Hoe verlopen contactloze Visa-kaarten toch aankopen konden doen

Een verlopen betaalkaart lijkt normaal gesproken waardeloos. Toch lieten onderzoekers van de University of Massachusetts Amherst zien dat bepaalde verlopen contactloze Visa-kaarten onder specifieke omstandigheden nog gebruikt konden worden voor echte aankopen in winkels.

De aanval kreeg de naam ‘Zombie Card’. Met een NFC-relay — een tussenstation dat communicatie tussen een kaart en een betaalterminal doorstuurt — konden de onderzoekers de vervaldatum aanpassen die de terminal te zien kreeg. De cryptografische gegevens van de echte kaart bleven ondertussen geldig.

De kaart en de betaalterminal uit elkaar halen

De demonstratie draaide om twee NFC-smartphones. De ene telefoon communiceerde met de fysieke, verlopen kaart. De andere stelde de kaarttransactie voor aan de betaalterminal. Via een verbinding tussen beide telefoons werden de EMV-berichten doorgestuurd: het berichtenverkeer dat contactloze kaartbetalingen verwerkt.

Tijdens die uitwisseling werd de vervaldatum die naar de terminal ging vervangen door een datum in de toekomst. Daardoor konden de lokale controles van de terminal de kaart als geldig beschouwen. Voor de aanval was wel toegang tot de fysieke kaart nodig, of voortdurende NFC-nabijheid tot die kaart, naast het relay-apparaat tussen kaart en terminal.

Belangrijk is dat de onderzoekers de geheime sleutels van de kaart niet hoefden na te maken. De echte kaart bleef de ondertekende en dynamische transactiegegevens produceren die het EMV-proces verwacht. De zwakke plek zat in het feit dat één belangrijk veld — de vervaldatum — kon worden gewijzigd zonder dat de overige, authentieke gegevens ongeldig werden.

Wat ging er mis in Visa EMV Kernel 3?

De gemelde kwetsbaarheid had betrekking op de manier waarop Visa’s contactloze EMV Kernel 3 met de vervaldatum omging. In de geteste configuratie was de datum die de betaalterminal ontving niet stevig genoeg cryptografisch gekoppeld aan de kaartgegevens en de transactie-informatie die later voor de autorisatie werd gebruikt.

Dat leidde tot een tegenstrijdige situatie:

1. De fysieke kaart leverde echte betaalgegevens, waaronder haar werkelijke — inmiddels verstreken — vervaldatum.
2. Het relay wijzigde de datum die de terminal zag.
3. De kaart genereerde nog altijd authentieke transactiegegevens.
4. De terminal kon daardoor een toekomstige datum beoordelen terwijl hij cryptografisch geldige gegevens van de echte kaart ontving.

De aanval richtte zich dus niet op het kraken van de cryptografie zelf, maar op de koppeling tussen verschillende gegevensvelden. Een handtekening of transactiewaarde kan authentiek blijven terwijl een afzonderlijke waarde wordt gemanipuleerd, als het protocol die waarden niet voldoende aan elkaar bindt. De onderzoekers beschrijven dit als een man-in-the-middle-kwetsbaarheid in de contactloze Visa-betaalstroom.

Waarom kan een verlopen kaart nog een geldige transactie opleveren?

Een vervaldatum is niet per se een ingebouwde cryptografische ‘uitknop’ in de kaart. Uit het beschikbare onderzoek blijkt dat de controle in sommige contactloze betaalsystemen mede afhangt van de gegevens die de terminal ontvangt en van wat de kaartuitgever tijdens de autorisatie zelfstandig kan controleren.

Als de terminal een toekomstige datum ziet en de uitgever verder authentieke transactiegegevens ontvangt, krijgt die uitgever mogelijk geen betrouwbaar, consequent beveiligd signaal dat de fysieke kaart al verlopen is. Het onderliggende account moet overigens nog wel actief en bruikbaar zijn: de aanval maakt van een gesloten of ongeldig account geen werkend account.

En Mastercard, American Express en Discover?

Volgens de aangeleverde rapporten lukte dezelfde vervaldatummanipulatie niet in de geteste configuraties van Mastercard Kernel 2, American Express Kernel 4 en Discover Kernel 6.

