Tudi s poteklo kartico Visa je mogoče nakupovati v trgovinah!
Strokovnjaki opozarjajo na hekerski napad Zombie Card.
Raziskovalci z Univerze Massachusetts Amherst so na varnostni konferenci USENIX Security 2026 razkrili resno varnostno vrzel v delovanju brezstičnih plačilnih kartic, ki omogoča ponovno uporabo poteklih kartic Visa za resnične nakupe v trgovinah. Ranljivost, ki so jo poimenovali napad Zombie Card, ne zahteva razbijanja kriptografske zaščite, temveč izrablja pomanjkljivost pri preverjanju datuma poteka veljavnosti na prodajnih mestih.
Pri brezstičnem plačilu z uporabo protokola Visa podatek o datumu poteka kartice (Application Expiration Date) potuje v nešifrirani obliki in ni zaščiten z digitalnim podpisom kartice. Napadalec, ki ima fizični dostop do potekle kartice, lahko s pomočjo dveh pametnih telefonov in povezave Wi-Fi izvede napad posrednika (Man-in-the-middle): prvi telefon prek povezave NFC aktivira kartico in prebere podatke, drugi telefon pa spremeni datum poteka v poljuben prihodnji datum ter ga posreduje terminalu POS. Ker digitalni certifikat v čipu pogosto velja dlje od natisnjenega datuma, terminal spremenjene podatke sprejme kot veljavne.
Uspešnost napada je odvisna od bančnega preverjanja v ozadju. Preizkusi so pokazali, da nekatere banke preverjajo le obstoj transakcijskega računa in ne statusa posamezne kartice, zaradi česar so bili lažni nakupi uspešno izvedeni. Čeprav obstaja varnostni protokol za merjenje odzivnega časa (Relay Resistance Protocol), ki bi takšne posredniške napade preprečil, ta na testiranih terminalih in karticah ni bil vklopljen. Varnostni strokovnjaki zato opozarjajo, da poteklih kartic ne smemo obravnavati kot nenevarnih kosov plastike, temveč moramo ob njihovem izteku fizično uničiti vgrajeni čip in prerezati številke.
