Zombie Card: wygasłe karty Visa można „ożywić” w płatnościach zbliżeniowych

Wprowadzenie do problemu / definicja

Badacze bezpieczeństwa opisali nową technikę ataku na płatności zbliżeniowe Visa, określaną jako „Zombie Card”. Metoda umożliwia wykorzystanie wygasłej karty do wykonania rzeczywistej transakcji w terminalu POS bez łamania mechanizmów kryptograficznych EMV. Problem wynika z możliwości manipulacji datą ważności prezentowaną terminalowi NFC przy jednoczesnym zachowaniu danych akceptowanych po stronie emitenta.

To istotne odkrycie, ponieważ pokazuje, że słabość nie musi dotyczyć samej kryptografii. W praktyce wystarczy niespójność pomiędzy tym, co sprawdza terminal, a tym, co finalnie weryfikuje bank, aby formalnie nieważna karta mogła zostać potraktowana jak aktywny instrument płatniczy.

W skrócie

Atak pozwala użyć wygasłej karty Visa w płatności zbliżeniowej.
Nie wymaga złamania kryptografii EMV ani fałszowania kryptogramów.
Kluczowa jest modyfikacja daty ważności odczytywanej przez terminal POS.
Powodzenie zależy od polityki emitenta oraz sposobu walidacji danych podczas autoryzacji.
Ryzyko rośnie, gdy odnowiona karta zachowuje ten sam numer PAN co poprzednia.

Kontekst / historia

Atak został opisany przez badaczy z University of Massachusetts Amherst i zaprezentowany podczas konferencji USENIX Security 2026. Zespół zwrócił uwagę, że luka nie wynika z pojedynczego błędu implementacyjnego, lecz z rozproszenia odpowiedzialności między kartą, terminalem, schematem płatniczym i bankiem wydającym kartę.

W praktyce oznacza to, że cykl życia karty nie jest egzekwowany jednolicie w całym ekosystemie płatniczym. Jeśli po wygaśnięciu plastiku klient otrzymuje nową kartę z tym samym numerem PAN, a bank nie sprawdza restrykcyjnie zgodności daty ważności z aktywnym instrumentem, stara karta może nadal zostać zaakceptowana.

Znaczenie tego scenariusza rośnie również w szerszym kontekście wzrostu zainteresowania atakami relay na NFC. Badania akademickie coraz częściej pokazują techniki, które przy odpowiednich narzędziach mogą zostać zaadaptowane do nadużyć w świecie rzeczywistym.

Analiza techniczna

Sedno problemu leży w rozdzieleniu danych używanych przez różne elementy procesu płatności. Terminal POS podejmuje decyzję m.in. na podstawie pola Application Expiration Date, zwykle przenoszonego w tagu 5F24. Z kolei emitent podczas autoryzacji korzysta z innych danych transakcyjnych, w tym Track 2 Equivalent Data w tagu 57.

Jeżeli te reprezentacje nie są odpowiednio powiązane kryptograficznie i nie są spójnie egzekwowane po obu stronach procesu, powstaje przestrzeń do manipulacji. W opisanym wariancie Visa atakujący wykorzystuje przekaźnik man-in-the-middle pomiędzy kartą a terminalem. Pośrednik przechwytuje komunikację APDU przez NFC i podmienia datę ważności widoczną dla terminala na przyszłą wartość.

Jednocześnie dane objęte weryfikacją kryptograficzną po stronie emitenta pozostają niezmienione. Dzięki temu podpisy i kryptogram autoryzacyjny nadal są poprawne, a terminal może uznać kartę za niewygasłą. To właśnie dlatego atak nie narusza podstawowych mechanizmów EMV, lecz wykorzystuje brak integralnego związania krytycznego pola z pełnym procesem walidacji.

Badacze wskazali również, że wygasła karta może nadal przechodzić część mechanizmów offline data authentication. Data wygaśnięcia nadrukowana na karcie nie musi bowiem pokrywać się z okresem ważności wszystkich technicznych komponentów używanych przez aplikację płatniczą. W efekcie instrument może być „martwy” z perspektywy operacyjnej, ale nadal częściowo „żywy” z perspektywy technicznej.

