Zombie Card ทำงานอย่างไร จึงปลุกบัตร Visa แบบไร้สัมผัสที่หมดอายุให้กลับมาซื้อของได้

จุดสำคัญคือรีเลย์ไม่ได้สร้างกุญแจลับของบัตรขึ้นมาใหม่ บัตรจริงยังคงสร้างข้อมูลธุรกรรมแบบไดนามิกที่มีลายเซ็นและคริปโตแกรมตามกระบวนการ EMV ได้อย่างถูกต้อง ช่องโหว่จึงอยู่ที่การแก้ไขฟิลด์หนึ่งซึ่งมีผลต่อการตัดสินใจ นั่นคือวันหมดอายุ โดยไม่ทำให้ข้อมูลรับรองอื่นที่ผ่านการตรวจสอบแล้วใช้งานไม่ได้

จุดอ่อนของ Visa EMV Kernel 3 อยู่ตรงไหน

ปัญหาที่รายงานเกี่ยวข้องกับการจัดการวันหมดอายุที่ไม่สอดคล้องกันใน Visa EMV Contactless Kernel 3 ซึ่งเป็นซอฟต์แวร์ตรรกะที่อยู่เบื้องหลังการประมวลผลธุรกรรมแบบแตะจ่าย ในการตั้งค่าที่ทดสอบ วันหมดอายุที่เครื่องรับชำระเงินเห็นไม่ได้ถูกผูกด้วยกลไกเข้ารหัสอย่างแน่นหนากับข้อมูลบัตรและข้อมูลธุรกรรมที่ใช้ยืนยันในขั้นตอนอนุมัติออนไลน์ภายหลัง

จึงเกิดความไม่ตรงกันดังนี้

1. บัตรจริงส่งข้อมูลการชำระเงินที่ถูกต้อง รวมถึงวันหมดอายุจริงซึ่งผ่านไปแล้ว
2. รีเลย์เปลี่ยนวันหมดอายุที่แสดงต่อเครื่องรับชำระเงิน
3. บัตรยังสร้างข้อมูลยืนยันธุรกรรมที่แท้จริงด้วยกุญแจของบัตร
4. เครื่องจึงประเมินวันหมดอายุที่เป็นอนาคต พร้อมกับได้รับหลักฐานการเข้ารหัสที่ถูกต้องจากบัตรจริง

กล่าวอีกอย่างคือ การโจมตีไม่ได้ทำลายการเข้ารหัสโดยตรง แต่โจมตี “ความสัมพันธ์ระหว่างฟิลด์ข้อมูล” หากโปรโตคอลไม่ได้ผูกค่าที่เครื่องใช้ตัดสินใจเข้ากับข้อมูลที่ผ่านการรับรองอย่างรัดกุม ผู้โจมตีอาจเปลี่ยนค่าบางส่วนได้ แม้ลายเซ็นหรือคริปโตแกรมของธุรกรรมจะยังเป็นของจริงอยู่ก็ตาม นักวิจัยอธิบายประเด็นนี้ว่าเป็นจุดอ่อนด้านการแก้ไขข้อมูลระหว่างทางในกระบวนการชำระเงินแบบไร้สัมผัสของ Visa

ทำไมบัตรหมดอายุจึงยังสร้างธุรกรรมที่ถูกต้องได้

หลายคนอาจเข้าใจว่าวันหมดอายุเป็นเหมือนสวิตช์เข้ารหัสที่ปิดการใช้งานบัตรทันที แต่ข้อมูลการวิจัยที่มีระบุว่า ระบบชำระเงินแบบไร้สัมผัสบางประเภทบังคับใช้วันหมดอายุผ่านการตรวจสอบของเครื่องรับชำระเงินและการอนุมัติจากผู้ออกบัตร ไม่ได้ทำให้บัตรหยุดทำงานในเชิงเข้ารหัสโดยอัตโนมัติ

