovo dell'infrastruttura di accettazione.

Nel frattempo crescono le alternative alla carta: instant payments, wallet, account-to-account ed euro digitale. Anche quest'ultimo è progettato con una modalità offline e la BCE sta lavorando agli standard tecnici necessari in vista del pilota del 2027.

La risposta dei circuiti non è quindi soltanto aggiungere nuove funzioni. È rendere la carta meno fragile nei punti in cui storicamente dipendeva di più dall'infrastruttura e dalle credenziali statiche. La concorrenza al checkout continuerà a contare; ma sempre più conteranno anche resilienza, sicurezza, accettazione e capacità di funzionare quando le condizioni normali vengono meno.

Di resilienza, tokenizzazione e futuro delle carte si parlerà al Salone dei Pagamenti, promosso da ABI, a Milano dal 24 al 26 novembre all'Allianz MiCo South Wing.