Wprowadzenie do problemu / definicja
Badacze z University of Massachusetts Amherst ujawnili słabość w mechanizmie płatności zbliżeniowych Visa, która w określonych warunkach pozwala użyć wygasłej karty do autoryzacji rzeczywistej transakcji. Problem dotyczy architektury EMV Kernel 3 i sposobu obsługi daty ważności karty w komunikacji między kartą, terminalem i bankiem-wystawcą.
Nie chodzi o pojedynczy błąd konkretnego terminala ani o złamanie kryptografii samej karty. Sednem problemu jest niespójna ochrona danych dotyczących terminu ważności, co otwiera drogę do manipulacji podczas transmisji NFC.
W skrócie
- Wygasłe karty Visa z funkcją zbliżeniową mogą w wybranych scenariuszach nadal zostać zaakceptowane.
- Atak polega na podmianie daty ważności widzianej przez terminal bez naruszenia poprawności kryptogramów EMV.
- Źródłem problemu jest luka projektowa w Visa Kernel 3, a nie pojedyncza wada wdrożeniowa.
- Badacze potwierdzili skuteczność scenariusza zarówno w laboratorium, jak i przy drobnych zakupach u prawdziwych sprzedawców.
- Analogiczne manipulacje miały być blokowane w innych sieciach płatniczych, takich jak Mastercard, American Express i Discover.
Kontekst / historia
Opisany problem został publicznie zaprezentowany podczas konferencji USENIX Security 2026 w pracy „Zombie Cards Back Online: Reviving Expired Credit Cards for Contactless Payments”. Autorzy wskazali, że zgłosili problem do Visa i wybranych instytucji finansowych już w maju 2025 roku, a następnie ponowili zgłoszenie w grudniu 2025 roku.
Sprawa pokazuje też istotną cechę ekosystemu EMV: płatności zbliżeniowe nie działają identycznie dla wszystkich organizacji kartowych. Poszczególne sieci wykorzystują własne kernele odpowiedzialne za logikę transakcyjną, a różnice w ich projektowaniu mogą przesądzać o tym, czy określona manipulacja zostanie wykryta.
Analiza techniczna
Atak koncentruje się na tym, że data ważności karty występuje w EMV w więcej niż jednym miejscu. W szczególności pojawia się jako tag 5F24, czyli Application Expiration Date, oraz wewnątrz tagu 57, czyli Track 2 Equivalent Data. W normalnym scenariuszu terminal wykorzystuje te informacje do lokalnej walidacji, a bank-wystawca może opierać decyzję autoryzacyjną na danych otrzymanych w dalszym etapie transakcji.
W Visa Kernel 3 te reprezentacje nie są jednak powiązane w sposób, który uniemożliwiałby ich niespójną modyfikację przez atakującego działającego jako pośrednik w kanale NFC. W praktyce możliwa jest zmiana daty ważności odczytywanej przez terminal na przyszłą, przy jednoczesnym zachowaniu pozostałych danych transakcyjnych w stanie zgodnym kryptograficznie. Terminal uznaje więc kartę za ważną i kontynuuje proces.
Badacze zrealizowali scenariusz relay z użyciem dwóch smartfonów wyposażonych w NFC i własnego oprogramowania. Jeden z telefonów pełnił rolę karty, a drugi terminala, a komunikacja między nimi odbywała się przez Wi‑Fi. Uzyskane opóźnienie było na tyle małe, że transakcja mieściła się w tolerancji badanego przepływu. Dodatkowo testowana infrastruktura nie wykorzystywała opcjonalnego mechanizmu Relay Resistance Protocol, który mógłby utrudnić taki atak.
Analiza pokazała również, że skuteczność scenariusza zależy nie tylko od kernela, lecz także od polityki stosowanej przez bank-wystawcę. W części przypadków po podmianie daty wygasła karta była nadal akceptowana dla różnych kwot. Autorzy zwrócili też uwagę, że niektóre instytucje dopuszczały równoległe funkcjonowanie starej wygasłej karty i nowo wydanej karty zastępczej przypisanej do tego samego rachunku.
