Bagaimana Serangan “Zombie Card” Menghidupkan Kembali Kartu Visa Kedaluwarsa

Menurut peneliti, penyerang tidak perlu mengetahui tanggal kedaluwarsa kartu pengganti. Untuk pemeriksaan di sisi terminal yang mereka jelaskan, tanggal apa pun yang berada di masa depan dapat membuat kartu tampak masih berlaku.

Serangan ini juga tidak berarti penyerang berhasil memalsukan kartu atau memecahkan kriptografi EMV. Kartu fisik tetap menyediakan data kartu, tanda tangan, dan kriptogram transaksi yang asli. Masalahnya, nilai tanggal kedaluwarsa yang digunakan terminal dalam pengujian tidak terikat secara memadai pada informasi terautentikasi yang kemudian dipakai dalam otorisasi daring.

Mengapa Visa EMV Kernel 3 menjadi sorotan

Kernel EMV adalah perangkat lunak pemrosesan pembayaran yang digunakan terminal untuk berbagai jaringan kartu. Visa, Mastercard, American Express, dan Discover memiliki jalur pemrosesan nirsentuh masing-masing.

Temuan peneliti berkaitan dengan jalur nirsentuh Visa yang diidentifikasi dalam laporan sebagai EMV Kernel 3. Celah desain yang dilaporkan memungkinkan dua bagian transaksi memberikan informasi yang berbeda: terminal menerima tanggal kedaluwarsa yang telah diubah ke masa depan, sedangkan transaksi yang dikirim untuk otorisasi penerbit tetap memuat data kartu asli serta pemeriksaan kriptografis yang valid.

Dalam desain yang lebih kuat, perubahan pada nilai terkait masa berlaku selama transmisi akan membuat data transaksi tidak konsisten dengan informasi yang telah diautentikasi, sehingga validasi gagal. Temuan “Zombie Card” memperlihatkan prinsip keamanan yang penting: perlindungan kriptografis tidak cukup jika bidang penting seperti masa berlaku hanya diperiksa di satu bagian rantai pembayaran dan tidak benar-benar dikaitkan dengan data yang dipercaya di bagian lain.

Mengapa teknik ini dilaporkan gagal pada jaringan lain

Peneliti menguji pendekatan tersebut pada kernel nirsentuh lain dan melaporkan bahwa metode ini tidak berhasil terhadap Mastercard Kernel 2, American Express Kernel 4, maupun Discover Kernel 6. Laporan yang tersedia mengaitkan ketahanan tersebut dengan perlindungan, validasi, atau pengikatan kriptografis yang lebih kuat terhadap data masa berlaku yang relevan.

Bukti yang tersedia belum menjelaskan secara pasti aturan tingkat protokol yang menghentikan serangan pada masing-masing dari tiga kernel tersebut. Karena itu, kesimpulannya perlu disampaikan secara terbatas: metode pengubahan masa berlaku yang didemonstrasikan dilaporkan berhasil pada konfigurasi Visa yang diuji, tetapi tidak pada jalur Mastercard, American Express, dan Discover yang turut diuji.

Temuan ini bukan bukti bahwa kartu Visa secara umum dapat dipalsukan atau bahwa semua kartu Visa yang kedaluwarsa pasti masih bisa digunakan.

Hasil pengujian pada lima bank di Amerika Serikat

Pengujian yang mencakup sejumlah merchant, terminal, kernel EMV, dan lima bank besar di Amerika Serikat menunjukkan hasil yang beragam. Sebagian penerbit menyetujui transaksi yang memuat tanggal kedaluwarsa yang telah diubah di sisi terminal, sementara penerbit lain menolaknya karena menerapkan pemeriksaan yang lebih kuat di sisi bank.

