不過，呢個唔係「所有過期卡都可以照用」嘅通用方法。攻擊能否成功，取決於卡組織嘅非接觸式實作、付款終端機，以及最關鍵嘅發卡銀行授權檢查。

「Zombie Card」究竟做咗啲乜？

攻擊發生喺過期實體卡同收銀處付款終端機之間：一部手機同實體卡通訊，另一部手機就向終端機呈現卡片回應，兩部手機再透過網絡轉發整個交換過程。轉發期間，攻擊者將終端機所見嘅到期日改成未來日期。

研究人員指，攻擊者甚至唔需要知道補發新卡嘅真正到期日；按照佢哋描述嘅終端機端檢查，只要填入任何一個未來日期，就可能令張舊卡看似仍然有效。

但呢件事唔等於攻擊者偽造咗張卡，或者破解咗 EMV 加密。實體卡仍然提供自己原有嘅卡片資料、簽名同交易密碼。問題在於，測試中 Visa 系統交畀終端機檢查嘅到期日，未有妥善地同稍後用於網上授權、並已經過驗證嘅資料綁定。

點解 Visa EMV Kernel 3 成為關鍵？

EMV kernel 即係付款終端機用嚟處理不同卡組織交易嘅軟件實作。Visa、Mastercard、American Express 同 Discover，各自有唔同嘅非接觸式處理路徑。

研究針對嘅係 Visa EMV 非接觸式路徑，即報道所稱嘅 Kernel 3。呢個設計缺口可能令交易內兩部分出現矛盾：終端機收到一個被改過嘅未來到期日，但交畀發卡行嘅交易仍然保留真實卡片資料同有效加密驗證。

如果設計將到期日等資料更緊密咁綁定到已驗證嘅交易內容，途中一旦修改，就應該令交易資料對唔上，最終驗證失敗。換句話講，問題唔一定係加密本身失效，而係付款鏈其中一項重要安全資料只喺一個環節檢查，卻未有可靠地同另一個環節信任嘅資料連繫起來。

點解其他卡組織嘅方法據報未能成功？

研究人員測試其他非接觸式 kernel 後，報告指方法未能在 Mastercard Kernel 2、American Express Kernel 4 及 Discover Kernel 6 上運作。現有報道將呢種抵抗力歸因於對相關到期日資料有較完善嘅保護、驗證或加密綁定。

不過，現有資料未足以確認三個 kernel 各自到底係邊一項協議規則阻止攻擊。因此，較準確嘅講法係：研究展示嘅「篡改到期日」方法，對測試中嘅 Visa 設置有效，但未能對測試中嘅 Mastercard、American Express 同 Discover 路徑重現。呢項發現唔代表 Visa 卡普遍可以被偽造，更唔代表每一張過期 Visa 卡都一定可以付款。

五間美國銀行測試結果有幾大分別？

研究人員喺商戶、付款終端機、EMV kernel 及五間美國大型銀行之間進行測試，結果並唔一致。有啲發卡行批准咗包含被修改終端機到期日嘅交易，亦有啲因為採用較嚴格嘅銀行端檢查而拒絕交易。

呢個差異係研究發現嘅核心：終端機話「可以」並唔代表付款一定完成，發卡行嘅授權邏輯同樣重要。如果銀行會獨立核對卡片到期、補發、取消及戶口生命周期狀態，就較有機會拒絕呢類交易；如果銀行較依賴終端機本身嘅到期日判斷，風險就可能有所不同。

現有報道未有提供一份可靠嘅逐間銀行名單、每間銀行嘅詳細批准或拒絕結果，亦未有核實每間銀行嘅交易上限。因此，唔應該由整體研究結果推算呢啲細節。

公開披露及修補進度

研究喺 2026 年 USENIX Security 會議發表；大學相關報道指，主要信用卡公司喺研究結果公開前已經獲得通知。

截至 2026 年 8 月 20 日，現有證據確認研究人員喺測試中發現相關漏洞，但未能確認 Visa 已經完成一項適用於所有地區嘅 kernel 改動、付款終端機更新，或者由所有發卡行部署嘅統一修補方案。現有資料亦未能確定每間受影響銀行嘅修補時間表。

