攻擊點樣運作：將卡片同付款機「隔開」

測試所用的核心，是兩部支援 NFC 的手機，以及一個可以在卡片和付款終端機之間轉發 EMV 訊息的中繼橋樑：

1. 一部手機靠近實體過期卡，與卡片通訊；
2. 另一部手機靠近店舖的感應付款終端機，代表該卡進行交易；
3. 兩部手機透過網絡轉送卡片和終端機之間的交易訊息；
4. 中繼過程中，終端機收到的有效日期被改成未來日期。

於是，付款終端機本身可能會將卡片視為仍在有效期內。這個示範需要取得實體卡，或者令卡片一直處於 NFC 通訊範圍內；同時，中繼裝置亦要放在卡片和付款終端機之間。

研究中提到，攻擊者甚至不一定要知道卡片真正的新有效日期，因為對終端機來說，替換成任何一個未來日期都可能足以通過本地檢查。

點解卡片的簽名同交易密碼仍然有效？

關鍵在於「有效日期」同其他交易資料之間的完整性保護並不一致。

真正的過期卡仍然會使用內置的合法密鑰，產生 EMV 流程預期的簽名及動態交易密碼（transaction cryptogram）。中繼裝置並沒有偽造這些密碼，也沒有直接破解卡片的加密機制。問題是，測試中的終端機有效日期，似乎未有被充分加密綁定到之後用於授權的卡片資料和交易資料。

換句話說，可以出現以下落差：

• 實體卡提供的交易資料是真實的，當中包括原本已過期的日期；
• 中繼裝置將終端機見到的日期改成未來日期；
• 實體卡照樣產生有效的簽名和交易密碼；
• 終端機於是可以用「未過期」的日期作判斷，同時收到來自真卡的有效加密證明。

因此，這次攻擊針對的不是加密本身，而是不同資料欄位之間的關係。如果協議沒有將所有會影響決定的欄位緊密綁定，一個簽名或交易密碼即使是真實有效，另一個獨立欄位仍可能被人篡改。研究人員將此形容為 Visa 感應付款流程中的中間人篡改弱點。

Visa EMV Kernel 3 暴露了甚麼問題？

事件涉及 Visa EMV 感應付款 Kernel 3 對有效日期的處理方式。在測試配置中，付款終端機見到的日期，似乎沒有與其後用於線上授權的已驗證卡片資料及交易資料充分作密碼學綁定。

這就造成「終端機看到的日期」和「發卡行實際可以驗證的資料」之間出現不一致。只要終端機收到未來日期，而發卡行又收到其他方面看來真實有效的交易證據，系統便未必有一個可靠、而且經過一致驗證的訊號，去確認實體卡其實已經過期。

不過，這個方法並不是將任何失效戶口重新啟用。相關戶口仍然要保持可用，交易授權才有機會成功；如果戶口已關閉或本身無效，改寫日期並不能令它變成有效戶口。

點解 Mastercard、American Express 同 Discover 測試不成功？

現有報道指出，同一種有效日期替換方法，在測試中的以下配置並未成功：

• Mastercard Kernel 2
• American Express Kernel 4
• Discover Kernel 6

較穩妥的結論是，這些受測配置對相關資料的綁定或交叉驗證，比受測的 Visa 配置更有效地拒絕了這次特定篡改。不過，現有來源沒有提供逐個 Kernel 的完整協議分析，未能確定每個系統究竟是哪一項欄位綁定或驗證步驟令交易失敗。

同樣要留意，這並不等於所有 Mastercard、American Express 或 Discover 卡片都能抵禦所有 NFC 中繼攻擊，亦不代表所有 Visa 卡都必然受到影響。實際結果可能取決於卡片產品、終端機、收單行、發卡行及交易設定。