Variasi ini merupakan bagian penting dari temuan tersebut. Keputusan terminal saja tidak menentukan apakah pembayaran akhirnya berhasil; logika otorisasi bank penerbit juga berperan. Bank yang secara mandiri memeriksa masa berlaku, penerbitan kartu pengganti, pembatalan, dan status siklus hidup rekening kemungkinan lebih mampu menolak transaksi dibandingkan bank yang sangat mengandalkan keputusan kedaluwarsa dari terminal.

Laporan yang tersedia tidak memberikan daftar lima bank tersebut secara terverifikasi, hasil persetujuan atau penolakan untuk masing-masing bank, maupun batas transaksi yang dapat dipastikan. Rincian itu tidak boleh disimpulkan dari temuan umum penelitian.

Pengungkapan dan status perbaikan

Penelitian ini dipresentasikan pada konferensi USENIX Security 2026. Laporan terkait University of Massachusetts Amherst menyebutkan bahwa perusahaan-perusahaan kartu besar telah diberi tahu sebelum temuan tersebut dipublikasikan.

Per 20 Agustus 2026, bukti yang tersedia mengonfirmasi temuan kerentanan dalam evaluasi peneliti, tetapi belum mengonfirmasi bahwa Visa telah menyelesaikan perubahan kernel secara universal, pembaruan terminal, atau perbaikan yang berlaku untuk seluruh penerbit. Bukti yang ada juga belum menetapkan jadwal perbaikan yang definitif untuk setiap bank.

Perlu dibedakan antara pengungkapan kerentanan dan perbaikan yang telah selesai. Risiko praktis dapat berbeda-beda ketika jaringan kartu, penyedia terminal, acquirer, dan bank penerbit menentukan cara memvalidasi data siklus hidup kartu secara konsisten.

Rekomendasi perlindungan di seluruh rantai pembayaran

Penelitian ini mengarah pada pendekatan defense in depth, bukan satu solusi tunggal:

• Perancang kernel pembayaran dan sistem kartu: ikat tanggal kedaluwarsa serta bidang siklus hidup lain yang terlihat oleh terminal secara kriptografis dengan data transaksi yang telah diautentikasi. Perubahan selama transmisi harus membuat transaksi tidak valid.
• Sistem terminal dan acquirer: validasi masa berlaku menggunakan informasi yang telah diautentikasi jika tersedia, serta tolak nilai yang tidak konsisten alih-alih mempercayai bidang yang tidak terlindungi di sisi terminal.
• Bank penerbit: periksa secara mandiri masa berlaku, penerbitan kartu pengganti, pembatalan, dan status rekening saat otorisasi, bukan hanya mengandalkan keputusan lokal terminal.
• Jaringan pembayaran dan tim antifraud: cari ketidaksesuaian antara tanggal kedaluwarsa yang diberikan terminal dan informasi kartu yang terlihat oleh penerbit. Terapkan pula pengendalian yang sesuai untuk pola relay nirsentuh yang mencurigakan. Rekomendasi ini mengikuti temuan bahwa tanggung jawab keamanan terbagi di antara kartu, terminal, jaringan, dan penerbit.

Apa yang harus dilakukan konsumen terhadap kartu kedaluwarsa

Jangan membuang kartu kedaluwarsa dalam kondisi masih utuh. Panduan yang disertakan dalam penelitian merekomendasikan agar pita magnetik dinonaktifkan, chip EMV dihancurkan, lalu kartu dipotong atau dicacah—termasuk bagian yang memuat angka dan huruf tercetak—sebelum potongannya dibuang secara terpisah. Pemilik kartu berbahan logam sebaiknya menanyakan prosedur pembuangan yang aman kepada bank penerbit.

Pemegang kartu juga perlu tetap memantau rekening terkait, termasuk setelah kartu ditutup, dan segera melaporkan transaksi yang tidak sah. Serangan ini membutuhkan akses ke kartu fisik atau kedekatan NFC yang terus-menerus dengan kartu tersebut. Karena itu, menghancurkan kartu lama dengan aman dapat mengurangi peluang penyalahgunaan.