要留意，向業界披露漏洞唔等於已經完成修補。實際風險仍可能因應卡組織、終端機供應商、收單機構同發卡銀行點樣一致驗證卡片生命周期資料而有所不同。

付款鏈各環節可以點樣防守？

研究結果反映，單靠一個修補措施未必足夠，應該採用多重防禦：

• 付款 kernel 及卡片系統設計者： 將終端機看到嘅到期日及其他生命周期資料，以加密方式綁定到已驗證嘅交易資料。途中任何修改都應該令交易失效。
• 付款終端機及收單系統： 如果有已驗證資料可供使用，應該根據該資料核對到期日；如果不同資料互相矛盾，就應該拒絕交易，而唔係盲目相信未受保護嘅終端機欄位。
• 發卡銀行： 授權時獨立檢查卡片到期、補發、取消及戶口狀態，唔好只依賴終端機當地嘅到期日判斷。
• 卡組織及反欺詐團隊： 留意終端機提供嘅到期日同銀行端可見卡片資料之間有冇不一致，並為可疑嘅非接觸式轉發活動加入合適嘅風險控制。

消費者處理過期卡要點做？

過期卡唔好原整咁掉落垃圾桶。研究相關指引建議，先將磁帶消磁，再破壞 EMV 晶片，並剪碎或撕碎整張卡，包括卡面印有嘅號碼及字母，最後將碎片分開棄置。至於金屬卡，就應該先問發卡行點樣安全處理。

另外，即使張卡已經取消或者戶口已經關閉，持卡人仍應該繼續監察相關戶口；一旦發現未授權扣款，就要盡快通知銀行。由於呢種攻擊需要接觸實體卡，或者長時間貼近卡片，妥善銷毀舊卡可以減低被濫用嘅機會。

不過，呢個唔係「所有過期卡都可以照用」嘅通用方法。攻擊能否成功，取決於卡組織嘅非接觸式實作、付款終端機，以及最關鍵嘅發卡銀行授權檢查。

「Zombie Card」究竟做咗啲乜？

攻擊發生喺過期實體卡同收銀處付款終端機之間：一部手機同實體卡通訊，另一部手機就向終端機呈現卡片回應，兩部手機再透過網絡轉發整個交換過程。轉發期間，攻擊者將終端機所見嘅到期日改成未來日期。

研究人員指，攻擊者甚至唔需要知道補發新卡嘅真正到期日；按照佢哋描述嘅終端機端檢查，只要填入任何一個未來日期，就可能令張舊卡看似仍然有效。

但呢件事唔等於攻擊者偽造咗張卡，或者破解咗 EMV 加密。實體卡仍然提供自己原有嘅卡片資料、簽名同交易密碼。問題在於，測試中 Visa 系統交畀終端機檢查嘅到期日，未有妥善地同稍後用於網上授權、並已經過驗證嘅資料綁定。

點解 Visa EMV Kernel 3 成為關鍵？

EMV kernel 即係付款終端機用嚟處理不同卡組織交易嘅軟件實作。Visa、Mastercard、American Express 同 Discover，各自有唔同嘅非接觸式處理路徑。

研究針對嘅係 Visa EMV 非接觸式路徑，即報道所稱嘅 Kernel 3。呢個設計缺口可能令交易內兩部分出現矛盾：終端機收到一個被改過嘅未來到期日，但交畀發卡行嘅交易仍然保留真實卡片資料同有效加密驗證。

如果設計將到期日等資料更緊密咁綁定到已驗證嘅交易內容，途中一旦修改，就應該令交易資料對唔上，最終驗證失敗。換句話講，問題唔一定係加密本身失效，而係付款鏈其中一項重要安全資料只喺一個環節檢查，卻未有可靠地同另一個環節信任嘅資料連繫起來。