หากเครื่องรับชำระเงินเห็นวันหมดอายุในอนาคต และผู้ออกบัตรได้รับหลักฐานธุรกรรมอื่นที่ยังถูกต้อง ระบบอาจไม่มีสัญญาณที่เชื่อถือได้และผ่านการรับรองอย่างสม่ำเสมอว่าบัตรจริงหมดอายุแล้ว ทั้งนี้ บัญชีที่เชื่อมกับบัตรต้องยังเปิดใช้งานและสามารถอนุมัติรายการได้ด้วย การโจมตีนี้ไม่ได้เปลี่ยนบัญชีที่ปิดไปแล้วหรือบัญชีที่ใช้ไม่ได้ให้กลับมาใช้งานได้

แล้ว Mastercard, American Express และ Discover ล่ะ

รายงานที่มีระบุว่า การเปลี่ยนวันหมดอายุในลักษณะเดียวกันไม่สำเร็จในการตั้งค่าที่ทดสอบของ Mastercard Kernel 2, American Express Kernel 4 และ Discover Kernel 6

อย่างไรก็ตาม แหล่งข้อมูลที่มีไม่ได้ให้การวิเคราะห์โปรโตคอลแบบละเอียดทีละ Kernel ว่าฟิลด์ใดถูกผูกเข้าด้วยกัน หรือขั้นตอนตรวจสอบใดทำให้ธุรกรรมถูกปฏิเสธ ดังนั้นข้อสรุปที่รอบคอบที่สุดคือ การตั้งค่าที่ทดสอบของเครือข่ายเหล่านี้รับมือกับการแก้ไขวันหมดอายุรูปแบบนี้ได้ดีกว่าการตั้งค่าของ Visa ที่ทดสอบ ไม่ใช่หลักฐานว่าบัตรทุกใบภายใต้แบรนด์เหล่านี้ปลอดภัยจากการโจมตีแบบรีเลย์หรือการฉ้อโกงประเภทอื่น

ผลการทดสอบกับธนาคารเป็นอย่างไร

งานวิจัยมีรายงานว่าเกี่ยวข้องกับบัตรจากธนาคารรายใหญ่ของสหรัฐฯ หลายแห่ง และมีการกล่าวถึงธุรกรรมที่สำเร็จหรือพยายามทำกับผู้ออกบัตรหลายราย

แต่แหล่งข้อมูลที่มีไม่ได้เปิดเผยชื่อธนาคารครบทั้งห้าแห่ง และไม่มีผลการอนุมัติหรือปฏิเสธที่ตรวจสอบยืนยันได้สำหรับแต่ละธนาคาร จึงไม่ควรจัดทำตารางเปรียบเทียบรายธนาคาร หรือสรุปว่าผู้ออกบัตรรายใดอนุมัติหรือปฏิเสธการโจมตีนี้เป็นการทั่วไป ผลลัพธ์อาจขึ้นอยู่กับประเภทบัตร สถานะบัญชี การควบคุมการอนุมัติ เครื่องรับชำระเงิน ผู้ให้บริการรับบัตร และเงื่อนไขของธุรกรรมแต่ละครั้ง

Visa รับทราบและแก้ไขแล้วหรือยัง

รายงานหนึ่งระบุว่านักวิจัยแจ้งผลการค้นพบแก่ Visa และธนาคารที่ได้รับผลกระทบในเดือนพฤษภาคมและธันวาคม 2025 พร้อมเอกสารสำหรับทำซ้ำการโจมตี บันทึกธุรกรรม และวิดีโอสาธิต

อย่างไรก็ตาม แหล่งข้อมูลที่มีไม่ได้แนบแถลงการณ์จาก Visa ที่ตรวจสอบยืนยันได้ ไม่มีประกาศความปลอดภัยอย่างเป็นทางการที่ยืนยันได้ และไม่มีหลักฐานว่าการแก้ไขถูกนำไปใช้งานครบถ้วนแล้ว ดังนั้นจึงยังไม่มีข้อมูลเพียงพอที่จะกล่าวว่า Visa แก้ปัญหานี้เสร็จสมบูรณ์แล้ว ครอบคลุมบัตรหรือเครื่องชำระเงินรุ่นใดบ้าง หรือมาตรการใดเป็นข้อบังคับตลอดระบบนิเวศการชำระเงิน

