«Zombie Card»: Slik kan enkelte utløpte Visa-kort brukes igjen

Forskerne opplyste at angriperen ikke trenger å kjenne utløpsdatoen på et eventuelt erstatningskort. I kontrollen på terminalsiden kan en vilkårlig fremtidig dato være nok til at kortet ser gyldig ut.

Det betyr ikke at angriperen har klonet kortet eller knekt EMV-kryptografien. Det fysiske kortet leverer fortsatt ekte kortdata, signaturer og transaksjonskryptogrammer. Problemet er at utløpsdatoen som terminalen bruker, ikke er tilstrekkelig bundet til den autentiserte informasjonen som senere brukes ved nettbasert godkjenning i Visa-oppsettet som ble testet.

Hvorfor Visa EMV Kernel 3 er sentral

EMV-kjerner er programvareimplementasjoner i betalingsterminaler som håndterer transaksjoner for ulike kortnettverk. Visa, Mastercard, American Express og Discover har egne kontaktløse behandlingsløp.

Forskerne knyttet funnet til Visas kontaktløse EMV-løsning, omtalt som Kernel 3. Den rapporterte svakheten gjør at to deler av transaksjonen kan være uenige: Terminalen kan motta en endret, fremtidig utløpsdato, mens transaksjonen som sendes videre til kortutstederen, fortsatt inneholder ekte kortdata og gyldige kryptografiske kontroller.

I en mer robust løsning ville en endring av utløpsrelaterte data under overføringen gjort transaksjonen inkonsistent og fått valideringen til å feile. Funnet illustrerer derfor et viktig sikkerhetsprinsipp: Kryptografi hjelper mindre dersom et sikkerhetskritisk felt kontrolleres ett sted i betalingskjeden, men ikke bindes pålitelig til informasjonen som stoles på et annet sted.

Hvorfor metoden ikke skal ha fungert mot andre nettverk

Forskerne testet også metoden mot andre kontaktløse EMV-kjerner og rapporterte at den ikke fungerte mot Mastercard Kernel 2, American Express Kernel 4 eller Discover Kernel 6. De tilgjengelige rapportene knytter motstanden til sterkere beskyttelse, validering eller kryptografisk binding av de relevante utløpsdataene.

Kildematerialet fastslår ikke nøyaktig hvilken protokollregel som stopper angrepet i hver av disse tre kjernene. Den mest presise konklusjonen er derfor at den demonstrerte manipuleringen av utløpsdatoen ble rapportert som effektiv mot det testede Visa-oppsettet, men ikke mot de testede løsningene fra Mastercard, American Express og Discover. Dette er ikke bevis på at Visa-kort generelt kan forfalskes, eller at alle utløpte Visa-kort vil fungere.

Tester hos fem amerikanske banker ga blandede resultater

Tester på tvers av butikker, betalingsterminaler, EMV-kjerner og fem store amerikanske banker ga ikke et entydig resultat. Enkelte kortutstedere godkjente transaksjoner med den endrede utløpsdatoen som terminalen hadde mottatt, mens andre avviste dem på grunn av strengere kontroller på banksiden.

Denne variasjonen er avgjørende. Det var ikke nok at terminalen aksepterte kortet lokalt – bankens godkjenningslogikk hadde også betydning. En bank som selv kontrollerer utløp, erstatningskort, sperring og kortets livsløpsstatus, vil ha større sannsynlighet for å avvise transaksjonen enn en bank som i stor grad legger terminalens utløpskontroll til grunn.

Kildene oppgir ikke en pålitelig oversikt bank for bank, navnene på alle de fem institusjonene, nøyaktige godkjennings- og avvisningsresultater eller bekreftede beløpsgrenser for hver bank. Slike detaljer bør derfor ikke utledes av hovedfunnet.

Varsling og status for tiltak

Forskningen ble presentert på sikkerhetskonferansen USENIX Security 2026. Universitetstilknyttet informasjon i kildematerialet sier at de store kortselskapene ble varslet før funnene ble offentliggjort.

Per 20. august 2026 bekrefter det tilgjengelige materialet sårbarheten i forskernes tester, men ikke at Visa hadde gjennomført en universell endring av EMV-kjernen, oppdatert alle relevante terminaler eller innført et samlet tiltak hos alle berørte banker. Det finnes heller ingen bekreftet tidsplan for utbedring hos hver enkelt bank.

Det er en viktig forskjell på å varsle om en sårbarhet og å ha gjennomført tiltak. Den praktiske risikoen kan variere mens kortnettverk, terminalleverandører, innløsere og banker finner ut hvordan informasjon om kortets livsløp skal valideres på en konsekvent måte.

Forsvarstiltak i hele betalingskjeden

Forskningen peker på behovet for flere lag med beskyttelse, ikke bare én enkelt løsning:

• Utviklere av betalingskjerner og kortsystemer: Utløpsdatoen og andre livsløpsfelter som terminalen ser, bør bindes kryptografisk til de autentiserte transaksjonsdataene. En endring under overføringen bør gjøre transaksjonen ugyldig.
• Terminal- og innløsersystemer: Kontroller utløpsdatoen mot autentisert informasjon der det er mulig, og avvis motstridende verdier i stedet for å stole på et ubeskyttet felt som bare vises til terminalen.
• Kortutstedere: Kontroller selv utløp, erstatning, sperring og kontoens status ved godkjenning. Banken bør ikke bare stole på terminalens lokale beslutning.
• Kortnettverk og svindelteam: Se etter avvik mellom utløpsdata fra terminalen og informasjonen banken mottar, og bruk relevante svindelkontroller ved mistenkelig kontaktløs reléaktivitet. Dette følger av forskernes funn om at ansvaret er fordelt mellom kortet, terminalen, nettverket og banken.

Slik bør du kvitte deg med et utløpt kort

Et utløpt kort bør ikke kastes helt. Veiledningen som fulgte forskningen, anbefaler å avmagnetisere magnetstripen, ødelegge EMV-brikken og klippe eller makulere kortet – inkludert trykte tall og bokstaver – før delene kastes separat. Har du et kort i metall, bør du spørre banken hvordan det skal leveres inn eller kasseres på en trygg måte.

Følg også med på den tilknyttede kontoen, selv etter at kortet er avsluttet, og meld fra om uautoriserte belastninger så raskt som mulig. Angrepet forutsetter tilgang til det fysiske kortet eller vedvarende nærhet til det. Derfor reduserer sikker destruksjon av gamle kort muligheten for misbruk.