Nghiên cứu phát hiện lỗ hổng kiểm tra ngày hết hạn trên thẻ Visa contactless
"Researchers at the University of Massachusetts Amherst demonstrated that certain expired Visa contactless credit cards can still be used for unauthorized payments by exploiting weak expiry-date handling in the EMV contactless flow. The attack uses NFC man-in-the-middle/proxy tampering to alter what the terminal sees, while the card issuer may still authorize the transaction; Mastercard, American Express, and Discover configurations tested resisted the attack, and no CVE was reported in the article."
Ảnh hưởng đến tính toàn vẹn giao dịch và có thể dẫn tới thanh toán trái phép trên một số thẻ contactless Visa; mức độ phụ thuộc vào cấu hình ngân hàng phát hành.
Có thể làm tăng rủi ro gian lận thanh toán, phát sinh chi phí xử lý tranh chấp và yêu cầu rà soát hệ thống POS/issuer trong môi trường chấp nhận thẻ.
Các nhà nghiên cứu tại University of Massachusetts Amherst trình bày tại USENIX Security 2026 một kỹ thuật cho phép một số thẻ Visa contactless đã hết hạn vẫn có thể được dùng để thanh toán trái phép. Theo mô tả, vấn đề nằm ở cách EMV contactless xử lý và xác thực ngày hết hạn, khi một phần dữ liệu không được ràng buộc chặt bằng chữ ký số.
Nhóm nghiên cứu cho biết họ đã dùng NFC proxy và kỹ thuật man-in-the-middle để thay đổi thông tin mà máy POS nhìn thấy, trong khi giao dịch vẫn có thể được ngân hàng phát hành chấp thuận. Trong các cấu hình thử nghiệm, Mastercard, American Express và Discover không bị ảnh hưởng theo cùng cách, còn Visa thể hiện mức độ dễ bị tác động cao hơn do cách triển khai kernel và kiểm tra dữ liệu.
Rủi ro chính là giao dịch có thể bị đẩy sang bước online authorization thay vì bị từ chối sớm. Do đó, các tổ chức phát hành thẻ và đơn vị vận hành thanh toán nên rà soát cách xử lý Application Expiration Date, kiểm tra ràng buộc giữa các trường dữ liệu liên quan và tăng cường phát hiện bất thường trên kênh contactless. Người dùng doanh nghiệp cũng nên theo dõi giao dịch lạ và áp dụng kiểm soát gian lận ở lớp ngân hàng phát hành.