Jak wygasłe karty zbliżeniowe Visa mogły znów płacić

Wygasła karta zbliżeniowa może nadal zawierać działające dane płatnicze. Naukowcy z University of Massachusetts Amherst pokazali, jak wykorzystać tę różnicę w praktycznym ataku typu man-in-the-middle na NFC, nazwanym „Zombie Card”. Do przeprowadzenia ataku użyto dwóch zwykłych smartfonów działających jako przekaźnik: jeden komunikuje się z fizyczną kartą, a drugi przekazuje jej odpowiedzi terminalowi płatniczemu.

W trakcie wymiany danych atakujący może zmienić datę ważności prezentowaną terminalowi na dowolną datę w przyszłości, podczas gdy sama karta nadal generuje prawidłowe dane transakcji. Nie jest to jednak uniwersalny sposób na użycie każdej wygasłej karty. Skuteczność zależy od sieci płatniczej, terminala oraz — przede wszystkim — kontroli wykonywanych przez bank wydający kartę.

Na czym polega atak „Zombie Card”

Atak lokuje się pomiędzy wygasłą fizyczną kartą zbliżeniową a terminalem w punkcie sprzedaży. Jeden smartfon komunikuje się z kartą, drugi prezentuje jej odpowiedzi terminalowi, a oba urządzenia przekazują sobie dane przez połączenie sieciowe. W tym procesie przekaźnik podmienia datę ważności, którą odczytuje terminal, na datę przyszłą.

Badacze poinformowali, że napastnik nie musi znać daty ważności karty zastępczej. W opisanej przez nich kontroli po stronie terminala wystarczające może być wpisanie dowolnej przyszłej daty.

Nie oznacza to, że karta została sfałszowana albo że przełamano kryptografię EMV. Fizyczna karta nadal dostarcza prawdziwe dane, podpisy i kryptogramy transakcji. Problem polega na tym, że data ważności sprawdzana przez terminal nie jest w testowanej konfiguracji wystarczająco powiązana z uwierzytelnionymi informacjami wykorzystywanymi później podczas autoryzacji online.

Dlaczego istotny jest Visa EMV Kernel 3

Kernel EMV to implementacja oprogramowania płatniczego używana przez terminal do obsługi określonego schematu kart. Visa, Mastercard, American Express i Discover korzystają z odrębnych ścieżek przetwarzania płatności zbliżeniowych.

Opisane ustalenie dotyczyło ścieżki Visa EMV, określanej w dostarczonych materiałach jako Kernel 3. Luka projektowa pozwala, by dwie części transakcji zawierały niespójne informacje: terminal otrzymuje zmienioną, przyszłą datę ważności, natomiast dane widoczne dla wydawcy karty pozostają autentyczne i przechodzą kontrole kryptograficzne.

W konstrukcji, w której data ważności byłaby kryptograficznie związana z uwierzytelnionymi danymi transakcji, zmiana tej wartości po drodze spowodowałaby niespójność i odrzucenie płatności. Badanie pokazuje więc szerszy problem bezpieczeństwa: kryptografia nie wystarcza, jeśli kluczowe pole jest sprawdzane w jednym miejscu łańcucha płatniczego, ale nie jest wiarygodnie powiązane z informacjami zaufanymi w innym.

Dlaczego metoda nie działała w testach innych sieci

Badacze sprawdzili tę technikę także dla innych kernelów zbliżeniowych. Według dostępnych raportów nie zadziałała ona w przypadku Mastercard Kernel 2, American Express Kernel 4 ani Discover Kernel 6. Odporność tych rozwiązań przypisano silniejszej ochronie, walidacji lub kryptograficznemu powiązaniu danych dotyczących daty ważności.

Dostępne materiały nie opisują jednak wystarczająco dokładnie, jaka konkretna reguła protokołu blokuje atak w każdym z tych trzech kernelów. Najbezpieczniejszy wniosek jest zatem węższy: demonstracja zadziałała w testowanej konfiguracji Visa, ale nie została odtworzona dla testowanych ścieżek Mastercard, American Express i Discover. Nie jest to dowód na to, że karty Visa można powszechnie podrabiać ani że każda wygasła karta Visa będzie działać.

