「殭屍卡」攻擊：過期 Visa 感應卡如何再次付款

卡片正面已經過期，不代表其中的感應式支付憑證立刻失效。麻省大學阿默斯特分校研究人員展示了一種實際可行的 NFC（近場通訊）中間人轉送攻擊，並將其命名為「Zombie Card」（殭屍卡）。攻擊者利用兩部普通智慧型手機，在實體卡片與店內支付終端機之間轉送通訊，同時修改終端機看到的到期日；原卡則繼續產生真實的交易資料。

這並不是讓所有過期卡片都能繼續使用的通用方法，也不代表 Visa 卡已被破解或可以任意偽造。實際風險取決於卡組織的感應式支付實作、商戶終端機，以及最關鍵的發卡銀行授權檢查。

「殭屍卡」攻擊如何運作？

攻擊發生在一張過期的實體感應卡與收銀台終端機之間。一部手機與實體卡片通訊，另一部手機則把卡片回應呈現給終端機，兩部手機再透過網路轉送整個交換流程。過程中，轉送系統會把終端機看到的到期日改成未來日期。

研究人員指出，攻擊者甚至不必知道補發卡片的真正到期日。在他們描述的終端機端檢查中，填入任何一個未來日期，就可能足以讓卡片看起來仍在有效期內。

不過，攻擊者並沒有偽造卡片，也沒有破解 EMV 的密碼學保護。實體卡仍會提供真正的卡片資料、簽章與交易密碼。問題在於，測試中的 Visa 支付流程沒有充分把終端機使用的到期日，與之後由線上授權信任的已驗證資料綁定在一起。

換句話說，終端機看到的是被改過的到期日，但交易其餘部分仍可能來自真實卡片，並通過正常的密碼學驗證。

Visa EMV Kernel 3 為何成為關鍵？

EMV kernel 是支付終端機用來處理不同卡組織交易的軟體實作。Visa、Mastercard、American Express 與 Discover 各自採用不同的感應式支付處理路徑。

研究結果針對 Visa 的 EMV 感應式支付路徑，相關報導將其標示為 Kernel 3。這套流程所呈現的設計落差，讓交易中的兩個部分可能出現不一致：終端機收到被修改的未來到期日，但送往發卡銀行的交易仍保留真實卡片資料與有效的密碼學檢查結果。

如果到期日等關鍵欄位能與已驗證的交易資料更緊密地綁定，任何傳輸途中修改都應該使交易資料不一致，進而導致驗證失敗。這項研究因此凸顯一個重要的資安原則：即使交易具備密碼學保護，若安全關鍵欄位只在支付鏈的一個環節檢查，卻沒有可靠地綁定到其他環節所信任的資料，整體防護仍可能留下缺口。

為何在其他卡組織的測試中失敗？

研究人員測試後表示，這套方法未能在 Mastercard Kernel 2、American Express Kernel 4 或 Discover Kernel 6 上成功重現。相關報導將這種抵抗力歸因於對到期日資料更強的保護、驗證或密碼學綁定。

現有資料不足以確認三種 kernel 各自究竟採用了哪一項精確的協定規則來阻擋攻擊。因此，較穩妥的結論是：研究展示的「修改到期日」方法，對測試中的 Visa 配置有效，但在測試的 Mastercard、American Express 與 Discover 路徑上沒有成功。這不表示 Visa 卡普遍可以被偽造，也不表示每一張過期 Visa 卡都能重新付款。

五家美國銀行的測試結果：能否成功，銀行說了算

研究涵蓋商戶、支付終端機、EMV kernel，以及五家大型美國銀行，結果並不一致。有些發卡銀行批准了包含遭修改終端機端到期日的交易；另一些銀行則因具備更嚴格的發卡端檢查而拒絕交易。

這種差異正是研究結果的核心。支付終端機接受卡片，並不代表交易一定能完成；發卡銀行的授權邏輯同樣關鍵。若銀行在授權時獨立檢查卡片到期、補發、註銷及帳戶生命週期狀態，較可能拒絕交易；若銀行較依賴終端機在本地做出的到期日判斷，則可能留下更大操作空間。

目前提供的報導沒有列出五家銀行的可靠逐家名單、完整的批准與拒絕結果，也沒有提供各銀行經驗證的交易上限。因此，不能從這項整體研究推導出逐家銀行的詳細限制。

揭露與修補進度到哪裡？

這項研究在 2026 年 USENIX Security 資安會議上發表；大學相關報導表示，研究結果公開前，主要卡組織已獲得通知。

截至 2026 年 8 月 20 日，現有證據確認研究人員在評估中發現了這項漏洞，但未確認 Visa 已完成全面性的 kernel 變更、支付終端機更新或涵蓋所有發卡銀行的修補措施。現有資料也沒有確立每家受影響銀行的具體修補時程。

這項區分很重要：完成通報不等於已完成修補。實際風險可能因支付網路、終端機供應商、收單機構與發卡銀行如何一致驗證卡片生命週期資料而有所不同。

支付鏈各環節應如何防禦？

研究結果指向「縱深防禦」，而不是只靠單一修正方案：

• **支付 kernel 與卡片系統設計者：**應以密碼學方式，將終端機可見的到期日及其他生命週期欄位，綁定到已驗證的交易資料。若傳輸途中遭到修改，交易就應失效。
• **終端機與收單系統：**在可行時，應根據已驗證的資料檢查到期日；若不同欄位互相矛盾，應拒絕交易，而不是只信任未受保護的終端機端欄位。
• **發卡銀行：**授權時應獨立檢查卡片到期、補發、註銷及帳戶狀態，不能只依賴終端機在本地做出的判斷。
• **支付網路與反詐團隊：**可檢查終端機提供的到期日與發卡銀行可見卡片資料是否不一致，並針對可疑的感應式轉送活動採取適當控管。這是因為研究顯示，風險責任分散在卡片、終端機、支付網路與發卡銀行之間。

過期卡片不要整張丟掉

過期卡片不應完整丟棄。研究提供的建議包括：先讓磁條失效，破壞 EMV 晶片，再把卡片剪碎或切碎，連同印刷在卡面上的號碼與字母一併破壞，並將碎片分開丟棄。若是金屬卡，應先向發卡銀行詢問安全的回收或處理方式。

持卡人也應持續監控相關帳戶，即使卡片已關閉仍不可掉以輕心；一旦發現未授權扣款，應盡快向銀行通報。這類攻擊需要取得實體卡片，或長時間保持與卡片的近距離，因此妥善銷毀舊卡能降低被濫用的機會。