Ich praca pokazuje, że systemy płatności oparte na standardzie EMV nie zawsze weryfikują datę ważności w spójny sposób, co otwiera drogę do manipulacji danymi przesyłanymi między kartą a terminalem. W praktyce oznacza to, że karta uznana przez bank za nieważną może zostać przedstawiona terminalowi jako aktywna.

Autorzy badania – Raja Hasnain Anwar, Gerard DeCunha i Muhammad Taqi Raza – opisują, że część danych w procesie płatności EMV jest przesyłana w formie niezaszyfrowanej, a ich integralność weryfikowana jest dopiero później. To pozwala na zastosowanie ataku typu man-in-the-middle, w którym telefon lub inne urządzenie działa jako pośrednik między kartą a terminalem.

W przypadku kart Visa okazało się to szczególnie skuteczne, ponieważ w ich wypadku data ważności przekazywana z karty nie jest powiązana kryptograficznie z innymi danymi używanymi w autoryzacji online. Terminal odczytuje jedną datę, a bank weryfikuje inną – i żadna ze stron nie zdaje sobie sprawy, że to były dwie różne daty.

Mastercard, American Express i Discover okazały się odporne na tę metodę, ale Visa – według badaczy – pozostaje podatna, a skuteczność ataku zależy od polityki konkretnego banku. Część instytucji finansowych akceptowała transakcje mimo wygasłej karty, ponieważ polegały na ocenie danych przesłanych z terminala zamiast przeprowadzać weryfikację na podstawie swoich danych. Badacze podkreślają, że producenci kart często balansują między bezpieczeństwem a kompatybilnością z przestarzałymi terminalami, co prowadzi do kompromisów i pozostawia luki możliwe do wykorzystania.

Autorzy poinformowali Visę o problemie już w maju 2025 roku i ponownie w grudniu tego samego roku, jednak do dziś nie ma potwierdzenia, że luka została załatana. To oznacza, że w praktyce możliwe jest „wskrzeszanie” wygasłych kart zbliżeniowych i dokonywanie nimi płatności, jeśli ktoś dysponuje odpowiednią wiedzą i sprzętem.

Źródło: The Register