Lepiej nie wyrzucaj starej karty. Zapłacą nawet zablokowaną
Pomysłowość przestępców nie zna granic. Właśnie naukowcy pokazali, że dało się odblokować starą kartę płatniczą, by skutecznie nią płacić. Lepiej ich nie wyrzucać beztrosko do śmieci.
Twoja karta płatnicza może nagle ożyć i z konta zaczną znikać pieniądze
Wydaje ci się, że po upływie terminu ważności karty płatniczej staje się ona jedynie bezużytecznym kawałkiem plastiku, który można bezrefleksyjnie wyrzucić? Badacze z University of Massachusetts Amherst udowodnili, że to niebezpieczne złudzenie.
Odkryta przez nich metoda ataku, nazwana „Zombie Card”, pozwala na ożywienie przeterminowanych kart Visa i wykorzystanie ich do płatności zbliżeniowych w fizycznych sklepach. Atak nie wymaga łamania skomplikowanych zabezpieczeń kryptograficznych karty. Opiera się na luce w komunikacji między terminalem płatniczym (POS) a kartą podczas płatności zbliżeniowych (NFC).
Przestępca potrzebuje jednak fizycznego dostępu do nieważnej karty lub utrzymywania jej w bliskiej odległości NFC, a także zastosowania ataku typu man-in-the-middle (MitM).
Jak to w ogóle jest możliwe?
W trakcie transakcji data ważności pojawia się w dwóch miejscach: w danych czytanych przez terminal oraz w informacjach wysyłanych do banku. Luka polega na tym, że te dwa systemy weryfikacji nie zawsze są ze sobą spójne.
Atakujący modyfikuje datę widoczną dla terminala na dowolną w przyszłości. Podpis cyfrowy karty pozostaje nienaruszony, co pozwala oszukać terminal, który przepuszcza transakcję. Atakujący nie musi znać prawdziwej daty ważności karty zastępczej. Każda data późniejsza niż data transakcji jest wystarczająca.
Według testów przeprowadzonych w 5 amerykańskich bankach, karty Mastercard i American Express są odporne na atak. Gorzej sprawa wygląda w przypadku kart Visa i Discover, gdzie banki akceptowały zmodyfikowaną datę i pozwalały na transakcję nawet z więcej niż jednej karty kredytowej. Jeden z banków natomiast nawet i wykrył modyfikację, ale na pierwszą transakcję pozwolił, blokując dopiero kolejne.
Banki poinformowane, ale bez odpowiedzi
Co ważne, informacja o wykrytej luce została przekazana podatnym bankom i Visa już w maju 2025 roku, a wyniki badań zostały zaprezentowane na sympozjum poświęconym bezpieczeństwu dopiero 14 sierpnia tego roku. Naukowcy dali więc czas instytucjom na załatanie luki.
Visa nie skomentowała publicznie ustaleń. W artykule odnotowano natomiast, że raport dla sieci przeszedł wstępną selekcję i jest powielany przez czerwony zespół Visa oraz że ani Visa, ani powiadomione banki nie przedstawiły żadnych aktualnych informacji na temat statusu lub charakteru środków łagodzących w momencie akceptacji artykułu.
Co robić ze starymi kartami?
W przypadku ataku Zombie Card trudnym może okazać się udowodnienie, że to nie my korzystaliśmy z karty. Szczególnie że przestępca musi mieć fizyczny dostęp do niej i ewentualne zakupy mogą być realizowane w naszym bezpośrednim otoczeniu.
Zanim wyrzucimy starą kartę do śmieci, zdecydowanie warto ją zniszczyć najpierw fizycznie. Należy porozcinać magnetyczny pasek i chip, a idąc w nadgorliwość można wyrzucić te kawałeczki do 2 różnych kontenerów.
