Ta przeterminowana karta Visa w twojej szufladzie wciąż może kupić zakupy

Większość ludzi odcina róg przeterminowanej karty i wyrzuca ją do kosza, albo zostawia ją w szufladzie, bo wyrzucanie karty bankowej wydaje się czymś niewłaściwym. Trzech badaczy z University of Massachusetts Amherst właśnie przedstawiło mocny argument za tym, by robić to porządnie.

Muhammad Taqi Raza, Raja Hasnain Anwar i Gerard DeCunha zaprezentowali tę pracę, którą nazywają atakiem Zombie Card, na sympozjum USENIX Security w Baltimore od 12 do 14 sierpnia. Zestaw składa się z dwóch telefonów obsługujących NFC, umieszczonych między kartą a terminalem sklepowym. Jeden odczytuje kartę, drugi nadpisuje datę ważności na jakąś przyszłą, a terminal to akceptuje. Powodem jest luka w implementacji płatności zbliżeniowych Visa, Kernel 3: data ważności nie jest powiązana z danymi, które karta podpisuje kryptograficznie, więc jej zmiana nie psuje niczego, co jest sprawdzane. Jak ujął to Anwar, działa niemal każda przyszła data. Tę samą manipulację wypróbowano na Mastercard, American Express i Discover, i wszystkie trzy ją odrzuciły.

To nie były wyniki uzyskane wyłącznie w laboratorium. Zespół przeprowadził transakcje na prawdziwych kasach - 2,79 dolara w sklepie detalicznym, 3,19 dolara w sklepie spożywczym - obok kwot sięgających 500 dolarów w testach. Atak działa, dopóki konto stojące za kartą jest wciąż otwarte pod tym samym numerem, co dokładnie ma miejsce, gdy bank przysyła ci pocztą kartę zastępczą. Wymaga też fizycznej karty albo dłuższego bliskiego kontaktu z nią. Badacze poinformowali Visa w maju 2025 roku; zespół red team Visy odtwarza atak, ale żadna poprawka nie została potwierdzona i nie przydzielono numeru CVE. Nikt nie zgłosił, by ten atak był wykorzystywany w praktyce.

Rada Razy jest jednoznaczna: zawsze pozbywaj się przeterminowanej karty i czytaj wyciągi z kont, które zamknąłeś. Zniszcz chip i pasek magnetyczny, a nie tylko sam plastik wokół nich. Warto jasno powiedzieć, że żaden z tych elementów nie dotyczy twojego komputera - funkcja Prywatność i konta w Tendvane obejmuje konta, na których jest zalogowany twój komputer, a karta leżąca w kuchennej szufladzie do nich nie należy.