Zombie Card ทำงานอย่างไร เมื่อบัตร Visa หมดอายุถูกปลุกให้กลับมาแตะจ่ายได้อีกครั้ง

บัตรชำระเงินแบบแตะจ่ายอาจดูเหมือนหมดอายุจากวันที่พิมพ์อยู่บนหน้าบัตร แต่ข้อมูลสำหรับการทำธุรกรรมแบบไร้สัมผัสภายในบัตรยังคงทำงานได้ นักวิจัยจาก University of Massachusetts Amherst พบว่าความไม่สอดคล้องกันระหว่างสิ่งที่เครื่องรับชำระเงินตรวจสอบกับสิ่งที่ธนาคารใช้อนุมัติรายการ อาจถูกนำมาใช้ใน การโจมตีผ่าน NFC แบบคนกลาง (man-in-the-middle) ที่เรียกว่า “Zombie Card”

การสาธิตใช้สมาร์ตโฟนทั่วไป 2 เครื่องเป็นตัวส่งต่อการสื่อสารระหว่างบัตรจริงกับเครื่องรับชำระเงิน โดยแก้ไขวันหมดอายุที่เครื่องรับชำระเงินเห็นให้เป็นวันในอนาคต ขณะที่บัตรยังคงส่งข้อมูลธุรกรรมจริง ลายเซ็น และรหัสเข้ารหัสที่ถูกต้องออกมา

อย่างไรก็ตาม นี่ไม่ใช่วิธีสากลที่ทำให้บัตรหมดอายุทุกใบกลับมาใช้ได้ ความสำเร็จขึ้นอยู่กับเครือข่ายบัตร ระบบประมวลผลของเครื่องรับชำระเงิน และที่สำคัญคือการตรวจสอบของธนาคารผู้ออกบัตร

Zombie Card โจมตีระบบอย่างไร

การโจมตีเกิดขึ้นระหว่างบัตรแบบแตะจ่ายที่หมดอายุกับเครื่องรับชำระเงินที่จุดขาย (POS) โทรศัพท์เครื่องหนึ่งสื่อสารกับบัตรจริง ส่วนอีกเครื่องหนึ่งทำหน้าที่นำข้อมูลดังกล่าวไปแสดงต่อเครื่องรับชำระเงิน โดยโทรศัพท์ทั้งสองเครื่องส่งต่อการสื่อสารผ่านเครือข่าย

ระหว่างกระบวนการนี้ ตัวส่งต่อจะแก้ไขวันหมดอายุที่ฝั่งเครื่องรับชำระเงินอ่านได้ ให้กลายเป็นวันในอนาคต นักวิจัยรายงานว่าผู้โจมตีไม่จำเป็นต้องรู้วันหมดอายุจริงของบัตรใบใหม่ที่ธนาคารส่งมา เพราะการตรวจสอบฝั่งเครื่องรับชำระเงินตามที่อธิบายไว้ อาจยอมรับวันใดก็ได้ที่อยู่ในอนาคต

จุดสำคัญคือผู้โจมตีไม่ได้ปลอมบัตรหรือทำลายระบบเข้ารหัส EMV บัตรจริงยังเป็นผู้สร้างข้อมูลบัตร ลายเซ็น และรหัสเข้ารหัสของธุรกรรมที่ถูกต้อง ปัญหาอยู่ที่ค่าวันหมดอายุซึ่งเครื่องรับชำระเงินใช้ตรวจสอบ ไม่ได้ถูกผูกเข้ากับข้อมูลที่ผ่านการยืนยันตัวตนและถูกส่งไปให้ธนาคารใช้อนุมัติรายการอย่างแน่นหนาพอ ในการตั้งค่า Visa ที่ทดสอบ

เหตุใด Visa EMV Kernel 3 จึงมีความสำคัญ

EMV kernel คือซอฟต์แวร์ในเครื่องรับชำระเงินที่ใช้ประมวลผลธุรกรรมตามเครือข่ายบัตรแต่ละราย เช่น Visa, Mastercard, American Express และ Discover ซึ่งมีเส้นทางการประมวลผลแบบแตะจ่ายแตกต่างกัน

ผลการวิจัยมุ่งไปที่เส้นทางการชำระเงินแบบไร้สัมผัสของ Visa ซึ่งรายงานระบุว่าเป็น EMV Kernel 3 ช่องว่างในการออกแบบทำให้ข้อมูลสองส่วนของธุรกรรมอาจไม่ตรงกันได้ นั่นคือ เครื่องรับชำระเงินเห็นวันหมดอายุใหม่ที่อยู่ในอนาคต แต่ข้อมูลที่ส่งไปยังธนาคารผู้ออกบัตรยังคงเป็นข้อมูลจริง พร้อมการตรวจสอบการเข้ารหัสที่ผ่าน