Warstwa wykonawcza ataku okazała się relatywnie prosta. W demonstracji wykorzystano dwa urządzenia z NFC, które emulowały kartę i terminal oraz komunikowały się przez kanał relay. Dodatkowe opóźnienia mieściły się w granicach akceptowanych przez testowane środowisko, a brak wdrożenia silniejszych zabezpieczeń przeciw relay dodatkowo ułatwiał realizację scenariusza.

Konsekwencje / ryzyko

Najważniejszą konsekwencją jest możliwość przeprowadzenia transakcji kartą, która z punktu widzenia użytkownika powinna być już nieaktywna. Szczególnie niebezpieczne są sytuacje, w których wygasły plastik nie został fizycznie zniszczony po otrzymaniu odnowionej karty.

Dla banków i operatorów płatności problem ujawnia niespójność między kontrolami terminalowymi a autoryzacją po stronie emitenta. Jeśli bank nie sprawdza, czy przekazana data ważności odpowiada aktywnej karcie przypisanej do danego numeru PAN, może zaakceptować transakcję, która formalnie nie powinna przejść.

Ryzyko ma także wymiar strategiczny. Ten sam wzorzec projektowy — możliwość modyfikacji danych „w locie” bez naruszenia głównych prymitywów kryptograficznych — może dotyczyć również innych pól decyzyjnych w transakcjach EMV. To sugeruje szerszy problem związany z integralnością danych konsumowanych przez różne elementy ekosystemu płatniczego.

Dla użytkowników końcowych skala zagrożenia jest ograniczona przez konieczność posiadania fizycznej karty albo utrzymywania bliskiego dostępu NFC. Jednak w scenariuszach ukierunkowanych oszustw, kradzieży portfeli czy nadużyć wewnętrznych nie jest to przeszkoda nie do pokonania.

Rekomendacje

Banki wydające karty powinny traktować numer PAN i datę ważności jako wspólny identyfikator instrumentu płatniczego podczas autoryzacji. Jeśli przedstawiona data nie odpowiada aktywnej karcie przypisanej do rachunku, transakcja powinna zostać odrzucona niezależnie od wyniku lokalnych testów terminala.

Operatorzy schematów płatniczych i dostawcy kerneli EMV powinni doprowadzić do kryptograficznego związania pól krytycznych dla decyzji terminala z danymi weryfikowanymi w dalszych etapach procesu. Ograniczyłoby to możliwość modyfikacji daty ważności bez wywołania błędu integralności.

Dostawcy terminali oraz acquirerzy powinni przekazywać emitentom możliwie pełne informacje o wynikach lokalnej walidacji karty. Warto też wdrażać mechanizmy relay resistance wszędzie tam, gdzie architektura i zgodność operacyjna na to pozwalają.

Zespoły fraudowe i SOC w instytucjach finansowych powinny monitorować transakcje realizowane po dacie wygaśnięcia starej karty, zwłaszcza jeśli dla tego samego rachunku wydano już odnowiony instrument z identycznym numerem PAN. Skuteczne mogą być także reguły wykrywające nietypową aktywność po wymianie plastiku.

Użytkownicy końcowi powinni fizycznie niszczyć wygasłe karty, zwłaszcza chip, zamiast przechowywać je lub wyrzucać w całości. Wskazane jest również monitorowanie historii transakcji po wymianie karty, ponieważ samo formalne wygaśnięcie nie zawsze oznacza pełną neutralizację ryzyka.

Podsumowanie

Zombie Card pokazuje, że bezpieczeństwo nowoczesnych płatności może zostać osłabione nie przez złamanie kryptografii, lecz przez niespójne egzekwowanie krytycznych decyzji bezpieczeństwa. W opisanym scenariuszu wygasła karta Visa może zostać użyta do płatności zbliżeniowej, jeśli atakujący zmodyfikuje datę ważności widoczną dla terminala, a bank nie przeprowadzi odpowiednio rygorystycznej kontroli po swojej stronie.

Dla sektora finansowego to wyraźny sygnał, że zarządzanie cyklem życia karty musi być realizowane end-to-end — od kernela EMV i terminala, przez komunikaty autoryzacyjne, aż po logikę emitenta. Bez takiego podejścia nawet formalnie nieaktywne instrumenty mogą pozostać użyteczne dla oszustów.