Екип от Масачузетския университет в Амхърст демонстрира, че безконтактна кредитна карта продължава да работи и след изтичане на отпечатания върху нея срок на валидност, дори и след като картодържателят е получил подменяща карта. Те нарекоха това „атака със зомби карта“ (Zombie Card attack) и представиха констатациите си на конференцията USENIX Security 2026.

Въпросът зад пропуска в сигурността

„Тази работа е мотивирана от документирани модели на неправилно боравене с изтекли карти. Въпреки че издателите инструктират картодържателите да унищожават изтеклите карти след подмяната им, потребителите редовно подценяват този риск именно поради предположението, че изтеклите карти са неактивни“, пишат изследователите.

Сметките на кредитните карти не изтичат заедно с физическата карта, така че евентуално връщане на покупка все още се възстановява дори след като картата, с която е направена покупката, е изтекла. Именно това подтиква Мухамад Таки Раза, асистент в Инженерния колеж „Ричио“ към Масачузетския университет в Амхърст, да попита: „Ако картата може да получи възстановяване на средства, може ли тя да извърши плащане?“

Работейки съвместно с Раджа Хаснаин Ануар и Джерард ДеКуня, Раза открива, че отговорът е да за поне някои карти.

Изследователите описват това като празнина между системи, всяка от които предполага, че някой друг вече е проверил дали картата все още трябва да работи. Безконтактното плащане преминава през картата, терминала на касата (POS), банката на търговеца, платежната мрежа и банката на картодържателя, като всяка една от тези страни притежава само част от решението.

За да го тестват, изследователите изграждат релейна система от два обикновени смартфона, използвайки същата технология за комуникация в близко поле (NFC), която стои зад плащанията с докосване.

Тестово оборудване (Източник: Научен доклад)

Единият телефон активира изтеклата карта и извлича нейните платежни данни, включително стария срок на валидност. Втори телефон, свързан чрез Wi-Fi, прихваща тези данни, пренаписва датата на валидност и ги предава на терминала.

Ануар отбелязва, че за атакуващия не е необходима правилната нова дата, тъй като почти всяка бъдеща дата върши работа. „Това е единственият начин за POS терминала да разбере дали една карта е активна или изтекла“, казва той, като добавя, че датата не е криптографски защитена, което я прави лесна за промяна и заблуда на четеца.

Вторият телефон докосва четеца и за външен наблюдател това изглежда като обикновено плащане с дигитален портфейл. Според страницата на проекта на екипа, променената дата попада извън обхвата на цифровия подпис на картата в засегнатата конфигурация, така че нейните криптографски проверки все още преминават успешно.

„Нашите резултати показват, че безконтактните трансакции на Visa са уязвими към подправяне чрез атака от тип „човек по средата“ (man-in-the-middle) поради липса на ефективна защита на целостта на данните“, отбелязва екипът.

Тествайки същия подход срещу конфигурации на Mastercard, American Express и Discover, екипът установява, че всяка от тях отхвърля променената дата, тъй като тези системи обвързват данните за валидността с криптографска проверка, която би била нарушена при подправяне на датата.

Поведението на банката се оказва толкова важно, колкото и платежната мрежа на картата. Срещу една от големите американски банки преработената изтекла карта успешно завършва покупки за $1, $100 и $500 при лабораторни тестове, както и реални покупки на стойност $2.79 и $3.19 в търговски обекти и хранителни магазини.

Проверките на тази банка потвърждават само, че сметката съществува и номерът на картата е активен, без да проверяват дали този конкретен екземпляр на картата все още е регистрираният в системата. Втора банка улавя същия трик всеки път, като отхвърля трансакцията и подканва касиера да поиска новата подменена карта.

Част от причината това да премине незабелязано е информацията, която терминалът изпраща на банката. В Kernel 3 на Visa полето, което обикновено би сигнализирало на издателя за изтекла карта, се занулява преди изпращане, така че банката няма как да разбере, че собствената проверка на терминала е щяла да се провали.

Картите носят и втори срок на валидност, вграден в цифровия сертификат, който защитава комуникацията между картата и банката, като този сертификат често е валиден дълго след датата, отпечатана на картата, тъй като издателите предвиждат период на застъпване за подновяване на картите.

Изследователите откриват и друг свързан проблем с подмяната на самите карти. Една от техните тестови карти не е достигнала отпечатания си срок на валидност, но е била подменена автоматично, тъй като са й оставали по-малко от три месеца валидност. При техните тестове както старата карта, така и нейната подмяна продължават да работят към една и съща сметка, което предполага, че „подменената“ карта не се третира надеждно като деактивирана, точно както и изтеклата.

Изследователите уведомяват Visa и засегнатите банки през май и декември 2025 г., предоставяйки ръководство за възпроизвеждане, записи на трансакциите и демонстрационно видео. Докладът до Visa преминава първоначалната класификация и уязвимостта се тества от техния екип за симулация на атаки (red team), но нито Visa, нито банките потвърждават отстраняването на уязвимостта до момента на публикуване. Не е присвоен CVE идентификатор.

Екипът не публикува кода за релейната атака, тъй като той може да бъде използван за измами, като вместо това публикува изчистени лог файлове и подробности за протокола. Техните предложени корекции включват обвързване на срока на валидност с криптографска проверка по начина, по който конкурентните мрежи вече го прави, информиране на банките за резултатите от проверките на самия терминал и изискване от издателите да проверяват конкретната карта и срока на валидност в системата, а не само номера на сметката.

„Винаги ди...