五間銀行的批准或拒絕結果：現有資料不足以逐間列出

研究據報測試了多間美國大型銀行發出的卡片，相關報道亦提到曾在多個發卡行環境進行成功或嘗試交易。

但現有資料沒有清楚列出全部五間銀行的名稱，也沒有提供每間銀行經核實的批准及拒絕结果。因此，不能負責任地製作「哪間銀行一定批准、哪間銀行一定拒絕」的表格。

交易結果可以受多項因素影響，包括：

• 卡片種類及戶口狀態；
• 是否已發出替換卡；
• 發卡行的授權及風險控制；
• 付款終端機及收單行；
• 交易金額、地點及其他交易條件。

Visa 有冇修補？目前仍未能確認

一份報道指，研究人員已於 2025 年 5 月及 12 月向 Visa 和受影響銀行披露研究結果，並提供重現指南、交易紀錄及示範影片。

不過，現有來源沒有提供可核實的 Visa 官方回應、正式安全公告，或者已完成的修補部署證據。換言之，現時不足以斷言：

• Visa 已經全面修正問題；
• 哪些卡片或付款終端機已經受到修補涵蓋；
• 相關緩解措施是否已在整個支付生態系統強制推行。

所以，今次研究較適合作為支付協議設計及卡片生命週期管理的警號，而不是一個可以套用到所有 Visa 卡片的「必然盜刷方法」。

支付鏈各方可以點樣防範？

核心修補方向，是確保終端機見到的有效日期，不能夠同經過驗證的卡片資料出現分歧。

• 支付網絡及 Kernel 設計者： 將有效日期，以及其他會影響終端機決定的資料，與經認證的卡片資料及交易密碼作密碼學綁定。只要欄位之間不一致，就應該拒絕交易。
• 終端機及收單行營運者： 在 EMV 交易交換的不同位置交叉核對有效日期；如發現資料不一致，應作進一步調查。根據通訊時間或行為偵測中繼攻擊，可以作為額外訊號，但現有資料未能證明有一套適用於所有環境的通用偵測方法。
• 發卡行： 授權時獨立檢查卡片有效期、補發卡及卡片生命週期狀態，不要只依賴付款終端機提供的日期。當系統有足夠資料識別過期或已被取代的卡片時，應拒絕或標記相關交易。
• 卡片計劃及發卡流程： 在適當情況下，確保補發新卡後，舊卡會一致地被停用或限制使用。
• 消費者： 定期查看戶口紀錄，一旦發現不明交易，應盡快通知發卡行。實體卡雖然已過期，並不代表背後的戶口或卡片憑證一定已經完全失效。

過期信用卡應該點樣安全處理？

首先要跟足發卡行指示。有些發卡行可能要求客戶交回舊卡；如果收到這類要求，應先按對方安排處理，而不是自行剪碎。

如果發卡行沒有特別要求，可以採取以下步驟：

1. 將舊卡從已儲存卡片的網上商戶帳戶及電子錢包應用程式移除；
2. 確認新補發的卡片已經啟用；
3. 將舊卡剪開，令資料難以重新拼合。

剪卡時，應穿過晶片、磁帶、印刷卡號、簽名欄及安全碼（CVV）。如果可以，使用專為支付卡而設的橫切式碎紙機會較安全；實際可行的話，亦可以將碎片分開丟棄。

這些做法可以減少舊卡資料被人從垃圾中還原的風險，但不能取代戶口監察。如果之後發現任何陌生交易，仍然應立即向發卡行報告。

攻擊點樣運作：將卡片同付款機「隔開」

測試所用的核心，是兩部支援 NFC 的手機，以及一個可以在卡片和付款終端機之間轉發 EMV 訊息的中繼橋樑：

1. 一部手機靠近實體過期卡，與卡片通訊；
2. 另一部手機靠近店舖的感應付款終端機，代表該卡進行交易；
3. 兩部手機透過網絡轉送卡片和終端機之間的交易訊息；
4. 中繼過程中，終端機收到的有效日期被改成未來日期。

於是，付款終端機本身可能會將卡片視為仍在有效期內。這個示範需要取得實體卡，或者令卡片一直處於 NFC 通訊範圍內；同時，中繼裝置亦要放在卡片和付款終端機之間。

研究中提到，攻擊者甚至不一定要知道卡片真正的新有效日期，因為對終端機來說，替換成任何一個未來日期都可能足以通過本地檢查。

點解卡片的簽名同交易密碼仍然有效？

關鍵在於「有效日期」同其他交易資料之間的完整性保護並不一致。

真正的過期卡仍然會使用內置的合法密鑰，產生 EMV 流程預期的簽名及動態交易密碼（transaction cryptogram）。中繼裝置並沒有偽造這些密碼，也沒有直接破解卡片的加密機制。問題是，測試中的終端機有效日期，似乎未有被充分加密綁定到之後用於授權的卡片資料和交易資料。

換句話說，可以出現以下落差：

• 實體卡提供的交易資料是真實的，當中包括原本已過期的日期；
• 中繼裝置將終端機見到的日期改成未來日期；
• 實體卡照樣產生有效的簽名和交易密碼；
• 終端機於是可以用「未過期」的日期作判斷，同時收到來自真卡的有效加密證明。

因此，這次攻擊針對的不是加密本身，而是不同資料欄位之間的關係。如果協議沒有將所有會影響決定的欄位緊密綁定，一個簽名或交易密碼即使是真實有效，另一個獨立欄位仍可能被人篡改。研究人員將此形容為 Visa 感應付款流程中的中間人篡改弱點。

Visa EMV Kernel 3 暴露了甚麼問題？

事件涉及 Visa EMV 感應付款 Kernel 3 對有效日期的處理方式。在測試配置中，付款終端機見到的日期，似乎沒有與其後用於線上授權的已驗證卡片資料及交易資料充分作密碼學綁定。

