“Zombie Card” có thể hồi sinh thẻ Visa hết hạn như thế nào?

Một chiếc thẻ không tiếp xúc có thể đã quá hạn in trên mặt thẻ nhưng vẫn chứa thông tin thanh toán còn hoạt động. Các nhà nghiên cứu tại Đại học Massachusetts Amherst đã chỉ ra cách khai thác khoảng cách này trong một cuộc tấn công trung gian qua NFC, được đặt tên là “Zombie Card”. Với hai smartphone thông thường đóng vai trò chuyển tiếp, kẻ tấn công có thể thay đổi ngày hết hạn mà máy thanh toán nhìn thấy, trong khi thẻ thật vẫn tạo ra dữ liệu giao dịch hợp lệ.

Tuy nhiên, đây không phải cách sử dụng được mọi thẻ hết hạn. Khả năng thành công phụ thuộc vào cách mạng lưới thẻ triển khai thanh toán không tiếp xúc, loại thiết bị đầu cuối và đặc biệt là các bước kiểm tra ủy quyền của ngân hàng phát hành.

Cuộc tấn công “Zombie Card” hoạt động ra sao?

Cuộc tấn công nằm giữa thẻ không tiếp xúc đã hết hạn và thiết bị đầu cuối tại quầy thanh toán. Một smartphone giao tiếp với thẻ thật, còn smartphone thứ hai chuyển phản hồi của thẻ tới thiết bị đầu cuối; hai máy kết nối với nhau qua mạng để tiếp sức cho quá trình trao đổi. Trong lúc đó, hệ thống chuyển tiếp thay ngày hết hạn mà thiết bị đầu cuối nhận được thành một ngày trong tương lai.

Theo mô tả của các nhà nghiên cứu, kẻ tấn công không cần biết ngày hết hạn thực sự của thẻ thay thế. Trong bước kiểm tra ở phía thiết bị đầu cuối, chỉ cần một ngày bất kỳ trong tương lai cũng có thể khiến thẻ trông như vẫn còn hiệu lực.

Điều này không có nghĩa kẻ tấn công đã làm giả thẻ hay phá được cơ chế mật mã EMV. Thẻ vật lý vẫn cung cấp dữ liệu thẻ, chữ ký và mã xác thực giao dịch thật. Vấn đề là giá trị ngày hết hạn mà thiết bị đầu cuối sử dụng chưa được gắn chặt một cách đầy đủ với thông tin đã xác thực và được dùng ở bước ủy quyền trực tuyến trong cấu hình Visa được thử nghiệm.

Vì sao Visa EMV Kernel 3 là mắt xích quan trọng?

EMV kernel là phần mềm xử lý thanh toán được cài trong thiết bị đầu cuối cho từng mạng lưới thẻ. Visa, Mastercard, American Express và Discover sử dụng các đường xử lý thanh toán không tiếp xúc riêng.

Phát hiện của nhóm nghiên cứu liên quan đến đường xử lý thanh toán không tiếp xúc của Visa, được các báo cáo cung cấp xác định là Kernel 3. Khoảng trống trong thiết kế khiến hai phần của giao dịch có thể không nhất quán: thiết bị đầu cuối nhận một ngày hết hạn trong tương lai đã bị thay đổi, trong khi giao dịch gửi tới phía ngân hàng phát hành vẫn chứa dữ liệu thẻ xác thực cùng các bước kiểm tra mật mã hợp lệ.

Trong một thiết kế liên kết chặt chẽ hơn, việc sửa giá trị liên quan đến ngày hết hạn trên đường truyền sẽ khiến giao dịch không còn nhất quán với dữ liệu đã xác thực và bị từ chối. Phát hiện “Zombie Card” cho thấy một nguyên tắc quan trọng của an toàn thanh toán: mật mã sẽ kém hiệu quả nếu một trường dữ liệu quan trọng được kiểm tra ở một khâu nhưng không được ràng buộc đáng tin cậy với dữ liệu mà khâu khác sử dụng.

Vì sao kỹ thuật này được cho là không hiệu quả trên các mạng khác?

Các nhà nghiên cứu đã thử nghiệm phương pháp này trên những kernel không tiếp xúc khác và báo cáo rằng nó không hoạt động với Mastercard Kernel 2, American Express Kernel 4 hoặc Discover Kernel 6. Các báo cáo cho rằng những hệ thống này có cơ chế bảo vệ, xác thực hoặc liên kết mật mã mạnh hơn đối với dữ liệu ngày hết hạn liên quan.

Dù vậy, các bằng chứng hiện có chưa cho phép xác định chính xác quy tắc ở cấp giao thức đã ngăn cuộc tấn công trong từng kernel nói trên. Vì thế, kết luận an toàn nhất là: phương pháp sửa ngày hết hạn đã được chứng minh có hiệu quả trong cấu hình Visa được thử nghiệm, nhưng không tái hiện được trên các đường xử lý Mastercard, American Express và Discover đã thử. Đây không phải bằng chứng cho thấy thẻ Visa nói chung có thể bị làm giả, cũng không có nghĩa mọi thẻ Visa hết hạn đều sẽ thanh toán được.

Thử nghiệm tại năm ngân hàng Mỹ cho thấy điều gì?

