الفكرة الأساسية: فصل البطاقة عن جهاز الدفع

اعتمدت التجربة على هاتفين ذكيين يدعمان NFC، يعملان كحلقة وصل بين البطاقة الفعلية وجهاز نقاط البيع:

• يتواصل الهاتف الأول مع البطاقة المنتهية.
• يقدّم الهاتف الثاني بيانات العملية إلى جهاز الدفع في المتجر.
• ينقل الهاتفان رسائل EMV بين البطاقة وجهاز الدفع، فينشئان جسراً بين طرفين يفترض عادة أن يتواصلا مباشرة.

وخلال هذه العملية، عدّل المرحّل تاريخ انتهاء الصلاحية الذي يراه جهاز الدفع. فبدلاً من التاريخ القديم، يمكن أن يظهر تاريخ مستقبلي، ما يدفع الفحوص المحلية في الجهاز إلى التعامل مع البطاقة على أنها ما تزال سارية. وتتطلب الطريقة حيازة البطاقة الفعلية، أو إبقاءها قريبة بما يكفي لاتصال NFC، إلى جانب وجود المرحّل بين البطاقة وجهاز الدفع.

التشفير لم يُكسر… لكن أحد الحقول تغيّر

النقطة الأهم هي أن الهجوم لم يحتج إلى تقليد المفاتيح السرية للبطاقة. فقد واصلت البطاقة الأصلية إنتاج التوقيعات وبيانات العملية الديناميكية التي تتوقعها آلية EMV. وبعبارة أخرى، بقيت الأدلة التشفيرية أصلية، لكن تاريخ الانتهاء ــ وهو حقل مؤثر في قرار القبول ــ أمكن تغييره من دون إبطال بقية البيانات الموثقة.

وهذا يوضح الفرق بين كسر التشفير واستغلال خلل في تصميم البروتوكول: قد يظل توقيع العملية أو رمزها التشفيري صحيحاً، بينما تُعدَّل قيمة أخرى يعتمد عليها جهاز الدفع إذا لم تكن القيم مرتبطة ببعضها تشفيرياً على نحو كافٍ. وقد وصف الباحثون النتيجة بأنها نقطة ضعف تسمح بالتلاعب «في الوسط» ضمن مسار الدفع اللاتلامسي الخاص بـVisa.

ماذا كشف Visa EMV Kernel 3؟

تعلقت المشكلة، وفق التقارير المتاحة، بعدم اتساق طريقة التعامل مع تاريخ انتهاء الصلاحية في تطبيق Visa EMV Contactless Kernel 3. ففي الإعداد الذي اختبره الباحثون، لم يكن التاريخ الذي يقدمه جهاز الدفع مرتبطاً تشفيرياً بما يكفي ببيانات البطاقة ومعلومات العملية التي تُستخدم لاحقاً في التفويض.

نتج عن ذلك التسلسل التالي:

1. أرسلت البطاقة الفعلية بيانات دفع أصلية، بما فيها تاريخ انتهائها الحقيقي.
2. غيّر المرحّل التاريخ الذي يظهر أمام جهاز الدفع.
3. واصلت البطاقة إنشاء مواد مصادقة أصلية للعملية.
4. أصبح بإمكان الجهاز تقييم تاريخ مستقبلي، في الوقت الذي يتلقى فيه دليلاً تشفيرياً صحيحاً من البطاقة الحقيقية.

لذلك استهدف الهجوم العلاقة بين الحقول، لا الخوارزميات التشفيرية ذاتها.

لماذا أمكن لبطاقة منتهية تنفيذ عملية صحيحة؟

يفترض كثير من المستخدمين أن انتهاء البطاقة هو بمثابة إيقاف تشفيري نهائي لها. لكن ملخص البحث المتاح يشير إلى أن بعض أنظمة الدفع اللاتلامسي تفرض هذا الشرط عبر الفحوص التي تعتمد على ما يستقبله جهاز الدفع وما يستطيع البنك المصدر التحقق منه أثناء التفويض، لا باعتباره خاصية تشفيرية داخلية لا يمكن تجاوزها.

