Kako istekle beskontaktne kartice mogu ponovno postati sredstvo plaćanja?

Stručnjaci sa Sveučilišta UMass Amherst predstavili su studiju pod nazivom „Zombie kartice ponovno online: Oživljavanje isteklih kreditnih kartica za beskontaktna plaćanja". Detaljno je opisano kako se istekle beskontaktne platne kartice mogu ponovno koristiti za kupnje na prodajnim mjestima.

Beskontaktna plaćanja temelje se na EMV protokolu, gdje kartica ili pametni telefon komunicira s POS terminalom pomoću NFC tehnologije. Poruke zatim putuju kroz platnu mrežu do banke i izdavatelja kartice. Istraživači upozoravaju da je ovaj proces ranjiv, jer se neki podaci prenose između kartice i terminala u nešifriranom obliku i tek se kasnije kombiniraju s kriptografskom provjerom.

Ova sigurnosna ranjivost podložna je zlouporabi. Koristeći dva pametna telefona koji djeluju kao NFC proxy uređaji, istraživači su uspješno izveli napad tipa "čovjek u sredini". Otkrili su da su beskontaktne transakcije na Visa mreži ranjive na takve napade jer im nedostaje odgovarajuća zaštita integriteta podataka.

Problem leži u takozvanom osnovnom EMV protokolu. Dok Mastercard, American Express i Discover koriste stroža pravila, Visa sustav je "otvoreniji". Kod Visa kartica, datum isteka koji terminal očitava nije kriptografski zaštićen digitalnim potpisom. Terminal provjerava datum na kartici, ali banka izdavatelj provjerava drugi dio informacije o datumu prilikom odobravanja. Budući da ta dva dijela informacije nisu kriptografski povezana, napadač može promijeniti informacije koje terminal vidi tijekom prijenosa, dok se ostali sigurnosni elementi čine potpuno valjanima.

Hoće li napad biti uspješan u praksi ovisi o pojedinačnoj banci i njezinoj obradi transakcija. Međutim, takvi nalazi s pravom izazivaju sumnju u to koliko temeljito financijske institucije provjeravaju sigurnosne standarde prije nego što tehnologiju puste u široku upotrebu. Voditelj istraživanja Raja Hasnain Anwar objasnio je da se radi o svjesnoj prilagodbi između visoke razine sigurnosti i brzine starijih terminala.

Autori su obavijestili Visu o ranjivosti u svibnju 2025. i ponovno u prosincu 2025. Do danas ni Visa ni bilo koja od obaviještenih banaka nisu potvrdile da su ispravile nedostatak.