Hoe een ‘Zombie Card’-aanval verlopen Visa-kaarten weer bruikbaar maakt

Een contactloze betaalkaart kan er op het eerste gezicht verlopen uitzien, maar toch nog werkende betaalgegevens bevatten. Onderzoekers van de University of Massachusetts Amherst lieten zien hoe dat verschil kan worden misbruikt in een praktische NFC-man-in-the-middleaanval, die zij ‘Zombie Card’ noemen. Met twee gewone smartphones kan een aanvaller de vervaldatum aanpassen die een betaalterminal ontvangt, terwijl de echte kaart geldige transactiegegevens blijft leveren.

Dit is geen universele methode om elke verlopen kaart opnieuw te gebruiken. Het gaat om een zwakke plek in de betaal­keten die afhankelijk is van de gebruikte kaarttechnologie, de terminal en vooral de controles van de bank die de transactie autoriseert.

Wat doet de Zombie Card-aanval?

De aanval bevindt zich tussen een verlopen fysieke contactloze kaart en de betaalterminal. Eén smartphone communiceert met de kaart, terwijl een tweede toestel de antwoorden doorgeeft aan de terminal. De twee telefoons sturen de uitwisseling via een netwerkverbinding door. Tijdens dat proces verandert de relay de vervaldatum die de terminal ziet in een datum in de toekomst.

Volgens de onderzoekers hoeft de aanvaller de vervaldatum van een vervangende kaart niet te kennen. Voor de controle aan de terminalkant kan een willekeurige toekomstige datum volstaan om de kaart actueel te laten lijken.

De kaart wordt daarbij niet gekloond en de EMV-cryptografie wordt niet gekraakt. De fysieke kaart levert nog steeds haar echte kaartgegevens, handtekeningen en transact iecryptogrammen. Het probleem is dat de vervaldatum die de terminal gebruikt in de geteste Visa-opzet onvoldoende is gekoppeld aan de geauthenticeerde informatie die later bij de online autorisatie wordt gebruikt.

Waarom Visa EMV Kernel 3 een rol speelt

EMV-kernels zijn software-implementaties waarmee betaalterminals contactloze betalingen voor verschillende kaartnetwerken verwerken. Visa, Mastercard, American Express en Discover gebruiken elk hun eigen verwerkingstraject.

De onderzoekers richtten zich op de contactloze Visa-route, in de aangeleverde berichtgeving aangeduid als Kernel 3. Door het beschreven ontwerpgat kunnen twee onderdelen van dezelfde betaling elkaar tegenspreken: de terminal ontvangt een aangepaste toekomstige vervaldatum, terwijl de transactiegegevens richting de kaartuitgever authentiek blijven en geldige cryptografische controles doorstaan.

In een ontwerp waarin de relevante gegevens sterker aan elkaar zijn gebonden, zou een wijziging tijdens het transport de transactie ongeldig maken. De bevinding onderstreept daarmee een breder beveiligingsprincipe: cryptografie biedt minder bescherming wanneer een kritisch veld wel op één punt wordt gecontroleerd, maar niet betrouwbaar wordt gekoppeld aan de gegevens waarop een ander onderdeel van de betaal­keten vertrouwt.

Waarom de aanpak volgens de onderzoekers niet werkte bij andere netwerken

De onderzoekers testten de methode ook tegen andere contactloze kernels. Volgens de rapportage werkte de aanpak niet tegen Mastercard Kernel 2, American Express Kernel 4 en Discover Kernel 6. Die weerstand wordt toegeschreven aan sterkere bescherming, controles of cryptografische binding van de relevante vervaldatumgegevens.

De beschikbare informatie geeft geen voldoende gedetailleerde primaire bronbasis om precies uit te leggen welke protocolregel de aanval bij elk van deze drie kernels blokkeert. De conclusie moet daarom beperkt blijven: de gedemonstreerde manipulatie van de vervaldatum werd effectief bevonden tegen de geteste Visa-opzet, maar niet tegen de geteste routes van Mastercard, American Express en Discover. Dat betekent niet dat Visa-kaarten in het algemeen te vervalsen zijn of dat elke verlopen Visa-kaart opnieuw zal werken.