فإذا رأى جهاز الدفع تاريخاً مستقبلياً، ووصل إلى البنك دليل تشفيري أصلي لبقية العملية، فقد لا يمتلك النظام إشارة موثوقة وموحّدة تثبت أن البطاقة الفعلية منتهية. ومع ذلك، لا يحوّل الهجوم حساباً مغلقاً أو غير صالح إلى حساب نشط؛ إذ يجب أن يظل الحساب قابلاً للاستخدام حتى تنجح عملية التفويض.

ماذا عن Mastercard وAmerican Express وDiscover؟

تفيد التقارير المقدمة بأن استبدال تاريخ الانتهاء بالطريقة نفسها لم ينجح في الإعدادات المختبرة الخاصة بـMastercard Kernel 2 وAmerican Express Kernel 4 وDiscover Kernel 6.

لكن الأدلة المتاحة لا تقدم تحليلاً تقنياً كاملاً، نواةً بنواة، يحدد بالضبط أي حقول أو خطوات تحقق أدت إلى رفض تلك العمليات. والاستنتاج الأكثر تحفظاً هو أن الإعدادات المختبرة لهذه الشبكات تعاملت مع التلاعب المحدد بفاعلية أكبر من إعداد Visa الذي اختُبر؛ وليس أن كل بطاقة تحمل إحدى هذه العلامات محصّنة ضد هجمات الترحيل أو جميع أشكال الاحتيال الأخرى.

هل اختلفت النتائج بين البنوك الخمسة؟

ذكرت التقارير أن الاختبارات شملت بطاقات صادرة عن عدة بنوك أميركية كبرى، مع تنفيذ أو محاولة تنفيذ عمليات لدى أكثر من جهة إصدار.

لكن المواد المصدرية المتاحة لا تسمّي البنوك الخمسة كلها، ولا تقدم نتيجة موثقة ومفصلة توضح أي بنك وافق على العملية وأي بنك رفضها. لذلك سيكون من المضلل نشر جدول يربط كل بنك بنتيجة محددة أو الادعاء بأن جهة إصدار بعينها تقبل الهجوم أو ترفضه دائماً. فقد تتغير النتيجة بحسب نوع البطاقة، وحالة الحساب، وجهاز الدفع، والجهة المستحوذة، وضوابط التفويض، وظروف العملية نفسها.

ماذا فعلت Visa؟ وما وضع الإصلاح؟

يقول أحد التقارير إن الباحثين أبلغوا Visa والبنوك المتأثرة بالنتائج في مايو وديسمبر 2025، وأرسلوا مواد لإعادة التجربة وسجلات للعمليات وفيديو توضيحياً.

لكن المصادر المتاحة لا تتضمن بياناً يمكن التحقق منه صادراً عن Visa، أو نشرة أمنية مؤكدة، أو دليلاً على اكتمال طرح إصلاح في منظومة الدفع. وعليه، لا توجد أدلة كافية للقول إن Visa عالجت المشكلة بالكامل، أو لتحديد البطاقات وأجهزة الدفع المشمولة، أو لمعرفة ما إذا كان أي إجراء تخفيفي إلزامياً على مستوى المنظومة كلها.

ما الإجراءات المضادة المقترحة؟

يتمثل الإصلاح المركزي في منع اختلاف تاريخ الانتهاء الذي يراه جهاز الدفع عن التاريخ المرتبط ببيانات البطاقة الموثقة.