點解其他卡組織嘅方法據報未能成功？

研究人員測試其他非接觸式 kernel 後，報告指方法未能在 Mastercard Kernel 2、American Express Kernel 4 及 Discover Kernel 6 上運作。現有報道將呢種抵抗力歸因於對相關到期日資料有較完善嘅保護、驗證或加密綁定。

不過，現有資料未足以確認三個 kernel 各自到底係邊一項協議規則阻止攻擊。因此，較準確嘅講法係：研究展示嘅「篡改到期日」方法，對測試中嘅 Visa 設置有效，但未能對測試中嘅 Mastercard、American Express 同 Discover 路徑重現。呢項發現唔代表 Visa 卡普遍可以被偽造，更唔代表每一張過期 Visa 卡都一定可以付款。

五間美國銀行測試結果有幾大分別？

研究人員喺商戶、付款終端機、EMV kernel 及五間美國大型銀行之間進行測試，結果並唔一致。有啲發卡行批准咗包含被修改終端機到期日嘅交易，亦有啲因為採用較嚴格嘅銀行端檢查而拒絕交易。

呢個差異係研究發現嘅核心：終端機話「可以」並唔代表付款一定完成，發卡行嘅授權邏輯同樣重要。如果銀行會獨立核對卡片到期、補發、取消及戶口生命周期狀態，就較有機會拒絕呢類交易；如果銀行較依賴終端機本身嘅到期日判斷，風險就可能有所不同。

現有報道未有提供一份可靠嘅逐間銀行名單、每間銀行嘅詳細批准或拒絕結果，亦未有核實每間銀行嘅交易上限。因此，唔應該由整體研究結果推算呢啲細節。

公開披露及修補進度

研究喺 2026 年 USENIX Security 會議發表；大學相關報道指，主要信用卡公司喺研究結果公開前已經獲得通知。

截至 2026 年 8 月 20 日，現有證據確認研究人員喺測試中發現相關漏洞，但未能確認 Visa 已經完成一項適用於所有地區嘅 kernel 改動、付款終端機更新，或者由所有發卡行部署嘅統一修補方案。現有資料亦未能確定每間受影響銀行嘅修補時間表。

要留意，向業界披露漏洞唔等於已經完成修補。實際風險仍可能因應卡組織、終端機供應商、收單機構同發卡銀行點樣一致驗證卡片生命周期資料而有所不同。

付款鏈各環節可以點樣防守？

研究結果反映，單靠一個修補措施未必足夠，應該採用多重防禦：

• 付款 kernel 及卡片系統設計者： 將終端機看到嘅到期日及其他生命周期資料，以加密方式綁定到已驗證嘅交易資料。途中任何修改都應該令交易失效。
• 付款終端機及收單系統： 如果有已驗證資料可供使用，應該根據該資料核對到期日；如果不同資料互相矛盾，就應該拒絕交易，而唔係盲目相信未受保護嘅終端機欄位。
• 發卡銀行： 授權時獨立檢查卡片到期、補發、取消及戶口狀態，唔好只依賴終端機當地嘅到期日判斷。
• 卡組織及反欺詐團隊： 留意終端機提供嘅到期日同銀行端可見卡片資料之間有冇不一致，並為可疑嘅非接觸式轉發活動加入合適嘅風險控制。

消費者處理過期卡要點做？

過期卡唔好原整咁掉落垃圾桶。研究相關指引建議，先將磁帶消磁，再破壞 EMV 晶片，並剪碎或撕碎整張卡，包括卡面印有嘅號碼及字母，最後將碎片分開棄置。至於金屬卡，就應該先問發卡行點樣安全處理。

另外，即使張卡已經取消或者戶口已經關閉，持卡人仍應該繼續監察相關戶口；一旦發現未授權扣款，就要盡快通知銀行。由於呢種攻擊需要接觸實體卡，或者長時間貼近卡片，妥善銷毀舊卡可以減低被濫用嘅機會。