Rannsakendur endurvekja útrunnin Visa-kort með NFC-liðárás

Rannsakendur við University of Massachusetts Amherst hafa sýnt fram á raunhæfa NFC-liðárás sem getur endurvakið útrunnin snertilaus Visa ↗ 0.44% kreditkort fyrir raunveruleg kaup í verslunum, með því að nýta veikleika í því hvernig greiðslukerfið meðhöndlar staðfestingu á gildistíma.

Hvernig árásin virkar

Tæknin, sem kölluð er "Zombie Card," var kynnt á 35. USENIX Security ráðstefnunni í Baltimore dagana 12. til 14. ágúst 2026. Hún krefst þess að hafa útrunnið kort í höndunum og milliliðabúnað á milli kortsins og greiðslustöðvarinnar, smíðaðan úr tveimur NFC-hæfum Android símum sem eiga samskipti yfir Wi-Fi.thehackernews+1

Árásin nýtir sér þá staðreynd að EMV Kernel 3 hjá Visa bindur ekki gildistíma kortsins (Application Expiration Date) við dulkóðuð færslugögn. Á meðan gögn eru sótt breytir liðbúnaðurinn gildistímanum sem greiðslustöðin sér í hvaða framtíðardagsetningu sem er, á meðan Track 2 gögnin sem útgefandinn sér haldast óbreytt. Þar sem undirskrift kortsins og dulkóðunargögn eru enn gild, vinnur greiðslustöðin færsluna eins og kortið sé í fullu gildi.thehackernews

"Þetta er ekki dulkóðunarlega varið. Þess vegna getum við auðveldlega breytt því til að blekkja greiðslustöðina," sagði Raja Hasnain Anwar, aðalhöfundur og doktorsnemi við UMass Amherst, í tilkynningu frá háskólanum.thehackernews

Sama breyting virkaði ekki á Mastercard Kernel 2, American Express Kernel 4 eða Discover Kernel 6, sem annaðhvort athuga samræmi milli dagsetninga eða vernda viðeigandi gögn með dulkóðun.gbhackers+1

Viðbrögð útgefenda voru mjög mismunandi

Prófanir hjá fimm stórum bandarískum bönkum leiddu í ljós að engin samstaða er í greininni um hvernig eigi að meðhöndla útrunnin kort. Einn banki samþykkti "zombie" færslur upp að 500 dollurum hjá mörgum tegundum söluaðila. Annar hafnaði þeim kerfisbundið og hvatti til notkunar á nýja kortinu. "Það er engin samstaða í greininni um hver sé örugg leið til að meðhöndla útrunnin kort," sagði Anwar við The Hacker News.cybersecuritynews+1

Rannsakendur upplýstu Visa og viðkomandi banka um niðurstöðurnar í maí 2025 og fylgdu því eftir í desember 2025. Frá og með 20. ágúst 2026 er öryggisteymi Visa enn að endurtaka árásina og engar lagfæringar hafa verið innleiddar. Visa hefur ekki tjáð sig opinberlega og ekkert CVE-númer hefur verið úthlutað.thehackernews

Varnir og ráð til neytenda

Greinin leggur til lagfæringar sem spanna alla greiðslukeðjuna: að binda gildistímagögn dulkóðunarlega við undirritaðar færslur, framfylgja samræmi milli gildistíma sem greiðslustöðin sér og þess sem útgefandinn sér, og meðhöndla gildistíma sem lögboðið skilyrði fyrir heimild hjá útgefanda.gbhackers+1

Fyrir korthafa eru ráðin einföld: eyðileggið útrunnin kort með því að klippa í gegnum bæði EMV-flöguna og segulröndina í stað þess að henda þeim heilum.cybersecuritynews+1