• شبكات الدفع ومصممو النوى البرمجية: ربط تاريخ الانتهاء وغيره من المدخلات التي تؤثر في قرار الجهاز تشفيرياً ببيانات البطاقة الموثقة وبرمز العملية التشفيري، ورفض العملية عند وجود قيم متناقضة.
• مشغلو أجهزة الدفع والجهات المستحوذة: إجراء مطابقة متقاطعة لمعلومات انتهاء الصلاحية في مراحل تبادل EMV، والتحقيق في التناقضات. وقد توفر مؤشرات التوقيت أو سلوك الاتصالات إشارة إضافية إلى هجمات الترحيل، لكن المواد المتاحة لا تثبت وجود وسيلة كشف شاملة.
• البنوك المصدرة: التحقق بشكل مستقل من انتهاء البطاقة واستبدالها وحالتها ضمن دورة حياتها أثناء التفويض، بدلاً من الاعتماد حصراً على التاريخ الذي يقدمه جهاز الدفع. وينبغي رفض العمليات أو وضع علامة تحذير عليها عندما تتوافر معلومات كافية عن استخدام بطاقة منتهية أو مستبدلة.
• برامج البطاقات: ضمان تعطيل البطاقات السابقة أو تقييدها باستمرار عند إصدار بطاقات بديلة، وفقاً للحالة المناسبة.
• المستهلكون: مراقبة الحسابات والإبلاغ سريعاً عن العمليات غير المصرح بها. فالبطاقة الفعلية المنتهية لا ينبغي اعتبارها آمنة تلقائياً إذا ظل الحساب أو الاعتماد المرتبط بها نشطاً.

كيف تتخلص من البطاقة المنتهية بأمان؟

ابدأ دائماً بتعليمات البنك المصدر، خصوصاً إذا طلب إعادة البطاقة القديمة. وفي غير ذلك، احذف البطاقة من حسابات المتاجر المحفوظة وتطبيقات المحافظ الرقمية، وتأكد من تفعيل البطاقة البديلة، ثم أتلف البطاقة القديمة بحيث يصعب إعادة تركيب بيانات الدفع منها.

اقطع البطاقة عبر الشريحة، والشريط المغناطيسي، والرقم المطبوع، ولوحة التوقيع، ورمز الأمان CVV. ويفضل استخدام آلة فرم مقطعي مصممة للبطاقات المصرفية بدلاً من تركها سليمة. وإذا كان ذلك عملياً، فتخلص من القطع في حاويات أو دفعات نفايات مختلفة. تقلل هذه الخطوات مخاطر استعادة بيانات البطاقة من النفايات، لكنها لا تغني عن مراقبة الحساب أو إبلاغ البنك فوراً عن أي عملية غير مألوفة.

الفكرة الأساسية: فصل البطاقة عن جهاز الدفع

اعتمدت التجربة على هاتفين ذكيين يدعمان NFC، يعملان كحلقة وصل بين البطاقة الفعلية وجهاز نقاط البيع:

• يتواصل الهاتف الأول مع البطاقة المنتهية.
• يقدّم الهاتف الثاني بيانات العملية إلى جهاز الدفع في المتجر.
• ينقل الهاتفان رسائل EMV بين البطاقة وجهاز الدفع، فينشئان جسراً بين طرفين يفترض عادة أن يتواصلا مباشرة.

وخلال هذه العملية، عدّل المرحّل تاريخ انتهاء الصلاحية الذي يراه جهاز الدفع. فبدلاً من التاريخ القديم، يمكن أن يظهر تاريخ مستقبلي، ما يدفع الفحوص المحلية في الجهاز إلى التعامل مع البطاقة على أنها ما تزال سارية. وتتطلب الطريقة حيازة البطاقة الفعلية، أو إبقاءها قريبة بما يكفي لاتصال NFC، إلى جانب وجود المرحّل بين البطاقة وجهاز الدفع.

التشفير لم يُكسر… لكن أحد الحقول تغيّر

النقطة الأهم هي أن الهجوم لم يحتج إلى تقليد المفاتيح السرية للبطاقة. فقد واصلت البطاقة الأصلية إنتاج التوقيعات وبيانات العملية الديناميكية التي تتوقعها آلية EMV. وبعبارة أخرى، بقيت الأدلة التشفيرية أصلية، لكن تاريخ الانتهاء ــ وهو حقل مؤثر في قرار القبول ــ أمكن تغييره من دون إبطال بقية البيانات الموثقة.

وهذا يوضح الفرق بين كسر التشفير واستغلال خلل في تصميم البروتوكول: قد يظل توقيع العملية أو رمزها التشفيري صحيحاً، بينما تُعدَّل قيمة أخرى يعتمد عليها جهاز الدفع إذا لم تكن القيم مرتبطة ببعضها تشفيرياً على نحو كافٍ. وقد وصف الباحثون النتيجة بأنها نقطة ضعف تسمح بالتلاعب «في الوسط» ضمن مسار الدفع اللاتلامسي الخاص بـVisa.