แนวทางป้องกันตลอดห่วงโซ่การชำระเงิน

หัวใจของการแก้ไขคือทำให้วันหมดอายุที่ส่งไปยังเครื่องรับชำระเงินไม่สามารถแตกต่างจากข้อมูลบัตรที่ผ่านการรับรองได้

• เครือข่ายการชำระเงินและผู้ออกแบบ Kernel: ผูกวันหมดอายุและข้อมูลอื่นที่เครื่องใช้ตัดสินใจเข้ากับข้อมูลบัตรที่ผ่านการรับรองและคริปโตแกรมของธุรกรรมด้วยกลไกเข้ารหัส หากพบค่าที่ไม่ตรงกันควรทำให้ธุรกรรมล้มเหลว
• ผู้ให้บริการเครื่องรับชำระเงินและผู้รับบัตร: ตรวจสอบข้อมูลวันหมดอายุที่ปรากฏในขั้นตอน EMV หลายจุด และตรวจหาความไม่สอดคล้องกัน การตรวจจับรีเลย์จากเวลาแฝงหรือรูปแบบการสื่อสารอาจเป็นสัญญาณเพิ่มเติมได้ แม้ข้อมูลที่มีจะยังไม่ยืนยันวิธีตรวจจับแบบใดแบบหนึ่งว่าใช้ได้กับทุกระบบ
• ธนาคารผู้ออกบัตร: ตรวจสอบวันหมดอายุ สถานะการเปลี่ยนบัตร และวงจรชีวิตของบัตรจากฝั่งเซิร์ฟเวอร์ระหว่างการอนุมัติ โดยไม่พึ่งพาเฉพาะวันที่ที่เครื่องรับชำระเงินส่งมา หากมีข้อมูลเพียงพอว่าบัตรหมดอายุหรือถูกแทนที่แล้ว ควรปฏิเสธหรือทำเครื่องหมายธุรกรรมดังกล่าว
• ผู้ดูแลโครงการบัตร: ทำให้กระบวนการออกบัตรใหม่ปิดใช้งานหรือจำกัดสิทธิ์ของบัตรใบเดิมอย่างสอดคล้องกันเมื่อเหมาะสม
• ผู้บริโภค: ตรวจสอบรายการในบัญชีอย่างสม่ำเสมอและรีบแจ้งธุรกรรมที่ไม่ได้ทำเอง บัตรจริงที่หมดอายุไม่ควรถูกมองว่าปลอดภัยโดยอัตโนมัติ หากบัญชีหรือข้อมูลรับรองที่เกี่ยวข้องยังคงใช้งานได้

วิธีทำลายบัตรหมดอายุอย่างปลอดภัย

ควรทำตามคำแนะนำของธนาคารหรือผู้ออกบัตรเป็นอันดับแรก โดยเฉพาะกรณีที่ขอให้ส่งบัตรเก่าคืน หากผู้ออกบัตรไม่ได้กำหนดเช่นนั้น ให้ลบบัตรออกจากบัญชีร้านค้าที่บันทึกข้อมูลไว้และแอปกระเป๋าเงินดิจิทัล ตรวจสอบว่าบัตรใบใหม่เปิดใช้งานแล้ว จากนั้นทำลายบัตรเก่าไม่ให้สามารถกู้ข้อมูลได้ง่าย

ควรตัดผ่านชิป แถบแม่เหล็ก หมายเลขบัตร แถบลายเซ็น และรหัสความปลอดภัยด้านหลังบัตร หากทำได้ ให้ใช้เครื่องทำลายเอกสารแบบตัดขวางที่รองรับบัตรชำระเงิน และทิ้งชิ้นส่วนแยกกันคนละรอบเพื่อเพิ่มความยากในการประกอบกลับ ขั้นตอนเหล่านี้ช่วยลดความเสี่ยงจากข้อมูลบนบัตรที่ถูกทิ้ง แต่ไม่ใช่สิ่งทดแทนการตรวจสอบบัญชีหรือการแจ้งธนาคารเมื่อพบรายการผิดปกติ