Vypršení platnosti platební karty nemusí znamenat, že už s ní nelze zaplatit. Bezpečnostní výzkumníci dokázali některé prošlé karty Visa „oživit“ a provést s nimi bezkontaktní transakce. Útok nazvaný Zombie Card využívá slabinu ve způsobu, jakým terminál a banka ověřují datum expirace.
Tým z University of Massachusetts Amherst popsal útok, při kterém dokázal prošlou kartu přesvědčivě vydávat za stále platnou. Výzkumníci jej testovali s různými platebními terminály, u obchodníků a s kartami pěti velkých amerických bank. V některých případech se jim podařilo běžnou bezkontaktní platbu skutečně dokončit.
Datum na kartě není dostatečně chráněné
Problém spočívá v tom, že datum expirace uložené na kartě není při některých bezkontaktních transakcích dostatečně kryptograficky chráněné. Výzkumníci tak pomocí dvou běžných chytrých telefonů a komunikačního prostředníka dokázali údaj během přenosu změnit a terminálu předložit budoucí datum platnosti.
Samotný účet totiž s expirací plastové karty automaticky nezaniká. Je to nutné například kvůli vrácení peněz za starší nákup. Karta navíc obsahuje bezpečnostní certifikát s vlastní dobou platnosti, která může být delší než datum vytištěné na kartě. Pokud banka následně znovu nezkontroluje skutečný stav karty, může upravená transakce projít.
Výzkumníci útok vyzkoušeli nejen v laboratoři, ale také při reálných nákupech v jídelnách a obchodech. Výsledky ukázaly problém zejména u bezkontaktních transakcí v síti Visa. Testovány byly také systémy Mastercard a Discover, jednotlivé platební systémy ale nebyly vůči útoku zasaženy stejně.
Prošlé karty by lidé neměli jen vyhodit
Dobrou zprávou je, že útok vyžaduje přístup k fyzické kartě nebo její bezkontaktní komunikaci. Nejde tedy o způsob, jakým by útočník mohl na dálku jednoduše „oživit“ libovolnou cizí kartu. Výzkumníci zároveň neuvádějí, že by jejich techniku podvodníci už reálně využívali.
Zjištění ale nabourává běžnou představu, že prošlá karta je automaticky neškodná. Bezpečnostní experti proto upozorňují, že ji není vhodné vyhodit vcelku. Čip i další části karty by měl majitel před likvidací fyzicky zničit a podezřelé transakce okamžitě řešit s bankou.