ماذا كشف Visa EMV Kernel 3؟

تعلقت المشكلة، وفق التقارير المتاحة، بعدم اتساق طريقة التعامل مع تاريخ انتهاء الصلاحية في تطبيق Visa EMV Contactless Kernel 3. ففي الإعداد الذي اختبره الباحثون، لم يكن التاريخ الذي يقدمه جهاز الدفع مرتبطاً تشفيرياً بما يكفي ببيانات البطاقة ومعلومات العملية التي تُستخدم لاحقاً في التفويض.

نتج عن ذلك التسلسل التالي:

1. أرسلت البطاقة الفعلية بيانات دفع أصلية، بما فيها تاريخ انتهائها الحقيقي.
2. غيّر المرحّل التاريخ الذي يظهر أمام جهاز الدفع.
3. واصلت البطاقة إنشاء مواد مصادقة أصلية للعملية.
4. أصبح بإمكان الجهاز تقييم تاريخ مستقبلي، في الوقت الذي يتلقى فيه دليلاً تشفيرياً صحيحاً من البطاقة الحقيقية.

لذلك استهدف الهجوم العلاقة بين الحقول، لا الخوارزميات التشفيرية ذاتها.

لماذا أمكن لبطاقة منتهية تنفيذ عملية صحيحة؟

يفترض كثير من المستخدمين أن انتهاء البطاقة هو بمثابة إيقاف تشفيري نهائي لها. لكن ملخص البحث المتاح يشير إلى أن بعض أنظمة الدفع اللاتلامسي تفرض هذا الشرط عبر الفحوص التي تعتمد على ما يستقبله جهاز الدفع وما يستطيع البنك المصدر التحقق منه أثناء التفويض، لا باعتباره خاصية تشفيرية داخلية لا يمكن تجاوزها.

فإذا رأى جهاز الدفع تاريخاً مستقبلياً، ووصل إلى البنك دليل تشفيري أصلي لبقية العملية، فقد لا يمتلك النظام إشارة موثوقة وموحّدة تثبت أن البطاقة الفعلية منتهية. ومع ذلك، لا يحوّل الهجوم حساباً مغلقاً أو غير صالح إلى حساب نشط؛ إذ يجب أن يظل الحساب قابلاً للاستخدام حتى تنجح عملية التفويض.

ماذا عن Mastercard وAmerican Express وDiscover؟

تفيد التقارير المقدمة بأن استبدال تاريخ الانتهاء بالطريقة نفسها لم ينجح في الإعدادات المختبرة الخاصة بـMastercard Kernel 2 وAmerican Express Kernel 4 وDiscover Kernel 6.

لكن الأدلة المتاحة لا تقدم تحليلاً تقنياً كاملاً، نواةً بنواة، يحدد بالضبط أي حقول أو خطوات تحقق أدت إلى رفض تلك العمليات. والاستنتاج الأكثر تحفظاً هو أن الإعدادات المختبرة لهذه الشبكات تعاملت مع التلاعب المحدد بفاعلية أكبر من إعداد Visa الذي اختُبر؛ وليس أن كل بطاقة تحمل إحدى هذه العلامات محصّنة ضد هجمات الترحيل أو جميع أشكال الاحتيال الأخرى.

هل اختلفت النتائج بين البنوك الخمسة؟

ذكرت التقارير أن الاختبارات شملت بطاقات صادرة عن عدة بنوك أميركية كبرى، مع تنفيذ أو محاولة تنفيذ عمليات لدى أكثر من جهة إصدار.

لكن المواد المصدرية المتاحة لا تسمّي البنوك الخمسة كلها، ولا تقدم نتيجة موثقة ومفصلة توضح أي بنك وافق على العملية وأي بنك رفضها. لذلك سيكون من المضلل نشر جدول يربط كل بنك بنتيجة محددة أو الادعاء بأن جهة إصدار بعينها تقبل الهجوم أو ترفضه دائماً. فقد تتغير النتيجة بحسب نوع البطاقة، وحالة الحساب، وجهاز الدفع، والجهة المستحوذة، وضوابط التفويض، وظروف العملية نفسها.