這就造成「終端機看到的日期」和「發卡行實際可以驗證的資料」之間出現不一致。只要終端機收到未來日期，而發卡行又收到其他方面看來真實有效的交易證據，系統便未必有一個可靠、而且經過一致驗證的訊號，去確認實體卡其實已經過期。

不過，這個方法並不是將任何失效戶口重新啟用。相關戶口仍然要保持可用，交易授權才有機會成功；如果戶口已關閉或本身無效，改寫日期並不能令它變成有效戶口。

點解 Mastercard、American Express 同 Discover 測試不成功？

現有報道指出，同一種有效日期替換方法，在測試中的以下配置並未成功：

• Mastercard Kernel 2
• American Express Kernel 4
• Discover Kernel 6

較穩妥的結論是，這些受測配置對相關資料的綁定或交叉驗證，比受測的 Visa 配置更有效地拒絕了這次特定篡改。不過，現有來源沒有提供逐個 Kernel 的完整協議分析，未能確定每個系統究竟是哪一項欄位綁定或驗證步驟令交易失敗。

同樣要留意，這並不等於所有 Mastercard、American Express 或 Discover 卡片都能抵禦所有 NFC 中繼攻擊，亦不代表所有 Visa 卡都必然受到影響。實際結果可能取決於卡片產品、終端機、收單行、發卡行及交易設定。

五間銀行的批准或拒絕結果：現有資料不足以逐間列出

研究據報測試了多間美國大型銀行發出的卡片，相關報道亦提到曾在多個發卡行環境進行成功或嘗試交易。

但現有資料沒有清楚列出全部五間銀行的名稱，也沒有提供每間銀行經核實的批准及拒絕结果。因此，不能負責任地製作「哪間銀行一定批准、哪間銀行一定拒絕」的表格。

交易結果可以受多項因素影響，包括：

• 卡片種類及戶口狀態；
• 是否已發出替換卡；
• 發卡行的授權及風險控制；
• 付款終端機及收單行；
• 交易金額、地點及其他交易條件。

Visa 有冇修補？目前仍未能確認

一份報道指，研究人員已於 2025 年 5 月及 12 月向 Visa 和受影響銀行披露研究結果，並提供重現指南、交易紀錄及示範影片。

不過，現有來源沒有提供可核實的 Visa 官方回應、正式安全公告，或者已完成的修補部署證據。換言之，現時不足以斷言：

• Visa 已經全面修正問題；
• 哪些卡片或付款終端機已經受到修補涵蓋；
• 相關緩解措施是否已在整個支付生態系統強制推行。

所以，今次研究較適合作為支付協議設計及卡片生命週期管理的警號，而不是一個可以套用到所有 Visa 卡片的「必然盜刷方法」。

支付鏈各方可以點樣防範？

核心修補方向，是確保終端機見到的有效日期，不能夠同經過驗證的卡片資料出現分歧。

• 支付網絡及 Kernel 設計者： 將有效日期，以及其他會影響終端機決定的資料，與經認證的卡片資料及交易密碼作密碼學綁定。只要欄位之間不一致，就應該拒絕交易。
• 終端機及收單行營運者： 在 EMV 交易交換的不同位置交叉核對有效日期；如發現資料不一致，應作進一步調查。根據通訊時間或行為偵測中繼攻擊，可以作為額外訊號，但現有資料未能證明有一套適用於所有環境的通用偵測方法。
• 發卡行： 授權時獨立檢查卡片有效期、補發卡及卡片生命週期狀態，不要只依賴付款終端機提供的日期。當系統有足夠資料識別過期或已被取代的卡片時，應拒絕或標記相關交易。
• 卡片計劃及發卡流程： 在適當情況下，確保補發新卡後，舊卡會一致地被停用或限制使用。
• 消費者： 定期查看戶口紀錄，一旦發現不明交易，應盡快通知發卡行。實體卡雖然已過期，並不代表背後的戶口或卡片憑證一定已經完全失效。

過期信用卡應該點樣安全處理？

首先要跟足發卡行指示。有些發卡行可能要求客戶交回舊卡；如果收到這類要求，應先按對方安排處理，而不是自行剪碎。

如果發卡行沒有特別要求，可以採取以下步驟：

1. 將舊卡從已儲存卡片的網上商戶帳戶及電子錢包應用程式移除；
2. 確認新補發的卡片已經啟用；
3. 將舊卡剪開，令資料難以重新拼合。

剪卡時，應穿過晶片、磁帶、印刷卡號、簽名欄及安全碼（CVV）。如果可以，使用專為支付卡而設的橫切式碎紙機會較安全；實際可行的話，亦可以將碎片分開丟棄。

這些做法可以減少舊卡資料被人從垃圾中還原的風險，但不能取代戶口監察。如果之後發現任何陌生交易，仍然應立即向發卡行報告。