期限切れのVisaカードで買い物ができた理由——「ゾンビカード」攻撃を解説

重要なのは、カードが生成する署名や動的な取引情報まで偽造していない点です。実物のカードは、EMV決済で期待される正規の暗号情報を引き続き生成します。攻撃が突いたのは暗号そのものではなく、端末の判断材料となる有効期限と、後段の認証に使われるデータの結び付きでした。

Visa EMV Kernel 3にあった弱点

報告された問題は、Visaの非接触決済仕様における「EMV Kernel 3」で、有効期限の扱いが一貫して強固に認証されていなかったことです。テストされた構成では、決済端末が参照する有効期限が、後のオンライン認証で使われるカード情報や取引データと十分に暗号学的に結び付けられていませんでした。

その結果、次のような食い違いが成立します。

1. 実物のカードが、本来の期限切れの日付を含む正規の決済データを返す
2. 中継が、端末に見える有効期限だけを未来の日付へ変更する
3. 実物のカードが、正しい秘密鍵で本物の取引認証情報を生成する
4. 端末が未来の有効期限を確認しながら、暗号的には正しいカード情報を受け取る

つまり、攻撃対象は「暗号を破ること」ではなく、複数のデータ項目の関係です。ある値が正規の署名や取引暗号を維持したままでも、プロトコルがその値同士を十分に結び付けていなければ、端末の判断に使われる別の項目を改変できる可能性があります。

なぜ期限切れカードで取引が成立したのか

カードの有効期限は、カード内部に組み込まれた暗号的な「停止スイッチ」とは限りません。提供された研究資料によると、非接触決済では、端末が受け取った情報や、発行会社が認証時に独自に確認できる情報に基づいて期限が検証される場合があります。

端末が未来の有効期限を見て、発行会社側にもそれ以外の正規の取引証拠しか届かなければ、物理カードが実際には期限切れであることを確実に判定する情報が不足することがあります。

もっとも、口座が利用可能な状態であることが前提です。この攻撃によって、解約済み口座や無効な口座が有効になるわけではありません。

Mastercard、American Express、Discoverではどうだったのか

提供された報告では、同じ有効期限の置き換えは、テストされた以下の構成では成功しませんでした。

• Mastercard Kernel 2
• American Express Kernel 4
• Discover Kernel 6

ただし、利用可能な資料には、各カーネルについて、どのデータ項目の結合や検証処理が取引を拒否したのかを詳細に比較した分析はありません。したがって、「テストされた構成ではVisaよりこの操作を効果的に拒否した」と結論づけるのが適切です。これらのブランドの全カードが、あらゆる中継攻撃や決済詐欺に対して安全だという意味ではありません。

5行の承認結果は明らかになっているのか

研究では、複数の大手米国銀行が発行したカードを対象にテストしたと報じられています。

一方、提供された資料は、5行すべての銀行名や、各銀行について承認・拒否された取引結果を検証可能な形では示していません。そのため、銀行別の一覧表を作ったり、特定の発行会社が常に攻撃を承認・拒否したと断定したりするのは適切ではありません。

実際の結果は、カード商品、口座の状態、発行会社の認証・不正検知ルール、決済端末、加盟店契約会社、取引条件などによって変わる可能性があります。

Visaへの報告と修正状況

報告の一つによると、研究者は2025年5月と12月に、再現手順、取引記録、実証動画などを添えてVisaおよび影響を受けた銀行へ調査結果を開示しました。

ただし、提供された情報には、Visaによる検証可能な公式声明、確定したセキュリティアドバイザリー、修正の完了や決済エコシステム全体への展開を示す証拠は含まれていません。

そのため現時点で、Visaが問題を全面的に修正したこと、どのカードや端末が対象になること、対策が決済事業者全体に義務付けられていることを断定することはできません。

決済チェーン全体で必要な対策

中心となる対策は、決済端末に見える有効期限が、カードの認証済みデータと食い違わないようにすることです。

• 国際ブランド・カーネル設計者: 有効期限など端末の判断に使われる値を、認証済みカードデータや取引暗号と暗号学的に結び付ける。不一致があれば取引を拒否する。
• 端末・加盟店契約会社: EMV通信の複数箇所に現れる有効期限を照合し、矛盾を検知する。通信時間や挙動を利用した中継検知も補助的な手掛かりになり得ますが、提供資料は万能な検知方法を示していません。
• カード発行会社: 端末から送られた日付だけに依存せず、認証時にカードの有効期限、更新・再発行状態、カードライフサイクルをサーバー側で独自に確認する。期限切れや旧カードに関係する取引は、十分な情報がある場合に拒否または警告する。
• カード事業者: 新カードを発行した際、必要に応じて旧カードの資格情報が一貫して無効化・制限される仕組みを整える。
• 利用者: 口座の利用履歴を確認し、身に覚えのない取引は速やかに発行会社へ報告する。物理カードの期限が切れていても、口座や資格情報が自動的に無害になるとは限りません。

期限切れカードを安全に処分する方法

まず、発行会社が返却を求めている場合は、その指示に従ってください。返却が不要であれば、次の手順が有効です。

1. 保存済みの通販サイトや加盟店アカウント、デジタルウォレットから旧カードを削除する
2. 新しいカードが有効化されていることを確認する
3. 旧カードを、情報を再構成しにくい形で破棄する

破棄する際は、ICチップ、磁気ストライプ、カード番号、署名欄、セキュリティコード（CVV）をそれぞれ切断してください。決済カードに対応したクロスカット式シュレッダーがあれば、より望ましい方法です。可能であれば、切断した parçayı別々に廃棄します。

カードを細かくしても、口座の監視や不審な取引の報告に代わるものではありません。カードを交換した後も、しばらくは利用明細と通知を確認することが重要です。