De beschikbare informatie bevat echter geen volledige technische analyse per kernel. Daardoor is niet met zekerheid vast te stellen welke specifieke koppelingen of controles ervoor zorgden dat deze transacties mislukten. De voorzichtige conclusie is dat de geteste implementaties deze specifieke manipulatie beter afwezen dan de geteste Visa-configuratie. Dat betekent niet dat iedere kaart van deze merken immuun is voor relayaanvallen of andere vormen van betaalfraude.

Wat was het verschil tussen de geteste banken?

De onderzoekers zouden kaarten van meerdere grote Amerikaanse banken hebben getest; berichtgeving beschrijft transacties bij meerdere kaartuitgevers.

De beschikbare bronnen noemen echter niet alle vijf banken en leveren geen geverifieerd overzicht op van de goedgekeurde en geweigerde transacties per bank. Een betrouwbare bank-voor-banktabel is daarom niet mogelijk. De uitkomst kan afhangen van het kaartproduct, de rekeningstatus, controles tijdens de autorisatie, de betaalterminal, de betaalverwerker en de omstandigheden van de transactie.

Heeft Visa het probleem opgelost?

Een van de aangeleverde berichten stelt dat de onderzoekers hun bevindingen in mei en december 2025 met Visa en betrokken banken deelden. Daarbij zouden onder meer reproductiemateriaal, transactiegegevens en een demonstratievideo zijn verstrekt.

De beschikbare bronnen bevatten geen verifieerbare verklaring van Visa, geen bevestigd beveiligingsadvies en geen bewijs dat een oplossing overal is uitgerold. Daarom kan niet worden vastgesteld of Visa het probleem volledig heeft verholpen, welke kaarten of terminals onder eventuele maatregelen vallen en of die maatregelen verplicht zijn in de gehele betaalinfrastructuur.

Welke maatregelen zijn nodig?

De kern van de oplossing is dat de vervaldatum die de terminal gebruikt niet mag kunnen afwijken van de geauthenticeerde kaartgegevens.

• Betaalnetwerken en ontwerpers van kernels: koppel de vervaldatum en andere beslissingsgegevens van de terminal cryptografisch aan de geauthenticeerde kaartgegevens en de transactiewaarde. Tegenstrijdige waarden moeten tot een afwijzing leiden.
• Exploitanten van terminals en betaalverwerkers: vergelijk vervaldatums op de verschillende plaatsen in de EMV-uitwisseling en onderzoek afwijkingen. Analyse van timing en communicatiegedrag kan een extra aanwijzing voor een relay vormen, al bewijzen de aangeleverde bronnen geen universele detectiemethode.
• Kaartuitgevers: controleer tijdens de autorisatie zelfstandig de vervaldatum, vervanging en levenscyclusstatus van de kaart. Vertrouw niet uitsluitend op een datum die door de terminal wordt aangeleverd.
• Kaartprogramma’s: zorg ervoor dat een oude kaart na vervanging consequent wordt gedeactiveerd of beperkt wanneer dat nodig is.
• Consumenten: controleer rekeningafschriften en meld onbekende transacties zo snel mogelijk bij de kaartuitgever. Een verlopen fysieke kaart is niet automatisch ongevaarlijk als het onderliggende account of betaalprofiel nog actief is.

Hoe vernietig je een verlopen betaalkaart veilig?

Volg eerst de instructies van de kaartuitgever. Sommige uitgevers vragen om de oude kaart terug te sturen; vernietig die dan niet voordat je hebt gecontroleerd wat de juiste procedure is.

Als je de kaart zelf mag weggooien, verwijder haar dan eerst uit opgeslagen betaalgegevens bij webwinkels en uit digitale portemonnees. Controleer ook of de vervangende kaart actief is. Snijd de oude kaart vervolgens door de chip, magneetstrip, het kaartnummer, het handtekeningvak en de beveiligingscode, zoals de CVC of CVV. Een papierversnipperaar die geschikt is voor betaalkaarten verdient de voorkeur. Gooi de stukken indien mogelijk gescheiden weg.

Deze stappen verkleinen het risico dat kaartgegevens uit afval worden misbruikt, maar vervangen geen rekeningcontrole. Meld een onbekende betaling altijd direct aan de uitgever.