หากระบบออกแบบให้วันหมดอายุและข้อมูลวงจรชีวิตของบัตรถูกผูกเข้ากับข้อมูลธุรกรรมที่ผ่านการรับรองอย่างเหมาะสม การแก้ไขข้อมูลระหว่างทางก็ควรทำให้ธุรกรรมไม่สอดคล้องกันและถูกปฏิเสธทันที กรณี Zombie Card จึงสะท้อนหลักการด้านความปลอดภัยที่สำคัญว่า การเข้ารหัสเพียงอย่างเดียวอาจไม่เพียงพอ หากข้อมูลสำคัญถูกตรวจสอบแยกกันคนละจุดและไม่ได้เชื่อมโยงกันตลอดเส้นทางการชำระเงิน

ทำไมการโจมตีจึงไม่เกิดผลกับเครือข่ายอื่นตามการทดสอบ

นักวิจัยรายงานว่าเทคนิคเดียวกันไม่สำเร็จในการทดสอบกับ Mastercard Kernel 2, American Express Kernel 4 และ Discover Kernel 6

รายงานที่มีอยู่ระบุว่าเส้นทางเหล่านี้มีการปกป้อง ตรวจสอบ หรือผูกข้อมูลวันหมดอายุที่เกี่ยวข้องกับข้อมูลเข้ารหัสได้แน่นหนากว่า ทำให้การเปลี่ยนข้อมูลระหว่างทางทำให้ธุรกรรมไม่ผ่านการตรวจสอบ อย่างไรก็ตาม หลักฐานที่มีไม่ได้ให้รายละเอียดระดับโปรโตคอลอย่างเพียงพอว่าแต่ละ kernel ใช้กฎหรือข้อมูลรายการใดเป็นตัวหยุดการโจมตีโดยเฉพาะ

ดังนั้น ข้อสรุปที่ปลอดภัยกว่าคือ วิธีแก้ไขวันหมดอายุที่สาธิตนี้ได้ผลกับการตั้งค่า Visa ที่ถูกทดสอบ แต่ไม่สามารถทำซ้ำได้กับเส้นทางของ Mastercard, American Express และ Discover ที่ถูกทดสอบ นี่ไม่ใช่หลักฐานว่าบัตร Visa ทุกใบปลอมแปลงได้ หรือบัตร Visa ที่หมดอายุทุกใบจะกลับมาใช้งานได้

ผลการทดสอบกับธนาคารสหรัฐฯ 5 แห่ง

การทดสอบครอบคลุมร้านค้า เครื่องรับชำระเงิน EMV kernel และธนาคารรายใหญ่ในสหรัฐฯ 5 แห่ง ผลที่ได้แตกต่างกัน บางธนาคารอนุมัติธุรกรรมที่เครื่องรับชำระเงินได้รับวันหมดอายุซึ่งถูกแก้ไขแล้ว ขณะที่บางธนาคารปฏิเสธรายการจากการตรวจสอบฝั่งผู้ออกบัตรที่เข้มงวดกว่า

ความแตกต่างนี้เป็นหัวใจของผลการวิจัย เพราะการที่เครื่องรับชำระเงินยอมรับบัตรไม่ได้แปลว่าธุรกรรมจะเสร็จสมบูรณ์เสมอไป การอนุมัติจากธนาคารก็มีบทบาทเช่นกัน ธนาคารที่ตรวจสอบวันหมดอายุ การออกบัตรทดแทน การยกเลิกบัตร และสถานะบัญชีด้วยตัวเอง มีแนวโน้มจะปฏิเสธรายการมากกว่าธนาคารที่พึ่งพาการตัดสินใจเรื่องวันหมดอายุของเครื่องรับชำระเงินเป็นหลัก

ข้อมูลที่มีอยู่ไม่ได้ระบุรายชื่อธนาคารทั้ง 5 แห่งอย่างน่าเชื่อถือ ผลการอนุมัติหรือปฏิเสธแบบรายธนาคาร หรือเพดานจำนวนธุรกรรมที่ตรวจสอบได้ของแต่ละแห่ง จึงไม่ควรสรุปตัวเลขหรือรายละเอียดเหล่านี้จากผลการค้นพบโดยรวม

การเปิดเผยช่องโหว่และสถานะการแก้ไข

งานวิจัยนี้ถูกนำเสนอในการประชุม USENIX Security 2026 และรายงานที่เกี่ยวข้องกับมหาวิทยาลัยระบุว่า บริษัทบัตรรายใหญ่ได้รับแจ้งก่อนการเปิดเผยผลการศึกษาแก่สาธารณะ

