Bagaimana Kartu Visa Kedaluwarsa Bisa Dipakai Lagi lewat Serangan “Zombie Card”

Kartu pembayaran yang sudah melewati tanggal kedaluwarsa ternyata belum tentu benar-benar tidak bisa digunakan dalam semua skenario. Peneliti dari University of Massachusetts Amherst mendemonstrasikan serangan relay NFC man-in-the-middle yang membuat kartu Visa nirsentuh kedaluwarsa tampak masih berlaku di terminal kasir. Dalam pengujian, teknik ini memungkinkan transaksi pembelian langsung di toko tanpa memalsukan kredensial kriptografis kartu.

Cara kerja serangan “Zombie Card”

Serangan ini memisahkan kartu fisik dari terminal pembayaran menggunakan dua ponsel yang mendukung NFC. Satu ponsel berkomunikasi dengan kartu kedaluwarsa, sedangkan ponsel lain meneruskan transaksi tersebut ke terminal pembayaran. Keduanya mengirimkan pesan EMV bolak-balik melalui koneksi relay, sehingga perangkat yang biasanya berkomunikasi secara langsung seolah-olah tetap terhubung.

Dalam proses itu, relay mengubah tanggal kedaluwarsa yang diterima terminal. Tanggal yang sudah lewat dapat diganti dengan tanggal di masa depan sehingga pemeriksaan lokal terminal menganggap kartu masih aktif. Demonstrasi tersebut tetap membutuhkan kartu fisik atau akses NFC yang terus-menerus ke kartu, serta perangkat relay yang berada di antara kartu dan terminal.

Hal pentingnya: serangan ini tidak perlu membobol kunci rahasia kartu. Kartu asli tetap menghasilkan data transaksi dinamis dan materi autentikasi yang sah sesuai proses EMV. Celahnya terletak pada satu bidang yang memengaruhi keputusan terminal—tanggal kedaluwarsa—yang dapat diubah tanpa merusak data terautentikasi lainnya.

Celah pada Visa EMV Kernel 3

Masalah yang dilaporkan berkaitan dengan cara Visa EMV contactless Kernel 3 memperlakukan tanggal kedaluwarsa. Dalam konfigurasi yang diuji, tanggal yang ditampilkan kepada terminal pembayaran tidak cukup terikat secara kriptografis pada data kartu dan informasi transaksi yang kemudian digunakan untuk otorisasi.

Akibatnya, terjadi ketidaksesuaian dalam alur transaksi:

1. Kartu fisik mengirimkan data pembayaran asli, termasuk tanggal kedaluwarsa yang sebenarnya.
2. Relay mengganti tanggal yang terlihat oleh terminal.
3. Kartu tetap menghasilkan materi autentikasi transaksi yang valid.
4. Terminal akhirnya menilai tanggal baru yang masih berlaku, sambil menerima bukti kriptografis yang benar-benar berasal dari kartu asli.

Dengan kata lain, serangan ini menyasar hubungan antarbidang data, bukan algoritma kriptografinya. Tanda tangan atau kriptogram transaksi bisa tetap asli, sementara nilai lain yang digunakan terminal dimanipulasi jika protokol tidak mengikat semua nilai tersebut secara kuat. Temuan peneliti menggambarkan kondisi ini sebagai kelemahan manipulasi man-in-the-middle pada alur transaksi nirsentuh Visa.

Mengapa kartu kedaluwarsa masih dapat menghasilkan transaksi valid?

Tanggal kedaluwarsa sering dianggap sebagai semacam pemutus otomatis yang melekat pada keamanan kriptografis kartu. Namun, ringkasan penelitian yang tersedia menunjukkan bahwa sistem pembayaran nirsentuh tidak selalu menegakkan kedaluwarsa dengan cara tersebut. Sebagian pemeriksaan dapat bergantung pada informasi yang diterima terminal dan data yang dapat diverifikasi secara terpisah oleh penerbit kartu saat otorisasi.

Jika terminal melihat tanggal kedaluwarsa di masa depan dan penerbit menerima bukti transaksi lain yang autentik, sistem mungkin tidak memiliki sinyal yang konsisten dan terlindungi secara kriptografis untuk mengenali bahwa kartu fisik sebenarnya sudah kedaluwarsa. Meski demikian, rekening yang mendasari kartu tetap harus aktif agar otorisasi berhasil. Serangan ini tidak mengubah rekening yang sudah ditutup atau tidak valid menjadi rekening aktif.

Bagaimana dengan Mastercard, American Express, dan Discover?

Laporan yang tersedia menyebutkan bahwa penggantian tanggal kedaluwarsa yang sama tidak berhasil pada konfigurasi Mastercard Kernel 2, American Express Kernel 4, dan Discover Kernel 6 yang diuji.

