מתקפת «כרטיס הזומבי»: איך כרטיסי Visa שפג תוקפם חזרו לשלם

לפי החוקרים, התוקף אינו חייב לדעת מהו תאריך התפוגה של הכרטיס החלופי. בבדיקה שמבצע המסוף, גם תאריך עתידי שרירותי עשוי להספיק כדי לגרום לכרטיס להיראות בתוקף.

עם זאת, התוקף אינו מזייף את הכרטיס ואינו מפצח את ההצפנה של תקן EMV. הכרטיס הפיזי עדיין מספק את נתוני הכרטיס האמיתיים, חתימות קריפטוגרפיות וקודי אימות לעסקה. הבעיה היא שתאריך התפוגה שבו משתמש המסוף אינו קשור באופן מספק לנתונים המאומתים שעליהם מסתמך האישור המקוון בהמשך — לפחות במימוש Visa שנבדק.

מדוע EMV Kernel 3 של Visa הוא החלק המרכזי?

Kernel של EMV הוא מימוש התוכנה במסוף התשלום שמטפל בתהליך העסקה עבור רשת כרטיסים מסוימת. ל-Visa, ל-Mastercard, ל-American Express ול-Discover יש מסלולי עיבוד שונים לתשלומים ללא מגע.

הממצא של החוקרים נוגע למסלול התשלומים ללא מגע של Visa, שמזוהה בדיווחים שסופקו כ-Kernel 3. פער התכנון שעליו דווח מאפשר לשני חלקים בעסקה «לא להסכים»: המסוף מקבל תאריך תפוגה עתידי ששונה בדרך, בעוד שהעסקה שנשלחת לבנק המנפיק עדיין כוללת נתוני כרטיס אמיתיים ובדיקות קריפטוגרפיות תקינות.

בתכנון שבו תאריך התפוגה קשור באופן הדוק יותר לנתונים המאומתים, שינוי של הערך במהלך ההעברה היה יוצר חוסר עקביות ומוביל לכישלון האימות. לכן הממצא מדגים עיקרון אבטחה חשוב: הצפנה לבדה אינה מספיקה כאשר שדה קריטי לאבטחה נבדק בחלק אחד של שרשרת התשלום, אך אינו מקושר באופן אמין לנתונים שעליהם מסתמכים בחלק אחר שלה.

מדוע השיטה לא עבדה, לפי הדיווחים, ברשתות אחרות?

החוקרים בדקו את השיטה גם מול Kernels אחרים לתשלומים ללא מגע ודיווחו שהיא לא עבדה מול Mastercard Kernel 2, American Express Kernel 4 או Discover Kernel 6. לפי הדיווחים שסופקו, העמידות נובעת מהגנה, אימות או קישור קריפטוגרפי חזקים יותר של נתוני התפוגה הרלוונטיים.

הראיות הזמינות אינן מפרטות מהו בדיוק כלל הפרוטוקול שעוצר את המתקפה בכל אחד משלושת ה-Kernels האלה. לכן המסקנה המדויקת יותר היא שהשיטה שהודגמה לשינוי תאריך התפוגה נמצאה יעילה במימוש Visa שנבדק, אך לא במסלולים שנבדקו של Mastercard, American Express ו-Discover. אין בכך הוכחה שניתן לזייף כרטיסי Visa באופן כללי, או שכל כרטיס Visa שפג תוקפו ימשיך לעבוד.

מה העלו הניסויים בחמישה בנקים בארצות הברית?

הבדיקות נערכו מול בתי עסק, מסופים, Kernels של EMV וחמישה בנקים אמריקאיים גדולים — והתוצאות היו מעורבות. חלק מהמנפיקים אישרו עסקאות שבהן תאריך התפוגה שהוצג למסוף שונה, ואחרים דחו אותן בזכות בדיקות חזקות יותר בצד המנפיק.

