„Zombie Card”: jak wygasłe karty Visa zbliżeniowe znów umożliwiały płatności

W trakcie wymiany danych urządzenie pośredniczące zmieniało datę ważności przekazywaną terminalowi. Przeszła data mogła zostać zastąpiona dowolną datą przyszłą, dzięki czemu lokalne kontrole terminala uznawały kartę za aktualną. W demonstracji potrzebna była jednak prawdziwa karta oraz odpowiednio ustawiony przekaźnik między nią a terminalem.

Kluczowe jest to, że badacze nie musieli łamać zabezpieczeń karty ani odtwarzać jej tajnych kluczy. Oryginalna karta nadal generowała podpisane i dynamiczne dane transakcji wymagane przez proces EMV. Problem dotyczył jednego pola istotnego dla decyzji terminala — daty ważności — które można było zmienić bez unieważnienia pozostałych, uwierzytelnionych danych.

Słaby punkt Visa EMV Kernel 3

Opisany problem wiązał się z niespójnym traktowaniem daty ważności w implementacji Visa EMV contactless Kernel 3. W testowanym środowisku data przekazywana terminalowi nie była wystarczająco silnie powiązana kryptograficznie z danymi karty i informacjami o transakcji, które później wykorzystywano podczas autoryzacji online.

W praktyce powstawała luka między tym, co widział terminal, a tym, co potwierdzała sama karta:

1. Karta przekazywała prawdziwe dane płatnicze, w tym rzeczywistą, już wygasłą datę.
2. Przekaźnik zmieniał datę widoczną dla terminala.
3. Karta nadal generowała autentyczne dane uwierzytelniające transakcję.
4. Terminal mógł więc ocenić przyszłą datę, otrzymując jednocześnie kryptograficznie poprawne dane z prawdziwej karty.

Atak nie był zatem klasycznym „złamaniem kryptografii”. Wykorzystywał brak wystarczającego powiązania między poszczególnymi polami protokołu. Podpis lub kryptogram transakcji może pozostać prawdziwy, jeśli osobna wartość używana przez terminal nie została objęta tą samą ochroną integralności. Ustalenia badaczy opisują tę sytuację jako podatność na manipulację typu man-in-the-middle w przepływie transakcji zbliżeniowej Visa.

Dlaczego wygasła karta mogła nadal wygenerować poprawną transakcję?

Data ważności jest często postrzegana jak automatyczny, kryptograficzny „wyłącznik” karty. Z dostępnego podsumowania badań wynika jednak, że systemy płatności zbliżeniowych nie zawsze egzekwują ją w ten sposób. Część kontroli może zależeć od danych otrzymanych przez terminal oraz od informacji, które bank wystawca jest w stanie niezależnie zweryfikować podczas autoryzacji.

Jeżeli terminal otrzymał przyszłą datę, a bank otrzymał poza tym autentyczne dane transakcji, system mógł nie mieć wystarczająco wiarygodnego i konsekwentnie uwierzytelnionego sygnału, że fizyczna karta faktycznie wygasła. Warunkiem powodzenia pozostawało jednak aktywne konto. Atak nie reaktywował rachunku zamkniętego, zablokowanego ani nieważnego.

Co z Mastercard, American Express i Discover?

Dostępne raporty wskazują, że ta sama zamiana daty ważności nie powiodła się w testowanych konfiguracjach Mastercard Kernel 2, American Express Kernel 4 oraz Discover Kernel 6.

Materiały źródłowe nie zawierają jednak pełnej, porównawczej analizy każdego kernela, która wyjaśniałaby dokładnie, jakie powiązania pól lub mechanizmy walidacji powodowały odrzucenie transakcji. Najostrożniejszy wniosek brzmi więc: testowane implementacje tych sieci skuteczniej odrzucały konkretną manipulację niż testowana konfiguracja Visa. Nie oznacza to, że każda karta wydana pod tymi markami jest odporna na wszelkie ataki przekaźnikowe lub inne rodzaje oszustw płatniczych.

Jak reagowały banki?

Badania miały obejmować karty wydane przez kilka dużych banków w Stanach Zjednoczonych, a opisy eksperymentów mówią o transakcjach udanych lub podejmowanych u wielu wystawców.

