Výzkumníci oživili expirované karty Visa pomocí NFC relay útoku

Výzkumníci z University of Massachusetts Amherst předvedli praktický NFC relay útok, který dokáže oživit expirované bezkontaktní kreditní karty Visa ↘ 1.17% pro skutečné nákupy v obchodech. Využívají přitom slabinu ve způsobu, jakým platební síť ověřuje datum expirace.

Jak útok funguje

Technika, nazvaná "Zombie Card", byla představena na 35. ročníku konference USENIX Security v Baltimoru ve dnech 12. až 14. srpna 2026. Vyžaduje fyzické držení expirované karty a prostředníka (man-in-the-middle) mezi kartou a platebním terminálem, sestaveného ze dvou telefonů se systémem Android s podporou NFC, které komunikují přes Wi-Fi.thehackernews+1

Útok zneužívá skutečnost, že EMV Kernel 3 společnosti Visa kryptograficky neváže pole s datem expirace aplikace (Application Expiration Date) k autentizovaným transakčním datům. Během fáze získávání dat relé přepíše datum expirace viditelné pro terminál na libovolnou budoucí hodnotu, zatímco data na stopě 2 (Track 2) určená pro vydavatele zůstanou nedotčena. Protože podpis karty i kryptogram jsou stále platné, terminál zpracuje transakci, jako by karta byla aktuální.thehackernews

"Není to však kryptograficky chráněno. Takže to můžeme snadno upravit a oklamat POS terminál," uvedl v tiskové zprávě univerzity hlavní autor Raja Hasnain Anwar, doktorand na UMass Amherst.thehackernews

Stejná úprava selhala u systémů Mastercard Kernel 2, American Express Kernel 4 a Discover Kernel 6, které buď kontrolují konzistenci mezi údaji o expiraci, nebo příslušná data kryptograficky chrání.gbhackers+1

Reakce vydavatelů se výrazně lišily

Testování u pěti velkých amerických bank odhalilo, že v odvětví nepanuje shoda v tom, jak s expirovanými kartami nakládat. Jedna banka schválila "zombie" transakce až do výše 500 USD u různých typů obchodníků. Jiná je důsledně zamítala a vyzývala k použití náhradní karty. "V odvětví neexistuje shoda na tom, jaký je bezpečný způsob nakládání s expirovanými kartami," řekl Anwar pro The Hacker News.cybersecuritynews+1

Výzkumníci informovali společnost Visa a dotčené banky o svých zjištěních v květnu 2025 a následně v prosinci 2025. K 20. srpnu 2026 bezpečnostní tým Visa útok stále ověřuje a žádné opravy nebyly nasazeny. Visa se veřejně nevyjádřila a nebylo přiděleno žádné CVE.thehackernews

Protiopatření a rady pro spotřebitele

Článek navrhuje opravy v celém platebním řetězci: kryptografické vázání dat o expiraci k podepsaným záznamům, vynucení konzistence mezi hodnotami expirace pro terminál a vydavatele a zacházení s expirací jako s povinnou podmínkou autorizace na straně vydavatele.gbhackers+1

Pro držitele karet je rada jednoduchá: zničte expirované karty přestřižením EMV čipu i magnetického proužku, místo abyste je vyhazovali vcelku.cybersecuritynews+1