Як атака «Zombie Card» змушує прострочені безконтактні картки Visa знову приймати платежі

У чому суть атаки «Zombie Card»

Безконтактна картка може бути простроченою за датою, надрукованою на пластику, але водночас зберігати справні платіжні дані. Дослідники з Університету Массачусетса в Амгерсті показали, як цю розбіжність можна використати під час практичної NFC-атаки типу «людина посередині», яку вони назвали «Zombie Card» («картка-зомбі»). За допомогою двох звичайних смартфонів зловмисник може змінити дату завершення дії, яку бачить платіжний термінал, тоді як сама картка продовжує генерувати справжні дані транзакції.

Це не універсальний спосіб змусити працювати будь-яку прострочену картку. Успіх залежить від платіжної мережі, реалізації безконтактних платежів, термінала і — найважливіше — перевірок, які виконує банк-емітент під час авторизації.

Як працює ретрансляція через два смартфони

Атака розташовується між фізичною простроченою карткою та терміналом на касі. Один смартфон спілкується з карткою, а другий передає її відповіді терміналу; телефони ретранслюють обмін даними через мережеве з’єднання. Під час цього обміну посередник підміняє дату завершення дії картки, яку отримує термінал, на будь-яку дату в майбутньому.

За описом дослідників, зловмиснику не потрібно знати дату, зазначену на картці, яку клієнт отримав на заміну. Для перевірки на боці термінала може бути достатньо довільної майбутньої дати.

Водночас це не означає, що картку підробили або зламали криптографію EMV. Фізична картка й надалі передає справжні дані, підписи та криптограми транзакції. Проблема полягає в тому, що значення дати завершення дії, яке перевіряє термінал, у протестованій конфігурації Visa недостатньо надійно пов’язане з автентифікованими даними, що згодом використовуються під час онлайн-авторизації.

Чому важливий Visa EMV Kernel 3

EMV-ядро — це програмна реалізація платіжної обробки, яку термінали використовують для роботи з картками різних платіжних систем. Visa, Mastercard, American Express і Discover мають окремі шляхи безконтактної обробки.

Висновок дослідників стосується безконтактного шляху Visa, позначеного у наданих матеріалах як Kernel 3. Виявлена прогалина дає змогу двом частинам транзакції бачити різні дані: термінал отримує змінену майбутню дату, а транзакція, що надходить емітенту, зберігає справжні дані картки та коректні криптографічні перевірки.

У більш захищеній конструкції зміна такого значення під час передавання зробила б транзакцію внутрішньо суперечливою, і перевірка завершилася б відмовою. Отже, дослідження ілюструє важливий принцип кібербезпеки: криптографічний захист менш ефективний, якщо критичне поле перевіряють в одному місці платіжного ланцюжка, але не пов’язують належним чином із даними, яким довіряють в іншому.

Чому метод не спрацював на інших платіжних мережах

Дослідники перевіряли підхід і на інших безконтактних ядрах. За їхніми повідомленнями, атака не спрацювала проти Mastercard Kernel 2, American Express Kernel 4 і Discover Kernel 6. Надані джерела пов’язують це з надійнішим захистом, перевіркою або криптографічним зв’язуванням даних про завершення дії картки.

Однак доступні матеріали не дають достатньо первинних технічних деталей, щоб точно описати протокольне правило, яке зупиняє атаку в кожному з цих трьох ядер. Тому коректніше сформулювати висновок вузько: продемонстрований метод підміни дати завершення дії виявився ефективним у протестованій конфігурації Visa, але не в протестованих варіантах Mastercard, American Express і Discover. Це не означає, що картки Visa загалом можна підробляти або що кожна прострочена картка Visa обов’язково спрацює.

Що показали випробування в п’яти банках США

Тестування охоплювало торговельні точки, термінали, різні EMV-ядра та п’ять великих банків США. Результати виявилися неоднаковими: деякі емітенти авторизували транзакції зі зміненою датою, яку бачив термінал, а інші відхиляли їх завдяки суворішим перевіркам на боці банку.

Саме ця відмінність є центральною для висновків дослідження. Остаточний результат визначало не лише рішення термінала, а й логіка авторизації емітента. Банк, який окремо перевіряє завершення дії картки, її заміну, скасування та статус рахунку, імовірніше відхилить таку операцію, ніж емітент, який значною мірою покладається на локальну перевірку термінала.

Надані джерела не містять надійного переліку всіх п’яти банків, точних результатів схвалення та відхилення або підтверджених лімітів транзакцій для кожної установи. Робити такі висновки з узагальненого результату дослідження не можна.

Розкриття проблеми та статус виправлень

Дослідження представили на конференції USENIX Security 2026. У пов’язаних із університетом матеріалах зазначається, що великі карткові компанії отримали повідомлення про проблему до її публічного розголошення.

Станом на 20 серпня 2026 року надані дані підтверджують виявлення вразливості під час оцінювання дослідників, але не підтверджують, що Visa вже завершила універсальну зміну ядра, оновлення терміналів або впровадження виправлення для всіх емітентів. Також немає остаточно підтверджених строків усунення проблеми для кожного постраждалого банку.

Це важливе розмежування: повідомлення про вразливість не означає, що проблему вже повністю усунули. Практичний ризик може відрізнятися залежно від того, як платіжні мережі, постачальники терміналів, еквайри та банки узгодять перевірку даних про життєвий цикл картки.

Які заходи захисту рекомендують

Дослідження вказує на потребу в багаторівневому захисті, а не в одному окремому виправленні:

• Розробникам платіжних ядер і карткових систем: криптографічно пов’язати дату завершення дії та інші поля життєвого циклу, видимі терміналу, з автентифікованими даними транзакції. Будь-яка зміна під час передавання має робити операцію недійсною.
• Розробникам терміналів та еквайрингових систем: перевіряти дату завершення дії за автентифікованою інформацією, якщо вона доступна, і відхиляти суперечливі значення замість безумовної довіри до незахищеного поля, яке бачить термінал.
• Банкам-емітентам: самостійно перевіряти завершення дії, заміну, скасування та статус рахунку під час авторизації, а не покладатися лише на локальне рішення термінала.
• Платіжним мережам і командам із протидії шахрайству: виявляти розбіжності між датою, переданою терміналом, і даними, доступними емітенту, а також застосовувати відповідні засоби контролю до підозрілих схем NFC-ретрансляції. Це випливає з висновку дослідників про розподіл відповідальності між карткою, терміналом, мережею та банком.

Що робити власникам прострочених карток

Прострочену картку не варто викидати цілою. Рекомендації, наведені разом із дослідженням, передбачають розмагнітити магнітну смугу, знищити EMV-чип, а саму картку розрізати або подрібнити, зокрема пошкодивши надруковані цифри й літери. Фрагменти краще викидати окремо. Власникам металевих карток слід звернутися до банку та уточнити безпечний спосіб утилізації.

Також варто продовжувати контролювати пов’язаний рахунок навіть після закриття картки й оперативно повідомляти банк про несанкціоновані списання. Для атаки потрібен доступ до фізичної картки або тривала близькість до неї, тому правильне знищення старого пластику зменшує можливість зловживання.