ماذا فعلت Visa؟ وما وضع الإصلاح؟

يقول أحد التقارير إن الباحثين أبلغوا Visa والبنوك المتأثرة بالنتائج في مايو وديسمبر 2025، وأرسلوا مواد لإعادة التجربة وسجلات للعمليات وفيديو توضيحياً.

لكن المصادر المتاحة لا تتضمن بياناً يمكن التحقق منه صادراً عن Visa، أو نشرة أمنية مؤكدة، أو دليلاً على اكتمال طرح إصلاح في منظومة الدفع. وعليه، لا توجد أدلة كافية للقول إن Visa عالجت المشكلة بالكامل، أو لتحديد البطاقات وأجهزة الدفع المشمولة، أو لمعرفة ما إذا كان أي إجراء تخفيفي إلزامياً على مستوى المنظومة كلها.

ما الإجراءات المضادة المقترحة؟

يتمثل الإصلاح المركزي في منع اختلاف تاريخ الانتهاء الذي يراه جهاز الدفع عن التاريخ المرتبط ببيانات البطاقة الموثقة.

• شبكات الدفع ومصممو النوى البرمجية: ربط تاريخ الانتهاء وغيره من المدخلات التي تؤثر في قرار الجهاز تشفيرياً ببيانات البطاقة الموثقة وبرمز العملية التشفيري، ورفض العملية عند وجود قيم متناقضة.
• مشغلو أجهزة الدفع والجهات المستحوذة: إجراء مطابقة متقاطعة لمعلومات انتهاء الصلاحية في مراحل تبادل EMV، والتحقيق في التناقضات. وقد توفر مؤشرات التوقيت أو سلوك الاتصالات إشارة إضافية إلى هجمات الترحيل، لكن المواد المتاحة لا تثبت وجود وسيلة كشف شاملة.
• البنوك المصدرة: التحقق بشكل مستقل من انتهاء البطاقة واستبدالها وحالتها ضمن دورة حياتها أثناء التفويض، بدلاً من الاعتماد حصراً على التاريخ الذي يقدمه جهاز الدفع. وينبغي رفض العمليات أو وضع علامة تحذير عليها عندما تتوافر معلومات كافية عن استخدام بطاقة منتهية أو مستبدلة.
• برامج البطاقات: ضمان تعطيل البطاقات السابقة أو تقييدها باستمرار عند إصدار بطاقات بديلة، وفقاً للحالة المناسبة.
• المستهلكون: مراقبة الحسابات والإبلاغ سريعاً عن العمليات غير المصرح بها. فالبطاقة الفعلية المنتهية لا ينبغي اعتبارها آمنة تلقائياً إذا ظل الحساب أو الاعتماد المرتبط بها نشطاً.

كيف تتخلص من البطاقة المنتهية بأمان؟

ابدأ دائماً بتعليمات البنك المصدر، خصوصاً إذا طلب إعادة البطاقة القديمة. وفي غير ذلك، احذف البطاقة من حسابات المتاجر المحفوظة وتطبيقات المحافظ الرقمية، وتأكد من تفعيل البطاقة البديلة، ثم أتلف البطاقة القديمة بحيث يصعب إعادة تركيب بيانات الدفع منها.

اقطع البطاقة عبر الشريحة، والشريط المغناطيسي، والرقم المطبوع، ولوحة التوقيع، ورمز الأمان CVV. ويفضل استخدام آلة فرم مقطعي مصممة للبطاقات المصرفية بدلاً من تركها سليمة. وإذا كان ذلك عملياً، فتخلص من القطع في حاويات أو دفعات نفايات مختلفة. تقلل هذه الخطوات مخاطر استعادة بيانات البطاقة من النفايات، لكنها لا تغني عن مراقبة الحساب أو إبلاغ البنك فوراً عن أي عملية غير مألوفة.