Tyrėjai atgaivino pasibaigusio galiojimo „Visa“ korteles naudodami NFC relės ataką

Masačusetso universiteto Amherste tyrėjai pademonstravo praktinę NFC relės ataką, kuri gali atgaivinti pasibaigusio galiojimo „Visa“ ↗ 0.99% bekontaktes kredito korteles realiems pirkimams parduotuvėse, išnaudodama silpną vietą, kaip mokėjimų tinklas tikrina galiojimo datą.

Kaip veikia ataka

Šis metodas, pavadintas „Zombie Card“, buvo pristatytas 35-ojoje „USENIX Security“ konferencijoje Baltimorėje 2026 m. rugpjūčio 12–14 d. Tam reikia fiziškai turėti pasibaigusio galiojimo kortelę ir tarpininko (man-in-the-middle) relę tarp kortelės ir pardavimo terminalo, sukonstruotą iš dviejų NFC palaikančių „Android“ telefonų, bendraujančių per „Wi-Fi“.thehackernews+1

Ataka išnaudoja faktą, kad „Visa“ EMV branduolys 3 kriptografiškai nesusieja programos galiojimo pabaigos datos lauko su autentifikuotais operacijos duomenimis. Duomenų gavimo fazės metu relė perrašo terminalui matomą galiojimo datą į bet kokią būsimą vertę, palikdama emitentui matomus „Track 2“ duomenis nepaliestus. Kadangi kortelės parašas ir kriptograma vis dar galioja, terminalas apdoroja operaciją taip, tarsi kortelė būtų galiojanti.thehackernews

„Tačiau tai nėra kriptografiškai apsaugota. Todėl mes galime lengvai ją modifikuoti, kad apgautume POS terminalą“, – universiteto pranešime teigė pagrindinis autorius Raja Hasnain Anwar, UMass Amherst doktorantas.thehackernews

Ta pati modifikacija nepavyko prieš „Mastercard“ branduolį 2, „American Express“ branduolį 4 ir „Discover“ branduolį 6, kurie arba tikrina galiojimo datų nuoseklumą, arba kriptografiškai apsaugo atitinkamus duomenis.gbhackers+1

Emitentų reakcijos labai skyrėsi

Tyrimai penkiuose dideliuose JAV bankuose atskleidė, kad nėra pramonės sutarimo dėl pasibaigusio galiojimo kortelių tvarkymo. Vienas bankas patvirtino „zombie“ operacijas iki 500 USD sumai įvairių tipų prekybininkams. Kitas nuosekliai atmesdavo tokias operacijas ir ragindavo naudoti pakeičiamąją kortelę. „Pramonėje nėra sutarimo, koks yra saugus būdas tvarkyti pasibaigusio galiojimo korteles“, – „The Hacker News“ sakė Anwar.cybersecuritynews+1

Tyrėjai apie savo radinius „Visa“ ir paveiktus bankus informavo 2025 m. gegužę, o vėliau – 2025 m. gruodį. 2026 m. rugpjūčio 20 d. duomenimis, „Visa“ saugumo komanda vis dar bando atkartoti ataką ir jokie pataisymai nebuvo įdiegti. „Visa“ viešai nepateikė komentarų, o CVE numeris nebuvo priskirtas.thehackernews

Kontrpriemonės ir patarimai vartotojams

Dokumente siūlomos pataisos visoje mokėjimų grandinėje: kriptografinis galiojimo datos susiejimas su pasirašytais įrašais, nuoseklumo tarp terminalui ir emitentui matomų galiojimo verčių užtikrinimas bei galiojimo pabaigos laikymas privaloma emitento autorizacijos sąlyga.gbhackers+1

Kortelių turėtojams patarimas paprastas: sunaikinkite pasibaigusio galiojimo korteles perkirpdami tiek EMV lustą, tiek magnetinę juostelę, užuot išmetę jas sveikas.cybersecuritynews+1