Kartu s prepadnutou platnosťou veľa ľudí považuje za bezcenný kus plastu. Výskumníci z University of Massachusetts Amherst však ukázali, že za určitých okolností sa s ňou dá ešte zaplatiť v obchode. Pri útoku nazvanom Zombie Card stačilo počas bezkontaktnej komunikácie zmeniť údaj o platnosti, ktorý si terminál načíta cez NFC, bez prelomenia kryptografie samotnej karty.
Výsledky výskumníci predstavili na 35. USENIX Security Symposium. Na zistenia upozornila aj University of Massachusetts Amherst a podrobný rozbor priniesol web The Hacker News.
Neznamená to, že každá stará Visa karta začne po priložení k terminálu opäť fungovať. Podmienky útoku sú pomerne prísne. Útočník potrebuje mať expirovanú kartu fyzicky k dispozícii alebo sa k nej dostať na dostatočne dlhý čas cez NFC, komunikáciu medzi kartou a terminálom musí sprostredkovať ďalšie zariadenie a vydavateľ karty nesmie pri autorizácii sám účinne odmietnuť starý platobný prostriedok.
Dôležitá je aj ďalšia podmienka: účet musí zostať aktívny pod rovnakým číslom karty, teda PAN. To môže nastať napríklad vtedy, keď banka pri skončení platnosti vydá novú kartu naviazanú na ten istý účet a číslo karty zostane zachované.
Prečo to Visa karta vôbec dovolí
Šifrovanie čipu pri útoku nikto neláme. Problém je v tom, ako sa v bezkontaktnej transakcii spracúva dátum platnosti. Pri Visa Kernel 3 sa údaj o expirácii nachádza vo viacerých častiach transakcie a jednotlivé hodnoty používajú rozdielne súčasti platobného systému.
Terminál vykonáva svoju kontrolu nad jednou hodnotou, zatiaľ čo vydavateľ karty dostáva údaj o platnosti aj v dátach smerujúcich do online autorizácie. Podľa výskumníkov Visa Kernel 3 nezabezpečuje, aby boli tieto reprezentácie platnosti vždy navzájom pevne a kryptograficky zviazané.
Zariadenie vložené do komunikácie preto dokázalo zmeniť dátum, ktorý videl terminál, na budúcu hodnotu, pričom údaje potrebné na kryptografické overenie transakcie zostali platné. Terminál tak kartu nepovažoval za expirovanú a transakciu poslal ďalej na autorizáciu banke.
Vedúci autor práce Raja Hasnain Anwar to v univerzitnej správe zhrnul jednoducho: dátum, podľa ktorého terminál rozhoduje o platnosti karty, nie je v tomto prípade kryptograficky chránený, a preto sa dá počas komunikácie zmeniť bez toho, aby sa tým automaticky pokazilo kryptografické overenie karty.
Výskumníci zároveň zistili, že expirovaná karta môže naďalej prejsť časťou offline autentifikácie. Platnosť certifikátov používaných kartou sa totiž neurčuje tým istým dátumom, aký je vytlačený na plastovej karte, a môže ho presahovať.
Ďalším problémom je množstvo informácií, ktoré sa dostanú k vydavateľovi. Visa Kernel 3 podľa práce posiela v Terminal Verification Results (TVR) vydavateľovi nulové hodnoty, takže banka z tohto poľa nevidí výsledok lokálnych kontrol terminálu. Neznamená to však, že banka nemôže transakciu zastaviť sama. Ak si vo vlastnom systéme kontroluje stav konkrétnej karty a jej platnosť, útok môže odmietnuť.
Útočník navyše nemusí poznať skutočný dátum platnosti novej karty. Pre kontrolu terminálu v demonštrovanom scenári stačila hodnota ležiaca v budúcnosti vzhľadom na deň transakcie.
Mastercard, American Express a Discover úpravu odmietli
Rovnaká manipulácia nedopadla rovnako pri ostatných testovaných platobných sieťach. Mastercard Kernel 2 kontroluje konzistentnosť údajov o expirácii a pri nezhode transakciu odmietol. Pri American Express Kernel 4 je príslušný údaj zahrnutý medzi autentifikované dáta, takže zmena spôsobila problém pri ich overovaní. Discover Kernel 6 zase upravené údaje zachytil prostredníctvom mechanizmu, ktorý ich viaže na overovaný obsah transakcie.
Zraniteľnosť, ktorú vedci využili na „oživenie“ expirovanej karty, sa teda v ich testoch prejavila pri Visa Kernel 3. Ani pri Vise však výsledok nezávisel iba od karty alebo terminálu. Posledné slovo mala banka, ktorá transakciu autorizovala.
Jedna banka platby schválila, druhá ich zastavila
Pri interpretácii výsledkov je dôležité rozlišovať dve časti výskumu. Širšie experimenty s manipuláciou bezkontaktných transakcií zahŕňali karty a konfigurácie od piatich veľkých amerických bánk. Samotné experimenty s expirovanými alebo už nahradenými fyzickými kartami potom vedci vykonali pri troch vydavateľoch, ktorých v práci anonymizovali.
Pri vydavateľovi označenom ako Bank A dokázala upravená expirovaná Visa karta dokončiť platby za 1, 100 a 500 dolárov na vlastnom termináli výskumníkov. Tím uskutočnil aj dve malé transakcie u reálnych obchodníkov – za 2,79 dolára a 3,19 dolára. Neupravená expirovaná karta pritom v kontrolných pokusoch neprešla.