Wat tests bij vijf Amerikaanse banken lieten zien

Tests bij verschillende winkels, terminals, EMV-kernels en vijf grote Amerikaanse banken leverden geen eenduidig resultaat op. Sommige uitgevers keurden transacties met de aangepaste vervaldatum aan terminalzijde goed. Andere wezen ze af dankzij strengere controles aan de kant van de uitgever.

Die variatie is belangrijk. Of een terminal de betaling accepteert, bepaalt niet alleen of de aankoop slaagt; ook de autorisatielogica van de bank speelt een rol. Een bank die zelfstandig controleert of een kaart verlopen, vervangen of ingetrokken is en wat de status van de rekening is, zal de transactie waarschijnlijker weigeren dan een bank die sterk leunt op de lokale vervaldatumcontrole van de terminal.

De aangeleverde bronnen geven geen betrouwbare lijst per bank, geen volledige namen van de vijf instellingen, geen exacte goedkeurings- en afwijzingspercentages en geen bevestigde transactielimieten per bank. Zulke details kunnen daarom niet uit de algemene bevinding worden afgeleid.

Bekendmaking en status van oplossingen

Het onderzoek werd gepresenteerd tijdens USENIX Security 2026. Volgens de aangeleverde berichtgeving vanuit de universiteit waren grote kaartbedrijven vóór de publicatie over de bevindingen geïnformeerd.

Per 20 augustus 2026 bevestigt het beschikbare materiaal de kwetsbaarheid zoals die in de evaluatie van de onderzoekers is vastgesteld. Het bevestigt niet dat Visa al een universele wijziging in de kernel, een update voor betaalterminals of een oplossing voor alle betrokken kaartuitgevers had uitgerold. Ook is er geen definitieve planning voor herstel per bank vastgesteld.

Dat onderscheid is van belang: een melding aan bedrijven is niet hetzelfde als een afgeronde oplossing. Het praktische risico kan verschillen terwijl kaartnetwerken, terminalleveranciers, betaalacquirers en banken bepalen hoe kaartlevenscyclusgegevens overal consistent moeten worden gecontroleerd.

Welke maatregelen zijn nodig?

De bevinding wijst op meerdere verdedigingslagen in plaats van één simpele oplossing:

• Ontwerpers van betaal­kernels en kaartsystemen: koppel de vervaldatum en andere levenscyclusvelden die de terminal ziet cryptografisch aan de geauthenticeerde transactiegegevens. Een wijziging onderweg moet de transactie ongeldig maken.
• Terminal- en acquiring systemen: controleer de vervaldatum waar mogelijk aan de hand van geauthenticeerde informatie en wijs tegenstrijdige waarden af, in plaats van uitsluitend te vertrouwen op een onbeschermd veld aan terminalzijde.
• Kaartuitgevers: controleer tijdens de autorisatie zelfstandig de vervaldatum, vervanging, intrekking en rekeningstatus. Vertrouw niet alleen op de lokale beslissing van de terminal.
• Kaartnetwerken en fraudeteams: zoek naar verschillen tussen de vervaldatum die door de terminal wordt aangeleverd en de kaartgegevens die de uitgever ziet. Pas daarnaast passende fraudedetectie toe op verdachte contactloze relaypatronen. Dat volgt uit de vaststelling dat de verantwoordelijkheid over kaart, terminal, netwerk en uitgever verdeeld is.

Wat moeten consumenten doen met verlopen kaarten?

Gooi een verlopen kaart niet intact weg. De bij het onderzoek verstrekte richtlijn adviseert om de magneetstrip te demagnetiseren, de EMV-chip te vernietigen en de kaart in stukken te knippen of te versnipperen. Maak daarbij ook de gedrukte cijfers en letters onleesbaar en gooi de delen afzonderlijk weg. Bij metalen kaarten kunnen consumenten het beste bij hun kaartuitgever navragen hoe ze die veilig kunnen inleveren.

Laat een oude kaart bovendien door de bank blokkeren of sluiten en blijf de gekoppelde rekening controleren, ook nadat de kaart is beëindigd. Meld ongeautoriseerde afschrijvingen zo snel mogelijk. Voor deze aanval is toegang tot de fysieke kaart of langdurige nabijheid ervan nodig; een oude kaart zorgvuldig vernietigen verkleint daarom de kans op misbruik.