Diese abgelaufene Visa-Karte in Ihrer Schublade kann noch immer Lebensmittel kaufen

Die meisten Menschen schneiden einer abgelaufenen Karte eine Ecke ab und werfen sie in den Müll, oder lassen sie in einer Schublade liegen, weil es sich falsch anfühlt, eine Bankkarte wegzuwerfen. Drei Forscher der University of Massachusetts Amherst haben soeben ein solides Argument dafür geliefert, sie ordentlich zu zerstören.

Muhammad Taqi Raza, Raja Hasnain Anwar und Gerard DeCunha stellten die Arbeit, die sie den Zombie-Card-Angriff nennen, vom 12. bis 14. August auf dem USENIX Security Symposium in Baltimore vor. Der Aufbau besteht aus zwei NFC-fähigen Smartphones, die zwischen der Karte und dem Terminal des Geschäfts platziert werden. Eines liest die Karte aus, das andere schreibt das Ablaufdatum auf ein Datum in der Zukunft um, und das Terminal akzeptiert es. Der Grund ist eine Lücke in Visas Kontaktlos-Implementierung, Kernel 3: Das Ablaufdatum ist nicht an die Daten gebunden, die die Karte kryptografisch signiert, sodass eine Änderung nichts beschädigt, was tatsächlich überprüft wird. In Anwars Worten funktioniert fast jedes künftige Datum. Dieselbe Manipulation wurde bei Mastercard, American Express und Discover versucht, und alle drei lehnten sie ab.

Das waren keine reinen Laborergebnisse. Das Team führte Transaktionen an echten Kassen durch - 2,79 Dollar bei einem Einzelhändler, 3,19 Dollar in einem Lebensmittelgeschäft - neben Beträgen bis zu 500 Dollar in Tests. Es funktioniert, solange das Konto hinter der Karte noch unter derselben Nummer offen ist, genau das, was passiert, wenn Ihre Bank Ihnen eine Ersatzkarte zuschickt. Es erfordert außerdem die physische Karte oder längeren engen Kontakt mit ihr. Die Forscher informierten Visa im Mai 2025; Visas Red Team versucht seither, den Angriff nachzustellen, aber es wurde noch keine Lösung bestätigt und keine CVE-Nummer vergeben. Niemand hat bislang gemeldet, dass dies bereits in freier Wildbahn genutzt wird.

Razas Rat ist unverblümt: Entsorgen Sie eine abgelaufene Karte immer ordentlich und lesen Sie weiterhin die Kontoauszüge zu Konten, die Sie geschlossen haben. Zerstören Sie den Chip und den Magnetstreifen, nicht nur die Plastikkarte drumherum. Nichts davon betrifft Ihren Computer, was man deutlich sagen sollte - Tendvanes Datenschutz- und Konten-Check deckt die Konten ab, bei denen Ihr PC angemeldet ist, und eine Karte in der Küchenschublade gehört nicht dazu.