Výzkumníci z University of Massachusetts Amherst ukázali útok, který může za určitých podmínek umožnit použití již prošlé bezkontaktní platební karty. Techniku označili jako Zombie Card. Nejde přitom o prolomení čipu nebo kryptografických mechanismů platební karty. Útok zneužívá způsob, jakým spolupracují karta, platební terminál a autorizační systém.
Studie s názvem Zombie Cards Back Online: Reviving Expired Credit Cards for Contactless Payments byla představena na konferenci USENIX Security 2026. Výzkumníci testovali různé EMV konfigurace, platební terminály a karty vydané několika velkými bankami. Problém identifikovali především u bezkontaktních transakcí Visa.
Prošlá karta nemusí znamenat mrtvý účet
Datum expirace uvedené na platební kartě má informovat terminál, že karta již není platná. Po vydání nové karty proto běžně následuje předpoklad, že původní plast lze jednoduše vyřadit.
Platební účet ale může zůstat aktivní i po expiraci fyzické karty. Banka například musí být schopna zpracovat refundaci nebo jiné operace související s účtem.
Výzkumníci proto zkoumali, zda lze tento rozdíl nějakým způsobem využít při nové bezkontaktní platbě. Výsledkem bylo zjištění, že u některých konfigurací lze terminál přesvědčit, že prošlá karta stále platí.
Problém není v prolomení šifrování
Na první pohled by se mohlo zdát, že útočník musí prolomit zabezpečení čipu a změnit údaje uložené na kartě. To ale není nutné.
Problém souvisí s údajem o expiraci karty, který je během EMV transakce předáván terminálu. Podle výzkumníků není tento údaj v příslušné konfiguraci dostatečně kryptograficky svázán s ostatními údaji, které transakci chrání.
Útočník tak nemusí měnit kryptografický podpis nebo vytvářet nový autentizační kryptogram. Místo toho může změnit samotné datum expirace během komunikace mezi kartou a terminálem.
To vytváří rozdíl mezi tím, co skutečně obsahuje karta, a tím, co nakonec vyhodnotí platební terminál.
Zombie Card přes dva telefony
Výzkumníci útok postavili jako NFC relay útok. Použili dvě mobilní zařízení, která zprostředkovávají komunikaci mezi skutečnou kartou a platebním terminálem.
Jedno zařízení komunikuje s kartou, druhé s terminálem. Data se mezi nimi přeposílají a vybrané informace lze během přenosu upravit.
V případě Zombie Card jde především o datum expirace. Pokud je na skutečné kartě například již prošlé datum, prostředník může terminálu předat datum ležící v budoucnosti. Ostatní kryptografické mechanismy přitom mohou zůstat nedotčené.
Výzkumníci uvádějí, že pro svůj prototyp použili běžně dostupné smartphony. Přidané zpoždění způsobené relay komunikací se podle jejich měření vešlo do časových limitů používaných při EMV transakcích.
Útok fungoval i v reálném obchodě
Nešlo pouze o laboratorní experiment. Výzkumníci testovali útok také s reálnými platebními terminály a u obchodníků.
Na stránce projektu zveřejnili demonstraci, při které byla prošlá Visa karta použita k bezkontaktní platbě ve výši 100 dolarů. Transakce byla autorizována, přestože původní karta již měla prošlé datum expirace.
Výzkum zároveň ukázal, že výsledek závisí na konkrétní kombinaci karty, terminálu, platební sítě a bankovní autorizace. Nejde tedy o útok, který by automaticky fungoval u každé prošlé karty.
Ne všechny Visa platební karty jsou zranitelné
Výsledky je proto potřeba interpretovat přesně. Výzkumníci se zaměřili na různé platební systémy a konfigurace a problém identifikovali zejména u bezkontaktních Visa transakcí.
Testovány byly také jiné platební sítě, včetně Mastercard a Discover, u kterých nebyl popsán stejný problém v dané konfiguraci. Samotná značka karty proto ještě neurčuje, zda lze konkrétní útok úspěšně provést.
Důležitou roli hraje také banka. Některé autorizační systémy mohou provádět další kontroly a transakci odmítnout, zatímco jiné mohou více důvěřovat údajům zpracovaným platebním terminálem.
Výzkum tak neukazuje univerzální problém všech Visa platebních karet, ale konkrétní slabinu v řetězci bezkontaktní platby.
Útočník potřebuje starou kartu
Praktické využití útoku má zároveň několik omezení. Útočník potřebuje fyzický přístup k prošlé kartě a musí být schopen provozovat NFC relay mezi kartou a terminálem.
Nejde tedy o scénář, při kterém by někdo získal pouze číslo staré karty z uniklé databáze a mohl s ním začít nakupovat.
Fyzická dostupnost karty ale představuje důležitý bezpečnostní faktor. Pokud karta obsahuje funkční bezkontaktní čip, může i po uplynutí data expirace stále odpovídat na NFC požadavky.
Proč nestačí kartu jen vyhodit
Výzkumníci proto doporučují prošlé platební karty fyzicky zničit. Samotné uplynutí data platnosti nemusí být dostatečnou ochranou proti tomuto typu útoku.
U plastové karty je vhodné poškodit především čip a magnetický proužek a kartu rozdělit na více částí. U kovových karet je vhodné postupovat podle pokynů vydavatele, protože jejich mechanické zpracování může být složitější.
Po vydání nové karty je také vhodné sledovat pohyby na příslušném účtu a využívat upozornění na provedené transakce, pokud je banka nabízí.
Jak se bránit
Pro uživatele představuje nejjednodušší obranu především správná likvidace starých karet a kontrola pohybů na účtu.
- Prošlou platební kartu fyzicky zničit, nestačí ji pouze vyhodit do koše.
- Po výměně karty sledovat transakce na účtu.
- Zapnout upozornění na nové platby, pokud je banka nabízí.
- Podezřelou transakci co nejdříve nahlásit bance.
- Při používání platebních karet využívat dostupné bezpečnostní mechanismy banky.
Pro běžného držitele karty přitom výzkum nepředstavuje důvod k ukončení používání bezkontaktních plateb. Popsaný útok vyžaduje fyzický přístup ke kartě, speciální NFC relay infrastrukturu a vhodnou kombinaci platební konfigurace a autorizace.
Bezpečnostní problém vzniká mezi systémy
Na výzkumu Zombie Card je zajímavé především to, že neukazuje klasickou chybu v podobě prolomeného hesla nebo nefunkčního šifrování.
Jednotlivé části systému mohou pracovat podle očekávání. Čip generuje kryptografické údaje, terminál kontroluje datum expirace a banka následně rozhoduje o autorizaci transakce.
Slabé místo vzniká mezi těmito částmi.
Terminál pracuje s údajem o expiraci, který není v daném mechanismu dostatečně chráněn. Bankovní systém pak může některé informace převzaté z terminálu považovat za důvěryhodné. Útočník nemusí prolomit žádný z jednotlivých systémů, pokud dokáže využít rozdíl mezi jejich předpoklady.
Výzkumníci proto navrhují změny na více úrovních platebního ekosystému. Cílem je zajistit, aby informace o platnosti karty byla konzistentně ověřována a aby nebylo možné spoléhat pouze na hodnotu přijatou z platebního terminálu.
Případ Zombie Card tak ukazuje obecnější problém kybernetické bezpečnosti. Systém nemusí být prolomitelný na žádném jednotlivém místě, přesto může být zranitelný jako celek. Stačí, když jedna jeho část předpokládá, že určitý údaj už ověřila jiná část systému.
Zdroje k článku:
