כרטיס אשראי שפג תוקפו — ועדיין עובד: כך פעלה מתקפת Zombie Card

הנקודה החשובה היא שהממסר לא נדרש לפצח את המפתחות הסודיים של הכרטיס. הכרטיס האמיתי המשיך להפיק את נתוני העסקה הדינמיים והחתומים ש-EMV מצפה להם. החולשה הייתה האפשרות לשנות שדה אחד שמשפיע על החלטת המסוף — תאריך התפוגה — בלי לפסול את שאר הנתונים המאומתים.

מה נחשף ב-Visa EMV Kernel 3?

לפי הדיווחים, הבעיה נבעה מטיפול לא עקבי בתאריך התפוגה במימוש התשלומים ללא מגע של Visa, המכונה EMV Kernel 3. בתצורה שנבדקה, התאריך שהוצג למסוף לא נקשר באופן קריפטוגרפי מספק לנתוני הכרטיס ולמידע העסקה ששימשו בהמשך לאישור המקוון.

כך נוצר הפער שאפשר את המתקפה:

1. הכרטיס הפיזי סיפק נתוני תשלום אמיתיים, כולל תאריך התפוגה המקורי שכבר חלף.
2. הממסר שינה את התאריך שהמסוף ראה.
3. הכרטיס המשיך להפיק חומר אימות אותנטי לעסקה.
4. המסוף יכול היה לבדוק תאריך עתידי, ובמקביל לקבל הוכחות קריפטוגרפיות תקפות מהכרטיס האמיתי.

כלומר, המתקפה לא שברה את ההצפנה עצמה, אלא ניצלה את הקשר הלא מספק בין שדות שונים בפרוטוקול. חתימה או קריפטוגרמה של עסקה יכולות להישאר אותנטיות, בעוד ערך נפרד שהמסוף משתמש בו לצורך קבלת החלטה משתנה בדרך — אם הפרוטוקול אינו קושר את הערכים האלה זה לזה בצורה הדוקה מספיק.

מדוע כרטיס שפג תוקפו עדיין הצליח לבצע עסקה?

קל לחשוב על תאריך התפוגה כעל מנגנון קריפטוגרפי שמכבה את הכרטיס ברגע מסוים. אולם לפי סיכום המחקר, במערכות תשלום ללא מגע תאריך התפוגה עשוי להיאכף כחלק מבדיקות התאימות והאישור, ולא כתכונה קריפטוגרפית פנימית שמבטלת את הכרטיס בכל מצב.

אם המסוף מקבל תאריך עתידי והמנפיק מקבל נתוני עסקה אותנטיים במידה רבה, ייתכן שלמערכת אין אות מאומת ואמין שמבהיר שהכרטיס הפיזי כבר פג תוקף. עם זאת, חשבון האשראי עצמו עדיין צריך להיות פתוח וזמין לאישור. המתקפה אינה הופכת חשבון סגור או חשבון מבוטל לחשבון פעיל.

ומה לגבי Mastercard, American Express ו-Discover?

הדיווחים שסופקו מציינים כי החלפת תאריך התפוגה לא הצליחה בתצורות שנבדקו עבור Mastercard Kernel 2, American Express Kernel 4 ו-Discover Kernel 6.

עם זאת, המקורות הזמינים אינם מציגים ניתוח מלא, תצורה-אחר-תצורה, שמסביר בדיוק אילו קשירות קריפטוגרפיות או בדיקות גרמו לעסקאות להיכשל. לכן המסקנה הזהירה היא שהתצורות שנבדקו ברשתות האלה דחו את המניפולציה המסוימת הזו בצורה יעילה יותר מהתצורה שנבדקה אצל Visa — לא שכל כרטיס שהונפק תחת המותגים האלה חסין מפני מתקפות ממסר או סוגים אחרים של הונאת תשלומים.

אילו בנקים אישרו את העסקאות?

המחקר תואר כמחקר שכלל כרטיסים ממספר בנקים אמריקאיים גדולים, והסיקור מדבר על עסקאות מוצלחות או ניסיונות עסקה אצל כמה מנפיקים.

