هجوم «البطاقة الزومبي» يعيد بطاقات Visa منتهية الصلاحية إلى العمل

وبحسب الاختبار الذي وصفه الباحثون، لا يحتاج المهاجم إلى معرفة تاريخ انتهاء البطاقة البديلة التي حصل عليها صاحب البطاقة. فقد يكون إدخال أي تاريخ مستقبلي كافياً لاجتياز الفحص المحلي الذي يجريه جهاز الدفع.

ولا يتضمن ذلك اختراق تشفير EMV أو تزوير البطاقة نفسها. فالبطاقة الفعلية تظل مصدر بياناتها الأصلية، بما في ذلك بيانات المعاملة الشبيهة ببيانات Track 2، والتوقيعات، والرموز التشفيرية الخاصة بالمعاملة. تكمن المشكلة في أن قيمة تاريخ الانتهاء التي يعتمد عليها الجهاز لا ترتبط بما يكفي بالبيانات الموثقة التي يستخدمها البنك لاحقاً في التفويض الإلكتروني، وذلك في إعداد Visa الذي اختبره الباحثون.

لماذا يُعد Visa EMV Kernel 3 محورياً؟

تشير «نواة EMV» إلى البرمجية الموجودة في أجهزة الدفع لمعالجة معاملات البطاقات وفق نظام كل شبكة. وتستخدم Visa وMastercard وAmerican Express وDiscover مسارات مختلفة لمعالجة الدفع اللاتلامسي.

ركزت النتيجة على مسار Visa اللاتلامسي المعروف باسم EMV Kernel 3. ووفق التقارير المتاحة، يتيح هذا التصميم اختلافاً بين جزأين من العملية: فقد يتلقى جهاز الدفع تاريخ انتهاء مستقبلياً تم تعديله، بينما تحتفظ المعاملة المرسلة إلى البنك ببيانات البطاقة الأصلية وبالفحوص التشفيرية الصحيحة.

في تصميم أكثر إحكاماً، كان تغيير قيمة مرتبطة بتاريخ الانتهاء أثناء انتقال البيانات سيجعل المعاملة غير متسقة مع البيانات الموثقة، فتفشل عملية التحقق. وتوضح هذه الحالة مبدأ أمنياً مهماً: لا تكفي التواقيع التشفيرية وحدها إذا كان حقل حساس أمنياً يُفحص في جزء من سلسلة الدفع، من دون ربطه بشكل موثوق بالبيانات التي تُستخدم لاتخاذ قرار التفويض في جزء آخر.

لماذا لم تنجح الطريقة نفسها مع شبكات أخرى؟

اختبر الباحثون الهجوم مع نوى لاتلامسية أخرى، وقالوا إنه لم ينجح ضد Mastercard Kernel 2 وAmerican Express Kernel 4 وDiscover Kernel 6. وتنسب التقارير المتاحة هذه المقاومة إلى حماية أو تحقق أقوى، أو إلى ربط تشفيري أفضل لبيانات الانتهاء ذات الصلة.

لكن الأدلة المتاحة لا تشرح بالتفصيل القاعدة البروتوكولية المحددة التي تمنع الهجوم في كل نواة من هذه النوى الثلاث. لذلك، فإن الاستنتاج الأدق هو أن طريقة التلاعب بتاريخ الانتهاء التي جرى عرضها نجحت في إعداد Visa المختبر، ولم تُظهر النتيجة نفسها في مسارات Mastercard وAmerican Express وDiscover التي خضعت للاختبار. وهذا لا يثبت أن جميع بطاقات Visa قابلة للتزوير أو أن كل بطاقة Visa منتهية ستعمل.

ماذا كشفت الاختبارات لدى خمسة بنوك أمريكية؟

أجرى الباحثون اختبارات شملت متاجر وأجهزة دفع ونوى EMV وخمسة بنوك أمريكية كبرى، وكانت النتائج متفاوتة. فقد وافقت بعض الجهات المُصدرة على معاملات تضمنت تاريخ الانتهاء المعدل الذي ظهر للجهاز، بينما رفضت جهات أخرى العملية بفضل فحوص أقوى من جانب البنك.

