Przeterminowaną kartą kredytową nadal można płacić. Poważna luka w płatnościach zbliżeniowych

Wyrzucenie starej karty kredytowej powinno kończyć jej finansowe życie. Naukowcy z University of Massachusetts Amherst pokazali jednak, że w przypadku części kart zbliżeniowych nie zawsze tak jest. Podczas badań udało im się zmanipulować proces płatności w taki sposób, aby niektóre wygasłe karty Visa zostały zaakceptowane przez terminal.

Nie chodzi o skopiowanie karty ani złamanie jej kryptografii. Badacze wykorzystali lukę w sposobie, w jaki część systemu płatności EMV sprawdza datę ważności podczas transakcji zbliżeniowej.

Karta jest nieważna, ale terminal może tego nie wiedzieć

Badanie „Zombie Cards Back Online: Reviving Expired Credit Cards for Contactless Payments” zostało przedstawione podczas konferencji USENIX Security 2026. Naukowcy Raja Hasnain Anwar, Gerard DeCunha i Muhammad Taqi Raza przeanalizowali sposób obsługi płatności zbliżeniowych przez różne systemy kartowe.

Problem pojawia się na styku karty, terminala oraz banku. Podczas płatności EMV część informacji jest przekazywana w sposób, który nie zapewnia pełnej integralności wszystkich danych od samego początku transakcji. Dopiero kolejne etapy wykorzystują mechanizmy kryptograficzne.

Badacze wykorzystali ten mechanizm do przeprowadzenia ataku typu man-in-the-middle. Pomiędzy kartą a terminalem umieszczono urządzenia działające jako pośrednik NFC. Ich zadaniem było zmodyfikowanie informacji dotyczącej daty ważności karty.

W rezultacie terminal mógł otrzymać informację sugerującą, że karta nadal jest ważna.

„Nasze wyniki pokazują, że transakcje zbliżeniowe kartami Visa są podatne na manipulacje typu man-in-the-middle z powodu braku skutecznej ochrony integralności” – stwierdzają autorzy w swoim artykule.

Problem dotyczy przede wszystkim kart Visa

Eksperymenty wykazały różnicę pomiędzy poszczególnymi systemami płatniczymi. Karty Mastercard, American Express i Discover wykorzystane podczas testów nie pozwoliły badaczom przeprowadzić opisanego ataku. Inaczej wyglądała sytuacja w przypadku testowanych kart Visa.

Według naukowców jądro EMV wykorzystywane przez Visa nie wiąże kryptograficznie daty ważności odczytywanej przez terminal z innymi informacjami wykorzystywanymi podczas autoryzacji.

To właśnie tutaj pojawia się luka. Terminal może sprawdzić jedną wartość dotyczącą daty ważności, podczas gdy bank podczas autoryzacji korzysta z innego pola zawierającego tę informację. Jeżeli dane nie są ze sobą kryptograficznie powiązane, pośrednik może próbować zmienić wartość widoczną dla terminala.

Karta nie zostaje przy tym faktycznie „odnowiona”. Manipulacji podlega komunikacja pomiędzy urządzeniem a terminalem.

Bank może jeszcze zatrzymać transakcję

Atak nie gwarantuje automatycznie udanej płatności. Dużo zależy od banku wydającego kartę i sposobu, w jaki przeprowadza on końcową autoryzację. Badacze sprawdzili kilka banków i uzyskali różne rezultaty. Część transakcji została zaakceptowana, inne zostały odrzucone.

To istotne rozróżnienie. Odkrycie nie oznacza, że każda przeterminowana karta Visa może zostać wykorzystana do zakupów. Pokazuje jednak, że sama data ważności nie zawsze jest egzekwowana na wszystkich etapach płatności w sposób odporny na tego rodzaju manipulację.

Naukowcy zgłosili problem już w 2025 roku

Autorzy badania poinformowali Visę o odkryciu w maju 2025 roku. Kolejny kontakt z firmą nastąpił w grudniu tego samego roku. Według badaczy ani Visa, ani banki, które zostały poinformowane o problemie, nie potwierdziły do tej pory, że wprowadziły rozwiązania eliminujące podatność związaną z datą ważności.

Naukowcy podkreślają przy tym, że problem wynika z konstrukcji całego ekosystemu płatności. Standard EMV musi obsługiwać ogromną liczbę terminali, kart i urządzeń na całym świecie. Poszczególne sieci płatnicze stosują przy tym własne rozwiązania, a zgodność ze starszym sprzętem pozostaje jednym z ograniczeń przy projektowaniu nowych zabezpieczeń.

„Zombie card” to nie tylko efektowna nazwa

Określenie „karty zombie” dobrze oddaje charakter eksperymentu, choć nie należy traktować go dosłownie. Badacze nie przywracają fizycznie wygasłej karty do działania. Wykorzystują różnicę pomiędzy informacją przedstawianą terminalowi a danymi wykorzystywanymi później przez system autoryzacji.

Odkrycie pokazuje przy tym, jak skomplikowany jest współczesny system płatności bezgotówkowych. Nawet gdy karta korzysta z kryptograficznych zabezpieczeń, pojedynczy element przepływu danych pozostawiony poza takim mechanizmem może stworzyć przestrzeń dla manipulacji.

Na razie nie ma informacji wskazujących, że opisana metoda została wykorzystana do masowych oszustw. Badanie pokazuje jednak, że nawet karta dawno wyrzucona do śmieci może kryć niespodziankę.