Co pokazały testy w pięciu amerykańskich bankach

Testy obejmujące sprzedawców, terminale, kernele EMV i pięć dużych banków w Stanach Zjednoczonych dały mieszane rezultaty. Niektórzy wydawcy autoryzowali transakcje zawierające zmienioną datę ważności widoczną dla terminala, podczas gdy inni je odrzucali dzięki silniejszym kontrolom po stronie banku.

Ta różnica jest kluczowa. O tym, czy płatność faktycznie dojdzie do skutku, nie decyduje wyłącznie terminal. Znaczenie ma także logika autoryzacji banku. Wydawca, który niezależnie sprawdza wygaśnięcie, wymianę, anulowanie i status karty w cyklu życia rachunku, może częściej odrzucić taką transakcję niż bank w dużej mierze polegający na decyzji terminala.

Dostarczone źródła nie podają wiarygodnej listy wszystkich pięciu banków, dokładnych wyników akceptacji i odrzuceń ani potwierdzonych limitów transakcji dla poszczególnych instytucji. Tych szczegółów nie należy wyprowadzać z ogólnego wyniku badania.

Ujawnienie problemu i stan naprawy

Badanie zaprezentowano podczas konferencji USENIX Security 2026. Z dostarczonych informacji uniwersyteckich wynika również, że główne firmy związane z kartami zostały powiadomione przed publikacją ustaleń.

Na 20 sierpnia 2026 roku dostępne dowody potwierdzają wykrycie podatności w ramach oceny przeprowadzonej przez badaczy, ale nie potwierdzają zakończenia przez Visę uniwersalnej zmiany kernela, aktualizacji terminali ani wdrożenia poprawki u wszystkich wydawców. Nie ma też rozstrzygającego harmonogramu napraw dla poszczególnych banków.

To ważne rozróżnienie: zgłoszenie podatności nie oznacza jeszcze zakończonej naprawy. Rzeczywiste ryzyko może być różne w zależności od banku i terminala, podczas gdy organizacje płatnicze, operatorzy terminali, agenci rozliczeniowi i wydawcy ustalają, jak spójnie weryfikować dane dotyczące cyklu życia karty.

Jak można ograniczyć ryzyko

Wnioski z badania wskazują na potrzebę ochrony na kilku poziomach, a nie na jedną prostą poprawkę:

• Projektanci kernelów płatniczych i systemów kartowych powinni kryptograficznie wiązać datę ważności oraz inne pola dotyczące statusu karty, widoczne dla terminala, z uwierzytelnionymi danymi transakcji. Zmiana wartości w trakcie przekazywania powinna unieważniać transakcję.
• Terminale i systemy agentów rozliczeniowych powinny, gdy to możliwe, sprawdzać datę ważności na podstawie uwierzytelnionych informacji i odrzucać niespójne wartości zamiast ufać niezabezpieczonemu polu prezentowanemu terminalowi.
• Banki wydające karty powinny niezależnie kontrolować podczas autoryzacji wygaśnięcie, wymianę, anulowanie oraz status rachunku i karty, zamiast polegać wyłącznie na lokalnej decyzji terminala.
• Organizacje płatnicze i zespoły antyfraudowe powinny wykrywać rozbieżności między datą przekazaną przez terminal a informacjami widocznymi dla banku oraz stosować kontrole adekwatne do podejrzanych przekaźników płatności zbliżeniowych. Wynika to z faktu, że odpowiedzialność za weryfikację jest rozdzielona między kartę, terminal, sieć i bank.

Co zrobić z wygasłą kartą

Wygasłej karty nie należy wyrzucać w całości. Zalecenia to rozmagnesowanie paska magnetycznego, zniszczenie chipu EMV oraz pocięcie lub rozdrobnienie całej karty — razem z nadrukowanymi numerami i literami. Fragmenty najlepiej wyrzucać osobno. W przypadku kart metalowych należy zapytać bank o bezpieczny sposób utylizacji.

Warto także monitorować powiązany rachunek, również po zamknięciu karty, i jak najszybciej zgłaszać nieautoryzowane obciążenia. Atak wymaga dostępu do fizycznej karty albo utrzymywania jej w zasięgu NFC, dlatego bezpieczne zniszczenie starego nośnika ogranicza możliwość jego wykorzystania.