Pri Bank B bol výsledok odlišný. Terminál upravený dátum prijal a poslal transakciu ďalej, vydavateľ však všetky pokusy odmietol a držiteľa vyzval, aby použil náhradnú kartu. Práve tento výsledok ukazuje, že nejde iba o vlastnosť Visy: významnú úlohu má aj spôsob, akým konkrétna banka kontroluje životný cyklus svojich kariet.
Pri treťom vydavateľovi, ktorý používal Discover Kernel 6, manipulácia s dátumom neprešla. Výskumníci tam však narazili na inú zvláštnosť: určitý čas mohli fungovať stará aj náhradná karta priradené k rovnakému účtu. Tento jav je od samotného útoku Zombie Card odlišný a práca ho uvádza ako ďalší príklad rozdielnych pravidiel pri výmene kariet.
Na test stačili bežné telefóny, no útok nie je triviálny
Výskumníci zostavili experimentálny systém z dvoch telefónov s Androidom a NFC, ktoré medzi sebou prenášali komunikáciu karty a platobného terminálu. Nešlo teda o prelomenie čipu ani získanie jeho tajných kryptografických kľúčov, ale o manipuláciu s vybraným údajom počas prenosu.
Priemerná nameraná latencia transakcie bola približne 415 milisekúnd. EMV pritom pri jednotlivých príkazoch počíta s časovým limitom do 500 milisekúnd. Žiadna z fyzických kariet ani terminálov použitých v tejto testovacej zostave nepoužívala nepovinný mechanizmus Relay Resistance Protocol, ktorý je určený na odhaľovanie podozrivého zdržania pri NFC relay útokoch.
To však neznamená, že dvojica telefónov automaticky umožní komukoľvek platiť ľubovoľnou starou kartou. Úspech závisí od konkrétneho platobného jadra, konfigurácie terminálu, banky, stavu účtu aj spôsobu, akým vydavateľ kontroluje staré a náhradné karty.
Nie je to dôkaz, že všetky expirované Visa karty fungujú
Výsledky treba čítať v hraniciach experimentu. Testovanie prebiehalo v Spojených štátoch na konkrétnych kartách, bankách a termináloch. Dve platby u reálnych obchodníkov podľa autorov slúžili na potvrdenie, že jav nie je obmedzený iba na laboratórium. Nešlo však o plošné meranie obchodov, bánk ani terminálov.
Nie je preto možné automaticky preniesť výsledok na všetky Visa karty vydané na Slovensku alebo na všetky tunajšie platobné terminály. Rozhodujú aj implementácie bánk a infraštruktúry, ktoré sa môžu medzi krajinami a vydavateľmi líšiť.
Ide o akademický bezpečnostný výskum predstavený na USENIX Security 2026. Technike nebolo pridelené označenie CVE a podľa zverejnených informácií neboli hlásené prípady jej zneužívania proti používateľom. Autori svoje zistenia oznámili Vise a dotknutým bankám už v máji 2025 a opätovne ich kontaktovali v decembri 2025.
V práci uvádzajú, že hlásenie Vise prešlo prvotným posúdením a jej bezpečnostný tím sa útok pokúšal reprodukovať. V čase prijatia vedeckej práce však autori od Visy ani upozornených bánk nedostali informácie o stave alebo povahe prípadných nápravných opatrení. The Hacker News uviedol, že Visa na jeho žiadosť o stanovisko do vydania článku nereagovala.
Na Slovensku sa už objavil iný typ NFC relay útoku
Slovenska sa téma dotýka aj z inej strany. Bezpečnostná firma Group-IB zdokumentovala androidový malvér WindRelay, ktorý sa objavil pri sociálnom inžinierstve počas telefonátov proti obetiam v Česku, na Slovensku a v Slovinsku.
WindRelay však nevyužíva chybu s dátumom platnosti zo Zombie Card. Jeho úlohou je v reálnom čase prenášať NFC komunikáciu aktívnej karty k inému zariadeniu. Spoločný je teda všeobecný princíp sprostredkovania komunikácie medzi kartou a vzdialeným terminálom, nie konkrétna zraniteľnosť.
Čo môže urobiť držiteľ karty
Pre používateľa z toho vyplýva najmä jedna praktická vec: expirovanú platobnú kartu nie je dobré vyhodiť neporušenú. Čip aj magnetický prúžok by mali byť pred likvidáciou znefunkčnené, prípadne možno kartu odovzdať banke, ak takúto možnosť ponúka. Pri kovových kartách je vhodné riadiť sa pokynmi vydavateľa.
Zmysel má aj sledovanie pohybov na účte po výmene karty a používanie upozornení na nové platby. Pri neznámej transakcii treba čo najskôr kontaktovať banku. Samostatne sme rozoberali aj to, kedy banka po podvode peniaze vráti a kedy nemusí.
Samotnú chybu však držiteľ karty opraviť nemôže. Autori práce navrhujú, aby platobné systémy kryptograficky zviazali údaje rozhodujúce o platnosti karty, aby terminál dokázal kontrolovať konzistentnosť jednotlivých reprezentácií dátumu a aby vydavatelia pri autorizácii overovali konkrétnu kombináciu čísla karty a jej platnosti. Podstatné je odstrániť stav, keď terminál, platobná sieť a banka predpokladajú, že kritickú kontrolu vykonal niekto iný.
Ako funguje NFC
Ak si chcete doplniť základný kontext, v samostatnom článku vysvetľujeme, čo je NFC a na čo sa používa. Technológia neslúži iba na platby a práve jej komunikácia na krátku vzdialenosť je základom toho, čo výskumníci pri Zombie Card analyzovali.