Namun, bukti yang tersedia belum memuat analisis teknis lengkap untuk setiap kernel yang menjelaskan secara pasti bidang data atau langkah validasi mana yang membuat transaksi tersebut ditolak. Kesimpulan yang paling hati-hati adalah konfigurasi yang diuji pada jaringan-jaringan tersebut menolak manipulasi ini dengan lebih efektif dibandingkan konfigurasi Visa yang diuji—bukan berarti setiap kartu dari merek tersebut kebal terhadap serangan relay atau bentuk penipuan pembayaran lainnya.

Hasil pengujian pada bank

Penelitian tersebut dilaporkan melibatkan kartu dari beberapa bank besar di Amerika Serikat, dengan transaksi yang berhasil atau dicoba pada lebih dari satu penerbit.

Namun, materi sumber yang tersedia tidak menyebutkan identitas kelima bank secara lengkap dan tidak memberikan hasil persetujuan atau penolakan yang terverifikasi untuk masing-masing bank. Karena itu, tidak tepat membuat tabel per bank atau menyimpulkan bahwa satu penerbit selalu menerima maupun menolak serangan ini. Hasil transaksi dapat dipengaruhi oleh jenis kartu, status rekening, kontrol otorisasi, terminal, pengakuisisi, dan kondisi transaksi.

Pengungkapan kepada Visa dan status perbaikan

Salah satu laporan menyebutkan bahwa peneliti mengungkapkan temuan tersebut kepada Visa dan bank yang terdampak pada Mei serta Desember 2025. Materi yang diserahkan dilaporkan mencakup panduan reproduksi, catatan transaksi, dan video demonstrasi.

Meski demikian, sumber yang tersedia belum memuat pernyataan Visa yang dapat diverifikasi, buletin keamanan resmi yang terkonfirmasi, atau bukti bahwa perbaikan telah diterapkan secara menyeluruh. Artinya, belum ada dasar yang cukup untuk menyatakan bahwa Visa sudah sepenuhnya memperbaiki masalah ini, kartu atau terminal mana saja yang terdampak, maupun apakah mitigasi tertentu diwajibkan di seluruh ekosistem pembayaran.

Langkah perlindungan di sepanjang rantai pembayaran

Perbaikan utama adalah memastikan tanggal kedaluwarsa yang ditampilkan kepada terminal tidak dapat berbeda dari data kartu yang telah diautentikasi.

• Jaringan pembayaran dan perancang kernel: Ikat tanggal kedaluwarsa serta input lain yang digunakan terminal secara kriptografis pada data kartu terautentikasi dan kriptogram transaksi. Nilai yang tidak konsisten harus membuat transaksi gagal.
• Operator terminal dan pengakuisisi: Bandingkan informasi tanggal kedaluwarsa di berbagai bagian pertukaran EMV dan selidiki ketidaksesuaian. Deteksi relay berdasarkan waktu respons atau perilaku komunikasi dapat menjadi sinyal tambahan, meski materi yang tersedia belum menetapkan metode deteksi universal.
• Penerbit kartu: Periksa status kedaluwarsa, penggantian, dan siklus hidup kartu secara independen saat otorisasi, bukan hanya mengandalkan tanggal yang dikirim terminal. Transaksi dari kredensial yang kedaluwarsa atau sudah digantikan perlu ditolak atau ditandai jika informasinya memungkinkan.
• Program kartu: Pastikan proses penerbitan kartu pengganti menonaktifkan atau membatasi kartu lama secara konsisten jika diperlukan.
• Konsumen: Pantau aktivitas rekening dan segera laporkan transaksi yang tidak dikenal. Kartu fisik yang kedaluwarsa tidak otomatis aman jika rekening atau kredensial yang mendasarinya masih aktif.

Cara membuang kartu kedaluwarsa dengan aman

Ikuti terlebih dahulu instruksi penerbit kartu, terutama jika bank meminta kartu lama dikembalikan. Jika tidak ada instruksi khusus, hapus kartu dari akun toko daring dan aplikasi dompet digital, pastikan kartu pengganti sudah aktif, lalu rusak kartu lama agar informasinya tidak mudah disusun kembali.

Potong bagian chip, pita magnetik, nomor kartu yang tercetak, panel tanda tangan, dan kode keamanan. Jika tersedia, gunakan mesin penghancur silang yang memang dirancang untuk kartu pembayaran. Bila memungkinkan, buang potongan kartu di tempat sampah yang berbeda. Langkah ini mengurangi risiko penyalahgunaan data dari kartu yang dibuang, tetapi tetap tidak menggantikan pemantauan rekening dan pelaporan transaksi mencurigakan kepada penerbit kartu.