ณ วันที่ 20 สิงหาคม 2026 หลักฐานที่มีอยู่ยืนยันผลการค้นพบจากการประเมินของนักวิจัย แต่ยังไม่ยืนยันว่า Visa ได้ปรับปรุง kernel ทั่วทั้งระบบ อัปเดตเครื่องรับชำระเงินทั้งหมด หรือออกมาตรการแก้ไขสำหรับธนาคารผู้ออกบัตรทุกแห่งแล้ว

เช่นเดียวกัน ยังไม่มีหลักฐานยืนยันกำหนดการแก้ไขที่แน่นอนของธนาคารแต่ละแห่ง การแจ้งช่องโหว่จึงไม่เท่ากับการแก้ไขเสร็จสมบูรณ์ ความเสี่ยงในทางปฏิบัติอาจแตกต่างกันไป ขณะที่เครือข่ายบัตร ผู้ให้บริการเครื่องรับชำระเงิน ผู้รับชำระเงิน และธนาคารผู้ออกบัตรกำลังหาวิธีตรวจสอบข้อมูลวงจรชีวิตของบัตรให้สอดคล้องกันมากขึ้น

แนวทางป้องกันที่ควรทำตลอดห่วงโซ่การชำระเงิน

งานวิจัยชี้ว่าการป้องกันควรเป็นแบบหลายชั้น ไม่ใช่พึ่งการแก้ไขเพียงจุดเดียว

• ผู้ออกแบบ payment kernel และระบบบัตร: ควรผูกวันหมดอายุ รวมถึงข้อมูลวงจรชีวิตของบัตรที่เครื่องรับชำระเงินมองเห็น เข้ากับข้อมูลธุรกรรมที่ผ่านการยืนยันตัวตนด้วยการเข้ารหัส เพื่อให้การแก้ไขระหว่างทางทำให้ธุรกรรมไม่ผ่านการตรวจสอบ
• ผู้พัฒนาเครื่องรับชำระเงินและระบบผู้รับชำระเงิน: ควรตรวจสอบวันหมดอายุจากข้อมูลที่ผ่านการรับรองเมื่อมีข้อมูลดังกล่าว และปฏิเสธค่าที่ไม่สอดคล้องกัน แทนการเชื่อข้อมูลที่แสดงต่อเครื่องเพียงอย่างเดียว
• ธนาคารผู้ออกบัตร: ควรตรวจสอบวันหมดอายุ การออกบัตรใหม่ การยกเลิกบัตร และสถานะบัญชีหรือบัตรด้วยตัวเองในขั้นตอนอนุมัติ ไม่ควรพึ่งการตัดสินใจเฉพาะที่เครื่องรับชำระเงิน
• เครือข่ายบัตรและทีมป้องกันการฉ้อโกง: ควรตรวจหาความไม่ตรงกันระหว่างวันหมดอายุที่เครื่องรับชำระเงินส่งมา กับข้อมูลที่ธนาคารมองเห็น รวมถึงใช้มาตรการตรวจจับธุรกรรมแตะจ่ายที่มีรูปแบบผิดปกติ แนวทางนี้สอดคล้องกับข้อค้นพบที่ชี้ว่าความรับผิดชอบถูกแบ่งอยู่ระหว่างบัตร เครื่องรับชำระเงิน เครือข่าย และธนาคาร

ผู้บริโภคควรทำอย่างไรกับบัตรหมดอายุ

ไม่ควรทิ้งบัตรหมดอายุทั้งใบโดยไม่ทำลาย ก่อนนำไปทิ้ง คำแนะนำจากงานวิจัยคือให้ทำลายแถบแม่เหล็ก ทำลายชิป EMV และตัดหรือฉีกบัตรให้ละเอียด รวมถึงตัวเลขและตัวอักษรที่พิมพ์อยู่บนบัตร จากนั้นแยกทิ้งเป็นชิ้น ๆ

สำหรับบัตรโลหะ ควรติดต่อธนาคารหรือผู้ออกบัตรเพื่อสอบถามวิธีส่งคืนหรือกำจัดที่ปลอดภัย นอกจากนี้ ควรติดตามความเคลื่อนไหวของบัญชีที่เกี่ยวข้องต่อไป แม้บัตรจะถูกปิดแล้ว และรีบแจ้งธนาคารเมื่อพบรายการที่ไม่ได้ทำเอง

การโจมตีนี้ต้องอาศัยบัตรจริงหรือการอยู่ใกล้บัตรอย่างต่อเนื่องเพื่อสื่อสารผ่าน NFC ดังนั้น การปิดใช้งานบัตรกับผู้ออกบัตรและทำลายบัตรเก่าอย่างเหมาะสมจึงช่วยลดโอกาสที่บัตรจะถูกนำไปใช้ในทางที่ผิด