過期 Visa 感應卡竟能「復活」付款？Zombie Card 攻擊揭露支付流程漏洞

過期卡片為什麼還可能刷得過？

一般人會直覺認為，信用卡一旦過期，就等同失去所有支付功能。但麻省大學阿默斯特分校（University of Massachusetts Amherst）研究人員展示的「Zombie Card」攻擊顯示，在部分感應支付設定中，過期日未必是以不可竄改的方式貫穿整個交易流程。研究人員甚至讓某些過期 Visa 感應卡在實體商店完成真實交易，而不需要偽造卡片的密碼學憑證。

這項研究由 Raja Hasnain Anwar、Gerard DeCunha 與 Muhammad Taqi Raza 進行，並於 USENIX Security 2026 發表。這裡的「Zombie」並不是指卡片真的被重新啟用，而是指攻擊者讓一張理應失效的卡片，在交易終端機面前看起來仍然有效。

NFC 中繼攻擊如何運作？

攻擊核心是兩支支援 NFC（近場通訊）的手機，以及一個位於實體卡片和刷卡機之間的中繼橋接。NFC 是感應付款常用的短距離無線技術；在研究示範中：

1. 一支手機與實體的過期卡片通訊，取得卡片原本會提供的 EMV 交易訊息。
2. 另一支手機在店內刷卡機旁，將自己呈現為可感應的卡片端。
3. 兩支手機轉送卡片與銷售點終端機（POS）之間的訊息，讓原本應直接溝通的裝置被中繼連接。

在轉送過程中，中繼裝置修改刷卡機所看到的到期日，把已經過去的日期換成未來日期。如此一來，刷卡機的本地檢查可能會把卡片視為仍在有效期內。

這並不代表攻擊者破解了 Visa 卡片的秘密金鑰。實體卡片仍會使用真正的金鑰，產生 EMV 流程預期的簽章與動態交易資料；攻擊者利用的是交易訊息中某個影響判斷、卻沒有被完整保護的欄位。

換句話說，這是一種「欄位之間的關聯性」遭到破壞，而非傳統意義上的密碼學遭破解。只要協定沒有把到期日與其他已驗證資料緊密綁定，簽章和交易密碼仍可能是真的，但另一個供刷卡機判斷的值卻已被竄改。

Visa EMV Kernel 3 的關鍵弱點

報告所指向的問題，涉及 Visa 感應支付 EMV Kernel 3 對到期日的處理方式。在測試設定中，呈現給刷卡機的到期日，似乎沒有與後續線上授權所依賴的卡片資料及交易資訊充分建立密碼學上的綁定。

因此，交易可能出現以下矛盾：

• 實體卡片提供包含原始過期日的真實支付資料。
• 中繼裝置修改刷卡機看到的日期。
• 實體卡片仍產生有效的交易認證資料。
• 刷卡機於是以「未來日期」進行判斷，同時收到來自真實卡片的有效密碼學證據。

攻擊能否成功，仍取決於帳戶是否保持可授權狀態。它不能把已關閉、遭停用或本身無法使用的帳戶變成有效帳戶；如果發卡行掌握足夠資訊辨識卡片生命週期狀態，交易仍可能被拒絕。

為什麼 Mastercard、American Express 和 Discover 的測試沒有成功？

現有報告指出，同樣的到期日替換方式，在測試中的 Mastercard Kernel 2、American Express Kernel 4 及 Discover Kernel 6 設定並未成功。

不過，提供的資料沒有完整逐一分析各支付核心究竟是透過哪個欄位綁定、交叉檢查或驗證步驟阻擋攻擊。因此，較保守且準確的結論是：在這次測試中，這些設定比受測的 Visa 配置更有效地拒絕了該種到期日竄改；這不等於所有 Mastercard、American Express 或 Discover 卡片都能抵禦中繼攻擊或其他支付詐騙手法。

五家美國銀行的結果是否不同？

研究據報測試了多家美國大型銀行的卡片，相關報導也提到測試涵蓋多個發卡行。

但目前提供的來源沒有列出全部五家銀行的名稱，也沒有提供每一家銀行經核實的「核准／拒絕」結果。因此，不能負責任地製作逐家銀行比較表，或宣稱某一家銀行一律會接受、另一家一律會拒絕。

實際結果可能受卡片產品、帳戶狀態、授權風控、刷卡機、收單行以及交易條件影響。即使同一發卡行，不同卡種或不同交易環境也可能出現不同結果。

Visa 是否已經修補？

一份報告稱，研究人員已在 2025 年 5 月及 12 月向 Visa 與受影響銀行揭露研究結果，並提供重現指南、交易紀錄及示範影片。

然而，現有來源沒有提供可核實的 Visa 公開回應、正式安全公告，或已完成修補的部署證據。因此，目前不足以斷言 Visa 已全面修正問題，也無法確認哪些卡片、刷卡機或支付核心版本受到涵蓋，更不能確認整個支付生態系是否已強制採用緩解措施。

支付鏈各環節應採取什麼防護？

核心修正方向，是阻止刷卡機看到的到期日與經驗證的卡片資料出現落差：

• **支付網路與支付核心設計者：**應以密碼學方式，把到期日及其他會影響刷卡機決策的欄位，與已驗證卡片資料及交易密碼綁定；一旦數值不一致，就應拒絕交易。
• **刷卡機與收單業者：**應在 EMV 訊息交換的不同位置交叉檢查到期資訊，並調查互相矛盾的資料。交易延遲或通訊行為分析也可能提供中繼攻擊的額外線索，但現有資料尚未證明存在適用所有環境的通用偵測方法。
• **發卡行：**授權時應在伺服器端獨立檢查卡片到期、補發及生命週期狀態，不應只依賴刷卡機傳來的日期。若系統有足夠資訊辨識舊卡或已過期憑證，就應拒絕或標記相關交易。
• **卡片計畫與發卡流程：**補發新卡後，應依情況一致地停用或限制舊卡，並確保授權系統正確執行這項狀態變更。
• **消費者：**應定期查看帳戶活動，發現不明交易時盡快通知發卡行。卡片印刷上的日期已過，不代表底層帳戶或支付憑證必然已完全失效。

過期信用卡怎麼處理才安全？

首先應遵循發卡行的指示；如果銀行要求退回舊卡，就不要自行剪碎後丟棄。若發卡行沒有其他要求，建議完成以下步驟：

1. 確認補發的新卡已啟用，並從網路商店的儲存付款方式及電子錢包 App 移除舊卡。
2. 剪穿晶片、磁條、印刷卡號、簽名欄及安全碼（CVV）。
3. 優先使用適用於支付卡的碎紙機，避免卡片碎片仍能被輕易拼回。
4. 如情況允許，將碎片分開丟棄。
5. 即使已經銷毀舊卡，仍應持續監控帳戶；發現陌生交易就立即向發卡行申報。

這些做法主要是降低丟棄卡片後的資料外洩風險，不能取代銀行端的卡片停用、授權檢查與消費者自身的帳戶監控。