En studie utført av forskere ved University of Massachusetts Amherst og presentert på USENIX Security 2026-konferansen har avslørt et faktum som på noen måter er urovekkende. Ifølge studien, selv gamle utløpte kort kan potensielt gjenbrukes til å utføre falske betalinger. Det er ingen tilfeldighet at forskere har definert dem «zombie» kredittkort: selv etter utskifting kan de i noen tilfeller komme tilbake til «livet» og bli brukt av en nettkriminell til svindelformål.
Problemet oppstår ved at det er det fysiske kortet som utløper, men ikke kontoen knyttet til det. Dette demonstreres av det faktum at hvis du kjøper et produkt og deretter returnerer det, kan refusjonen nå kontoen din selv når kortet som ble brukt til betaling, knyttet til sistnevnte, nå er utløpt. Det var her forskernes spørsmål startet: Hvis et gammelt kort fortsatt kan få tilbakebetaling, kan det også brukes til å foreta en betaling? For noen kort er svaret ja. Gruppen ledet av professor Taqi Raza demonstrert at det er mulig å bygge et system som er i stand til overbevise en POS-terminal om at et utløpt kort fortsatt er gyldig. La oss se mer detaljert hvordan dette angrepet fungerer.
Hvordan «zombie» kredittkortangrepet fungerer
Angrepet er i utgangspunktet basert på bruk av NFC-teknologiden samme som lar deg betale ved å holde et kort eller smarttelefon nær terminalen. Forskerne bruker to vanlige smarttelefoner og programvare som er i stand til å emulere atferden som er nødvendig for transaksjonen. De første telefonen aktiverer kortet og starter betalingsforespørselensom også sender utløpsdatoen. De den andre telefonen fanger opp disse dataenei gjennom en Wi-Fi-tilkobling og går til bare endre datoenog erstatter den nå utløpte med en hvilken som helst påfølgende dato.
Teknisk sett er dette et angrep «mann-i-midten»det vil si et angrep der en subjekt setter seg inn mellom to enheter som kommuniserer, avskjærer og, i dette tilfellet, endrer informasjonen som utveksles. De andre smarttelefon kobles deretter til butikkens leser: Fra utsiden kan transaksjonen se ut som en vanlig betaling gjort via en digital lommebok.
Det mest bekymringsfulle aspektet er det kriminelle trenger ikke nødvendigvis å vite den sanne utløpsdatoen for erstatningskortet. Ifølge forskerne kan det være tilstrekkelig å legge inn en eventuell fremtidig dato. Dette er mulig pga utløpsdatoen som POS leser fra kortet er ikke kryptografisk beskyttet. På dette tidspunktet kan du forvente at banken automatisk blokkerer transaksjonen. Men det er nettopp her en stor sårbarhet dukker opp. Ikke alle bankinstitusjoner bekrefter utløpsdatoen mottatt fra terminalen ved å sammenligne den med informasjonen som er autentisert av kortet. Hvis det ikke er ytterligere kontroll av kortstatusen, kan den falske betalingen derfor bli vellykket.
Faktisk inneholder betalingssystemet et annet element som kan skape forvirring. Kortet har en sikkerhetsnøkkel som beskytter kommunikasjonen med banken og som er knyttet til et digitalt sertifikat, det vil si en slags elektronisk legitimasjon som brukes til å verifisere autentisiteten til kommunikasjonen. Det fant forskerne utløpet av dette sertifikatet kan være senere enn det som er vist på kortet. Følgelig er det ikke nok å sjekke nøkkelen for å fastslå om det fysiske kortet faktisk har utløpt eller ikke. Der sårbarhet ble verifisert både i laboratoriet og i kommersielle virksomheter ekte, som restauranter og supermarkeder. Imidlertid er ikke alle kort eksponert på samme måte og digitale lommebøker har ekstra beskyttelse som gjør dem mer motstandsdyktige mot dette spesifikke angrepet.
Hvordan kaste dem på en sikker måte for å unngå svindel
For å sove rimelig fredelig må du derfor lære deg det kaste ut utløpte kredittkort på en sikker måte. Forskere anbefaler å ødelegge dem selv når du mottar en erstatning eller kontoen din er permanent stengt. For det første kan du før sakte en magnet over magnetstripen og, i etterkant, skade brikken med en hammer eller saks. Til slutt burde vi kutt papiret i flere delerog eliminerer også hevede tall og bokstaver. Det er også tilrådelig fordel fragmentene i forskjellige søppelcontainere. For metallkort er det imidlertid bedre å kontakte kundeservicen til banken som utstedte kortet direkte, for å vite hva du skal gjøre.