وهذا التفاوت هو جوهر النتيجة. فلم يكن قرار جهاز الدفع وحده كافياً لتحديد ما إذا كانت العملية ستكتمل؛ إذ لعبت أنظمة التفويض لدى البنك دوراً حاسماً أيضاً. ومن المرجح أن يرفض البنك الذي يتحقق بصورة مستقلة من انتهاء البطاقة واستبدالها وإلغائها وحالتها التشغيلية، المعاملة بدرجة أكبر من بنك يعتمد إلى حد كبير على قرار الجهاز المحلي بشأن تاريخ الانتهاء.

ولا تقدم التقارير المتاحة قائمة موثوقة بأسماء البنوك الخمسة، أو نتائج الموافقة والرفض لكل بنك، أو حدوداً مؤكدة لقيمة أو عدد المعاملات. لذلك لا يمكن استنتاج هذه التفاصيل من النتيجة العامة للدراسة.

الإفصاح عن الثغرة وحالة المعالجة

عُرض البحث في مؤتمر USENIX Security 2026، وذكرت التقارير المرتبطة بالجامعة أن شركات بطاقات كبرى أُبلغت بالنتائج قبل نشرها علناً.

وحتى 20 أغسطس 2026، تؤكد الأدلة المتاحة اكتشاف الثغرة ونجاح تقييمها في إعدادات الباحثين، لكنها لا تؤكد أن Visa أنهت تحديثاً شاملاً لنواة المعالجة، أو لأجهزة الدفع، أو أن جميع البنوك المتأثرة طبقت إصلاحاً موحداً. كما لا تتوفر، وفق المصادر المقدمة، خطة زمنية نهائية لمعالجة المشكلة لدى كل بنك.

وهنا تجدر الإشارة إلى فرق مهم: الإبلاغ عن الثغرة لا يعني أن إصلاحها اكتمل. فقد تختلف درجة الخطر عملياً بينما تعمل شبكات الدفع ومزودو أجهزة الدفع والبنوك والجهات المستحوذة على توحيد طريقة التحقق من بيانات دورة حياة البطاقة.

ما الإجراءات الدفاعية المقترحة؟

تشير نتائج البحث إلى ضرورة اعتماد دفاع متعدد الطبقات، بدلاً من الاكتفاء بإصلاح واحد:

• مصممو نوى الدفع وأنظمة البطاقات: يجب ربط تاريخ الانتهاء وحقول دورة حياة البطاقة التي يراها الجهاز تشفيرياً ببيانات المعاملة الموثقة، بحيث يؤدي أي تعديل أثناء النقل إلى إبطال العملية.
• أجهزة الدفع والجهات المستحوذة: ينبغي التحقق من تاريخ الانتهاء بالاعتماد على بيانات موثقة متى توافرت، ورفض القيم المتناقضة بدلاً من الوثوق بحقل غير محمي يظهر للجهاز فقط.
• البنوك المُصدرة: يجب فحص انتهاء البطاقة واستبدالها وإلغائها وحالة الحساب والبطاقة بصورة مستقلة أثناء التفويض، وعدم الاعتماد على قرار جهاز الدفع المحلي وحده.
• شبكات الدفع وفرق مكافحة الاحتيال: من المفيد البحث عن التناقضات بين تاريخ الانتهاء الذي يرسله الجهاز والبيانات التي يراها البنك، مع تطبيق ضوابط مناسبة على أنماط الترحيل المشبوهة في معاملات الدفع اللاتلامسي. وتنسجم هذه التوصية مع نتيجة الباحثين التي تظهر أن المسؤولية موزعة بين البطاقة والجهاز والشبكة والبنك.

ماذا يفعل المستهلك بالبطاقة المنتهية؟

لا ينبغي رمي البطاقة المنتهية كما هي. وتوصي الإرشادات المرتبطة بالبحث بإزالة قابلية قراءة الشريط المغناطيسي، وإتلاف شريحة EMV، ثم قص البطاقة أو تمزيقها، بما يشمل الأرقام والحروف المطبوعة عليها، والتخلص من القطع بشكل منفصل. أما البطاقات المعدنية، فينبغي سؤال البنك المُصدر عن طريقة التخلص الآمنة منها.

كما يُنصح بإبقاء الحساب المرتبط تحت المراقبة، حتى بعد إغلاق البطاقة، والإبلاغ سريعاً عن أي عملية غير مصرح بها. وبما أن الهجوم يتطلب حيازة البطاقة الفعلية أو البقاء على مسافة قريبة منها لفترة كافية، فإن إتلاف البطاقة القديمة بطريقة صحيحة يقلل فرص إساءة استخدامها.