ההבדל הזה הוא לב הממצא: החלטת המסוף לבדה לא קבעה אם התשלום יושלם. גם לוגיקת האישור של הבנק המנפיק הייתה חשובה. בנק שבודק באופן עצמאי את תוקף הכרטיס, את הנפקת הכרטיס החלופי, את ביטול הכרטיס ואת מצב החשבון לאורך מחזור החיים שלו, צפוי יותר לדחות עסקה כזו מאשר בנק שמסתמך במידה רבה על החלטת המסוף בנוגע לתאריך התפוגה.

הדיווחים שסופקו אינם כוללים רשימה אמינה של חמשת הבנקים, פירוט מאומת של עסקאות שאושרו או נדחו, או מגבלות שימוש מדויקות לכל בנק. אין להסיק את הפרטים האלה מהממצא הכללי.

דיווח על החולשה ומצב התיקון

המחקר הוצג בכנס USENIX Security 2026, והדיווחים הקשורים לאוניברסיטה מציינים כי חברות כרטיסים מרכזיות עודכנו לפני פרסום הממצאים.

נכון ל-20 באוגוסט 2026, הראיות שסופקו מאשרות את ממצא החולשה במסגרת ההערכה של החוקרים, אך אינן מאשרות ש-Visa השלימה שינוי אוניברסלי ב-Kernel, עדכון למסופים או תיקון כלל-מערכתי אצל המנפיקים. הן גם אינן קובעות לוח זמנים סופי לתיקון אצל כל בנק שנפגע.

ההבחנה הזו חשובה: דיווח על חולשה אינו זהה להשלמת התיקון. רמת הסיכון המעשית עשויה להשתנות בזמן שרשתות התשלום, ספקי המסופים, הסולקים והמנפיקים בוחנים כיצד לאמת באופן עקבי את נתוני מחזור החיים של הכרטיס.

אילו הגנות נדרשות לאורך שרשרת התשלום?

המחקר מצביע על צורך בהגנה רב-שכבתית, ולא בפתרון יחיד:

• מתכנני מערכות התשלום וה-Kernel: יש לקשור באופן קריפטוגרפי את תאריך התפוגה ושדות נוספים הנראים למסוף לנתוני העסקה המאומתים. שינוי במהלך ההעברה צריך לגרום לפסילת העסקה.
• מערכות המסוף והסולקים: יש לאמת את תאריך התפוגה באמצעות מידע מאומת, כאשר מידע כזה זמין, ולדחות ערכים שאינם עקביים במקום להסתמך על שדה לא מוגן שמוצג למסוף.
• הבנקים המנפיקים: יש לבדוק באופן עצמאי בזמן האישור את תוקף הכרטיס, הנפקת כרטיס חלופי, ביטול הכרטיס ומצב החשבון, ולא להסתמך רק על החלטת המסוף המקומית.
• רשתות התשלום וצוותי מניעת ההונאות: יש לחפש פערים בין תאריך התפוגה שהמסוף מסר לבין פרטי הכרטיס שנראים למנפיק, ולהפעיל בקרות מתאימות מול פעילות חשודה של ממסרי תשלום ללא מגע. ההמלצה נובעת מהממצא שלפיו האחריות מחולקת בין הכרטיס, המסוף, הרשת והבנק.

מה צריכים צרכנים לעשות עם כרטיס שפג תוקפו?

אין להשליך כרטיס שפג תוקפו כשהוא שלם. ההנחיות שסופקו לצד המחקר ממליצות לנטרל את הפס המגנטי, להשמיד את שבב ה-EMV ולגזור או לגרוס את הכרטיס — כולל המספרים והאותיות המודפסים עליו — לפני השלכת החלקים בנפרד. בעלי כרטיסי מתכת צריכים לפנות למנפיק ולשאול כיצד להשליך אותם בבטחה.

כדאי גם לעקוב אחר החשבון המקושר לכרטיס, אפילו לאחר סגירתו, ולדווח במהירות על חיובים לא מורשים. המתקפה דורשת גישה לכרטיס הפיזי או קרבה ממושכת אליו, ולכן השמדה בטוחה של כרטיס ישן מפחיתה את ההזדמנות לניצול.