אבל החומר שסופק אינו מזהה את כל חמשת הבנקים ואינו מספק תוצאה מאומתת של אישור או דחייה עבור כל אחד מהם. לכן אין בסיס אחראי לפרסם טבלה שמייחסת לכל בנק תוצאה מסוימת, או לקבוע שמנפיק כלשהו אישר או דחה את המתקפה באופן גורף. התוצאה עשויה להשתנות לפי סוג הכרטיס, מצב החשבון, מנגנוני האישור, המסוף, הסולק ותנאי העסקה.

מה ידוע על תגובת Visa ועל התיקון?

לפי אחד הדיווחים, החוקרים מסרו את הממצאים ל-Visa ולבנקים שנפגעו במאי ובדצמבר 2025. לפי אותו דיווח, החומרים כללו מדריך לשחזור המתקפה, רישומי עסקאות וסרטון הדגמה.

המקורות הזמינים אינם כוללים הודעה רשמית שניתן לאמת מטעם Visa, עלון אבטחה מאושר או ראיה לפריסה מלאה של תיקון. לכן אי אפשר לקבוע ש-Visa כבר תיקנה את הבעיה לחלוטין, אילו כרטיסים או מסופים מכוסים, או אם אמצעי הגנה כלשהו מחייב את כלל השחקנים במערכת התשלומים.

איך אפשר להתגונן לאורך שרשרת התשלום?

הפתרון המרכזי הוא למנוע מצב שבו תאריך התפוגה שמגיע למסוף שונה מהנתונים המאומתים של הכרטיס.

• רשתות תשלום ומפתחי ליבות EMV: לקשור קריפטוגרפית את תאריך התפוגה ואת שאר הנתונים שעליהם המסוף מקבל החלטה לנתוני הכרטיס המאומתים ולקריפטוגרמת העסקה. ערכים לא עקביים צריכים לגרום לדחיית העסקה.
• מפעילי מסופים וסולקים: להשוות את פרטי התפוגה בכל המקומות שבהם הם מופיעים בתהליך EMV ולבדוק אי-התאמות. זיהוי ממסרים על בסיס תזמון או דפוסי תקשורת עשוי לספק סימן נוסף, אך החומר שסופק אינו מוכיח שקיימת שיטת זיהוי אוניברסלית.
• מנפיקי כרטיסים: לבדוק באופן עצמאי בצד השרת את תאריך התפוגה, את מצב ההחלפה ואת מחזור החיים של הכרטיס בזמן האישור, במקום להסתמך רק על התאריך שמסר המסוף. עסקאות מכרטיסים שפג תוקפם או מכרטיסים שהוחלפו צריכות להידחות או להסומן כאשר למנפיק יש מספיק מידע לזיהוין.
• תוכניות כרטיסים: לוודא שתהליך הנפקת כרטיס חלופי מבטל או מגביל באופן עקבי את הכרטיס הקודם, בהתאם לצורך.
• צרכנים: לעקוב אחר פעילות החשבון ולדווח במהירות על עסקאות לא מוכרות. כרטיס פיזי שפג תוקפו אינו בהכרח חסר ערך אם החשבון או אמצעי התשלום המקושר אליו עדיין פעילים.

איך להשמיד כרטיס שפג תוקפו?

ראשית, יש לפעול לפי הוראות המנפיק — במיוחד אם הבנק או חברת האשראי מבקשים להחזיר את הכרטיס הישן. אם אין הוראה כזו, מומלץ להסיר את הכרטיס מחשבונות שמורים באתרי קניות ומאפליקציות ארנק דיגיטלי, לוודא שהכרטיס החלופי פעיל, ולהשמיד את הכרטיס הישן כך שלא יהיה קל לשחזר ממנו את פרטי התשלום.

יש לחתוך דרך השבב, הפס המגנטי, מספר הכרטיס המודפס, אזור החתימה וקוד האבטחה. עדיף להשתמש במגרסה לחיתוך צולב שמתאימה לכרטיסי תשלום, ואם הדבר אפשרי — להשליך את החלקים בנפרד. צעדים אלה מצמצמים את הסיכון מחשיפת פרטי הכרטיס בפח, אך אינם מחליפים מעקב אחר החשבון ודיווח למנפיק על עסקה חשודה.