Istotne znaczenie ma również pole TVR, czyli Terminal Verification Results. Według badaczy w Visa Kernel 3 do wystawcy może trafiać wartość wyzerowana, co ogranicza widoczność lokalnych kontroli przeprowadzonych przez terminal. W efekcie system autoryzacyjny może nie otrzymać pełnej informacji o wykrytych warunkach ryzyka. Sprawdzono również manipulację sygnałem CDCVM, odpowiadającym za informowanie o uwierzytelnieniu użytkownika na urządzeniu mobilnym, i w części scenariuszy nie prowadziło to do natychmiastowego odrzucenia transakcji.
Konsekwencje / ryzyko
Z perspektywy bezpieczeństwa płatności problem jest poważny, ponieważ podważa podstawowe założenie operacyjne: wygasła karta powinna przestać być użyteczna. Jeżeli napastnik posiada fizyczną kartę lub może aktywnie pośredniczyć w komunikacji NFC, w określonych warunkach jest w stanie obejść kontrolę terminu ważności bez łamania zabezpieczeń kryptograficznych samego instrumentu.
Ryzyko obejmuje kilka warstw jednocześnie. Sprzedawca może zaakceptować transakcję, która powinna zostać odrzucona już na etapie podstawowej walidacji. Bank-wystawca może natomiast autoryzować operację na podstawie aktywnego rachunku i numeru PAN, bez wystarczająco silnego powiązania decyzji z konkretną kartą i jej datą ważności. Dodatkowo ograniczona widoczność wyników walidacji terminala utrudnia działanie systemów antyfraudowych.
Nie jest to atak trywialny ani masowy, ale jego znaczenie jest większe niż w przypadku lokalnej usterki pojedynczego urządzenia. Problem dotyczy bowiem logiki protokołu i polityk autoryzacyjnych, co oznacza potrzebę szerszej rewizji mechanizmów bezpieczeństwa w ekosystemie płatności zbliżeniowych.
Rekomendacje
Zdaniem ekspertów problem wymaga obrony warstwowej obejmującej zarówno specyfikację sieci płatniczej, jak i terminale oraz systemy banków-wystawców.
- Kryptograficzne powiązanie daty ważności z danymi weryfikowanymi przez terminal i wystawcę.
- Wymuszanie spójności między tagiem 5F24 a danymi Track 2 Equivalent Data.
- Ścisła kontrola zgodności pól daty ważności po stronie terminali.
- Jednoznaczne raportowanie wykrytych rozbieżności do systemów autoryzacyjnych wystawcy.
- Wdrażanie mechanizmów wykrywania relay tam, gdzie pozwala na to infrastruktura.
- Powiązanie autoryzacji nie tylko z aktywnym PAN, ale także z konkretnym instrumentem płatniczym i jego terminem ważności.
- Odrzucanie transakcji pochodzących ze starych, zastąpionych kart nawet wtedy, gdy rachunek pozostaje aktywny.
- Analiza anomalii związanych z niespójnością danych EMV i nietypowym użyciem kanału zbliżeniowego.
Z perspektywy użytkownika końcowego najważniejsze pozostaje bezpieczne niszczenie wygasłych kart. W praktyce warto uszkodzić nie tylko sam plastik, ale również chip i pasek magnetyczny, aby ograniczyć ryzyko dalszego wykorzystania nośnika.
Podsumowanie
Badanie dotyczące wygasłych kart Visa pokazuje, że bezpieczeństwo płatności zbliżeniowych zależy nie tylko od jakości kryptografii, ale również od tego, jakie pola danych są nią rzeczywiście chronione i jak wygląda przepływ informacji między terminalem, kernelem oraz bankiem-wystawcą. Luka projektowa w Visa Kernel 3 ujawnia, że nawet pozornie drugorzędne niespójności w logice EMV mogą prowadzić do realnych skutków operacyjnych i finansowych.
Dla sektora finansowego to wyraźny sygnał ostrzegawczy. Ochrona przed nadużyciami w płatnościach zbliżeniowych musi obejmować nie tylko same kryptogramy, ale również integralność kontekstowych danych transakcyjnych, takich jak termin ważności karty i wyniki lokalnych kontroli wykonywanych przez terminal.
Źródła
- Security Affairs — https://securityaffairs.com/197663/hacking/your-shredded-visa-card-may-still-work-at-the-checkout.html
- USENIX Security 2026 — Zombie Cards Back Online: Reviving Expired Credit Cards for Contactless Payments — https://www.usenix.org/system/files/usenixsecurity26-anwar.pdf
- USENIX Security 2026 Presentation Page — https://www.usenix.org/conference/usenixsecurity26/presentation/anwar