Dostępne materiały nie identyfikują jednak wszystkich pięciu banków ani nie przedstawiają zweryfikowanej listy, która pokazywałaby, który z nich każdą transakcję zaakceptował, a który odrzucił. Dlatego publikowanie tabeli bank po banku byłoby nieuzasadnione. Wynik może zależeć m.in. od rodzaju karty, statusu rachunku, reguł autoryzacji, terminala, agenta rozliczeniowego oraz konkretnych warunków transakcji.

Czy Visa naprawiła problem?

Według jednego z dostarczonych raportów badacze przekazali informacje Visa i dotkniętym problemem bankom w maju oraz grudniu 2025 roku. Materiały miały obejmować instrukcję odtworzenia problemu, zapisy transakcji oraz nagranie demonstracyjne.

Dostępne źródła nie zawierają jednak zweryfikowanego stanowiska Visa, oficjalnego komunikatu bezpieczeństwa ani potwierdzenia zakończenia wdrażania poprawek. Nie ma więc wystarczających podstaw, aby stwierdzić, że problem został w pełni usunięty, wskazać objęte nim karty i terminale albo uznać, że konkretne zabezpieczenie jest obowiązkowe w całym ekosystemie płatniczym.

Jak powinien zostać zabezpieczony cały łańcuch płatności?

Najważniejsza poprawka polega na uniemożliwieniu rozbieżności między datą widoczną dla terminala a datą zawartą w uwierzytelnionych danych karty.

• Sieci płatnicze i twórcy kerneli: powinni kryptograficznie powiązać datę ważności oraz inne dane wpływające na decyzję terminala z uwierzytelnionymi danymi karty i kryptogramem transakcji. Niespójne wartości powinny powodować odrzucenie płatności.
• Operatorzy terminali i agenci rozliczeniowi: powinni porównywać informacje o dacie ważności w różnych elementach wymiany EMV oraz analizować niezgodności. Dodatkowym sygnałem może być wykrywanie nietypowych opóźnień lub zachowania komunikacyjnego charakterystycznego dla przekaźnika, choć dostępne materiały nie potwierdzają jednej uniwersalnej metody detekcji.
• Banki-wydawcy: powinny niezależnie sprawdzać podczas autoryzacji datę ważności, status wymiany oraz cykl życia karty, zamiast polegać wyłącznie na dacie przekazanej przez terminal. Transakcje dotyczące wygasłych lub zastąpionych kart należy odrzucać albo oznaczać, gdy bank ma wystarczające dane, by je rozpoznać.
• Programy kartowe: powinny zapewniać spójne wyłączanie lub ograniczanie poprzedniej karty po wydaniu zamiennika, gdy jest to wymagane.
• Konsumenci: powinni monitorować historię rachunku i szybko zgłaszać nieautoryzowane operacje. Fakt, że karta fizycznie wygasła, nie oznacza automatycznie, że powiązane konto lub dane uwierzytelniające przestały być użyteczne.

Jak bezpiecznie zutylizować wygasłą kartę?

W pierwszej kolejności należy sprawdzić instrukcje banku. Jeśli wystawca prosi o zwrot starej karty, trzeba postąpić zgodnie z tą procedurą, zamiast niszczyć ją na własną rękę.

W pozostałych przypadkach warto:

• usunąć starą kartę z zapisanych kont sklepów internetowych i aplikacji portfeli cyfrowych;
• potwierdzić, że nowa karta jest już aktywna;
• przeciąć kartę przez chip, pasek magnetyczny, numer, panel podpisu i kod bezpieczeństwa;
• skorzystać — jeśli to możliwe — z niszczarki tnącej na krzyż przeznaczonej do kart płatniczych;
• wyrzucić fragmenty osobno, o ile jest to praktyczne;
• nadal monitorować rachunek i niezwłocznie zgłaszać bankowi każdą nieznaną transakcję.

Zniszczenie plastiku ogranicza ryzyko odzyskania danych z wyrzuconej karty, ale nie zastępuje kontroli rachunku ani zgłoszenia podejrzanej operacji wystawcy.