”Zombie Card”-attacken gav utgångna Visa-kort nytt liv

Reläet kunde då ändra just det utgångsdatum som terminalen använde i sina kontroller. Ett gammalt datum ersattes med ett framtida datum, medan kortet fortsatte att leverera äkta betalningsdata.

Det centrala är att forskarna inte behövde skapa falska nycklar eller förfalska kortets kryptografiska bevis. Det riktiga kortet producerade fortfarande de dynamiska signaturer och transaktionskryptogram som EMV-processen förväntar sig. Svagheten låg i stället i att ett beslutskritiskt fält kunde ändras utan att den övriga autentiserade informationen blev ogiltig.

Svagheten i Visa EMV Kernel 3

Problemet kopplades till hur utgångsdatumet hanterades i Visas kontaktlösa EMV Kernel 3. En betalningskernel är den del av terminalens programvara som hanterar kommunikationen och reglerna för kontaktlösa EMV-betalningar.

I den testade Visa-konfigurationen var datumet som skickades till terminalen inte tillräckligt kryptografiskt bundet till den kortdata och den transaktionsinformation som senare användes vid auktoriseringen online.

Det skapade en avgörande skillnad mellan vad terminalen såg och vad det riktiga kortet faktiskt innehöll:

1. Kortet skickade autentiska betalningsdata, inklusive sitt riktiga – men utgångna – datum.
2. Reläet ändrade datumet som terminalen fick se.
3. Kortet genererade fortfarande äkta kryptografiskt transaktionsmaterial.
4. Terminalen kunde därför kontrollera ett framtida datum samtidigt som den fick giltiga kryptografiska bevis från det riktiga kortet.

Angreppet riktade alltså inte in sig på själva kryptografin, utan på kopplingen mellan olika fält i betalningsprotokollet. En signatur eller ett transaktionskryptogram kan fortfarande vara äkta om protokollet inte binder samman alla värden som terminalen använder för att fatta beslut.

Varför kunde ett utgånget kort ändå godkännas?

Utgångsdatumet fungerar inte nödvändigtvis som en inbyggd kryptografisk avstängning i ett kontaktlöst kort. Enligt den tillgängliga forskningen kan vissa kontroller i stället bero på vad terminalen tar emot och vad banken själv kan verifiera när transaktionen auktoriseras.

Om terminalen ser ett framtida datum och banken samtidigt får i övrigt autentiska transaktionsuppgifter kan systemet sakna en tillförlitlig, konsekvent autentiserad signal om att det fysiska kortet faktiskt har gått ut. För att ett köp ska gå igenom måste dock även kontot vara öppet och godkännas av banken.

Varför fungerade inte samma metod mot Mastercard, American Express och Discover?

Det tillgängliga underlaget uppger att samma typ av datumbyte inte lyckades i de testade konfigurationerna för Mastercard Kernel 2, American Express Kernel 4 och Discover Kernel 6.

Källorna innehåller däremot ingen fullständig teknisk jämförelse som visar exakt vilka fältkopplingar eller kontrollsteg som gjorde att dessa transaktioner stoppades. Den försiktiga slutsatsen är därför att de testade implementationerna hanterade just denna manipulation bättre än den testade Visa-konfigurationen.

Det betyder inte att alla kort från dessa varumärken automatiskt är immuna mot reläattacker eller annan betalningsbedrägerier.

Vad visade testerna med banker?

Forskarna uppges ha testat kort från flera stora amerikanska banker, och rapporteringen beskriver både genomförda och försökte transaktioner hos flera kortutgivare.

Det tillgängliga materialet identifierar dock inte alla fem banker och redovisar inte heller ett verifierat resultat – godkänt eller nekat – för varje bank. Därför går det inte att ansvarsfullt göra en bank-för-bank-tabell eller hävda att en viss utgivare alltid godkände eller alltid stoppade angreppet.

Utfallet kan påverkas av bland annat kortprodukt, kontostatus, terminal, betalningsinlösare, auktoriseringskontroller och övriga transaktionsvillkor.

Vad har Visa gjort åt saken?

En av rapporterna uppger att forskarna informerade Visa och berörda banker i maj och december 2025. De ska då ha lämnat reproduktionsmaterial, transaktionsuppgifter och en demonstrationsvideo.

De tillgängliga källorna innehåller inte något verifierbart uttalande från Visa, någon bekräftad säkerhetsrådgivning eller belägg för att en fullständig åtgärd har rullats ut. Det går därför inte att slå fast att Visa har löst problemet helt, vilka kort eller terminaler som omfattas eller om en eventuell begränsning är obligatorisk i hela betalningssystemet.

Så kan betalningskedjan skyddas

Den viktigaste åtgärden är att se till att datumet som terminalen ser aldrig kan skilja sig från den autentiserade kortdatan.

• Betalningsnätverk och utvecklare av betalningskärnor: Knyt utgångsdatumet och andra beslutsvärden i terminalen kryptografiskt till autentiserad kortdata och transaktionskryptogrammet. Motsägelsefulla värden ska få transaktionen att avvisas.
• Terminal- och inlösaroperatörer: Kontrollera utgångsdatumet på de ställen där det förekommer i EMV-utbytet och reagera på avvikelser. Tidsmätning och kommunikationsmönster kan ge ytterligare signaler om en reläattack, men det tillgängliga materialet visar ingen universell detektionsmetod.
• Kortutgivare: Kontrollera kortets utgångs-, ersättnings- och livscykelstatus separat vid auktoriseringen. Förlita er inte enbart på datumet som terminalen skickar.
• Kortprogram: Se till att gamla kort konsekvent avaktiveras eller begränsas när ett ersättningskort utfärdas.
• Konsumenter: Följ kontot och rapportera okända transaktioner så snart som möjligt. Ett utgånget fysiskt kort är inte automatiskt ofarligt om kontot eller kortuppgifterna fortfarande är aktiva.

Så gör du dig av med ett utgånget kort

Följ alltid kortutgivarens instruktioner först. Om banken vill att det gamla kortet ska skickas tillbaka bör du göra det i stället för att förstöra det.

Annars bör du först ta bort kortet från sparade betaluppgifter hos nätbutiker och från digitala plånböcker. Kontrollera också att ersättningskortet är aktiverat. Förstör sedan det gamla kortet så att uppgifterna blir svåra att återskapa.

Klipp genom chipet, magnetremsan, det tryckta kortnumret, signaturfältet och säkerhetskoden. En dokumentförstörare med krysskärning som är avsedd för betalkort är ett bra alternativ. Om det är praktiskt kan delarna slängas separat.

Åtgärderna minskar risken att kortuppgifter hamnar i fel händer, men ersätter inte löpande kontokontroll eller en snabb rapportering till banken om något verkar fel.