Nhóm nghiên cứu thử nghiệm trên nhiều điểm bán, thiết bị đầu cuối, EMV kernel và năm ngân hàng lớn tại Mỹ, với kết quả không đồng nhất. Một số ngân hàng phát hành đã ủy quyền cho giao dịch chứa ngày hết hạn đã bị thay đổi ở phía thiết bị đầu cuối, trong khi các ngân hàng khác từ chối nhờ cơ chế kiểm tra ở phía phát hành chặt chẽ hơn.

Sự khác biệt này là trọng tâm của phát hiện. Việc thiết bị đầu cuối chấp nhận thẻ không tự quyết định giao dịch có hoàn tất hay không; logic ủy quyền của ngân hàng phát hành cũng đóng vai trò then chốt. Ngân hàng tự kiểm tra độc lập thời hạn, tình trạng cấp thẻ thay thế, hủy thẻ và trạng thái vòng đời tài khoản có nhiều khả năng từ chối giao dịch hơn ngân hàng phụ thuộc nhiều vào quyết định hết hạn tại thiết bị đầu cuối.

Các nguồn được cung cấp không đưa ra danh sách đáng tin cậy theo từng ngân hàng, kết quả chấp nhận hoặc từ chối cụ thể, hay hạn mức giao dịch đã được xác minh cho từng ngân hàng. Không nên suy diễn những chi tiết này từ kết luận chung của nghiên cứu.

Công bố và tình trạng khắc phục

Nghiên cứu được trình bày tại USENIX Security 2026. Các thông tin liên quan đến Đại học Massachusetts Amherst cho biết những công ty thẻ lớn đã được thông báo trước khi phát hiện được công bố rộng rãi.

Tính đến ngày 20 tháng 8 năm 2026, bằng chứng được cung cấp xác nhận phát hiện lỗ hổng trong quá trình đánh giá của nhóm nghiên cứu, nhưng chưa xác nhận Visa đã hoàn tất một thay đổi kernel trên toàn hệ thống, cập nhật đồng loạt thiết bị đầu cuối hay biện pháp khắc phục áp dụng cho mọi ngân hàng phát hành. Các nguồn cũng chưa xác lập mốc thời gian xử lý dứt điểm cho từng ngân hàng bị ảnh hưởng.

Cần phân biệt rõ: thông báo lỗ hổng không đồng nghĩa với việc khắc phục đã hoàn tất. Mức độ rủi ro thực tế có thể khác nhau trong lúc mạng lưới thẻ, nhà cung cấp thiết bị đầu cuối, đơn vị thanh toán trung gian và ngân hàng phát hành tìm cách kiểm tra nhất quán dữ liệu về vòng đời thẻ.

Các biện pháp phòng vệ được khuyến nghị

Nghiên cứu cho thấy cần triển khai nhiều lớp bảo vệ thay vì chỉ trông chờ một biện pháp đơn lẻ:

• Nhà thiết kế kernel thanh toán và hệ thống thẻ: Gắn ngày hết hạn cùng các trường dữ liệu vòng đời khác hiển thị cho thiết bị đầu cuối bằng mật mã với dữ liệu giao dịch đã xác thực. Nếu dữ liệu bị sửa trên đường truyền, giao dịch phải bị vô hiệu hóa.
• Hệ thống thiết bị đầu cuối và đơn vị thanh toán trung gian: Kiểm tra ngày hết hạn dựa trên thông tin đã xác thực khi có thể, đồng thời từ chối các giá trị không nhất quán thay vì tin tuyệt đối vào một trường dữ liệu chưa được bảo vệ ở phía thiết bị đầu cuối.
• Ngân hàng phát hành: Tự kiểm tra thời hạn, tình trạng cấp thẻ thay thế, hủy thẻ và trạng thái tài khoản trong quá trình ủy quyền, thay vì chỉ dựa vào quyết định cục bộ của thiết bị đầu cuối.
• Mạng lưới thẻ và đội ngũ chống gian lận: Tìm kiếm sự chênh lệch giữa ngày hết hạn do thiết bị đầu cuối gửi lên và thông tin thẻ mà ngân hàng phát hành nhìn thấy, đồng thời áp dụng biện pháp kiểm soát phù hợp với các dấu hiệu chuyển tiếp giao dịch không tiếp xúc đáng ngờ. Khuyến nghị này xuất phát từ thực tế trách nhiệm bảo vệ được phân bổ giữa thẻ, thiết bị đầu cuối, mạng lưới và ngân hàng phát hành.

Người dùng nên làm gì với thẻ đã hết hạn?

Không nên vứt nguyên trạng một chiếc thẻ hết hạn. Hướng dẫn đi kèm nghiên cứu khuyến nghị khử từ dải từ, phá hủy chip EMV, rồi cắt hoặc băm nhỏ toàn bộ thẻ, bao gồm cả các số và ký tự được in trên đó; các mảnh nên được bỏ ở những lần hoặc nơi khác nhau. Với thẻ kim loại, chủ thẻ nên hỏi ngân hàng phát hành về quy trình tiêu hủy an toàn.

Chủ thẻ cũng nên tiếp tục theo dõi tài khoản liên quan, kể cả sau khi thẻ đã bị đóng, và nhanh chóng báo cho ngân hàng nếu phát hiện giao dịch trái phép. Cuộc tấn công đòi hỏi kẻ xấu phải có thẻ vật lý hoặc duy trì khoảng cách đủ gần để giao tiếp NFC, vì vậy tiêu hủy an toàn thẻ cũ sẽ làm giảm cơ hội bị lợi dụng.