La possibilità di usare carte di credito e di debito in modalità contactless ha reso decisamente più comodo effettuare pagamenti senza contatti, ma la tecnologia di trasmissione dei dati che passano dalle carte ai POS e ai Bancomat non è priva di punti deboli. Alcuni dei più gravi li ha scovati e radunati il ricercatore informatico Josep Rodriguez, che ha messo insieme quanto ha scoperto per realizzare attacchi mirati decisamente pericolosi, che utilizzando solo lo smartphone sono arrivati in un caso eccezionale a far piovere soldi da uno dei Bancomat presi di mira. I pagamenti contactless si basano su un sistema di comunicazione chiamato NFC e basato su onde radio a bassa intensità: i dispositivi lettori ricevono le informazioni trasmesse in questo modo dalle carte che vengono loro avvicinate e autorizzano alla rete di pagamenti il prelievo della somma richiesta. Rodriguez ha analizzato come avvengono queste comunicazioni e quali dati vengono scambiati ed elaborati dai prodotti che autorizzano i pagamenti, per scovare flussi di informazioni che – se trasmessi in sequenza – potessero mettere in crisi i dispositivi che tentavano di leggerli. Una volta trovate le vulnerabilità che cercava, ha codificato un'app per smartphone addestrata a trasmettere i segnali capaci di farle scattare. I chip in grado di emettere questi segnali infatti sono presenti anche all'interno di tutti gli smarphone recenti: è questo che rende questi gadget in grado di funzionare come carte di credito in abbinamento a sistemi di pagamento come Google Pay e Apple Pay. È così che il ricercatore informatico è riuscito a trasformare il suo smartphone in un'arma capace di mandare in tilt sia i Bancomat che i POS di numerosi produttori. Attraverso questa tecnica Rodriguez è riuscito a causare semplici malfunzionamenti, ma anche a modificarne il comportamento delle macchine per memorizzare i dati delle carte di credito altrui, cambiare il valore delle transazioni effettuate e bloccare i dispositivi con una richiesta di riscatto. In un attacco più particolare e basato su numerose altre tipologie di vulnerabilità concatenate tra loro, l'uomo è riuscito a forzare un particolare modello di Bancomat a emettere denaro a piacimento.
Gli attacchi sono riusciti a modificare il funzionamento dei dispositivi colpiti per far loro memorizzare i dati delle carte di credito altrui e cambiare il valore delle transazioni effettuate. I macchinari possono anche essere bloccati con una richiesta di riscatto, e in almeno un caso forzati a emettere denaro a piacimento.