Nghiên cứu chỉ ra lỗ hổng “Zombie Card” trên thẻ Visa contactless hết hạn
"Researchers at the University of Massachusetts Amherst demonstrated the “Zombie Card” attack, which can revive expired Visa contactless cards by relaying NFC traffic and rewriting the terminal-facing expiration date (tag 5F24) while leaving cryptographic data intact. The technique affected Visa Kernel 3 in testing, required physical or proximate access plus a MitM relay, and no CVE has been assigned; the researchers disclosed the findings to Visa and affected banks in 2025, with no public mitigation guidance reported as of the article date."
Ảnh hưởng đến xác thực giao dịch contactless, có thể làm thẻ hết hạn vẫn được chấp nhận trong một số điều kiện thử nghiệm; rủi ro phụ thuộc vào kernel, issuer và việc có kiểm tra lại ngày hết hạn hay không.
Có thể gây gian lận thanh toán và tăng tải cho bộ phận fraud/chargeback; các đơn vị chấp nhận thanh toán cần xem xét kiểm soát POS và phối hợp với issuer để giảm rủi ro vận hành.
Các nhà nghiên cứu tại University of Massachusetts Amherst đã trình diễn kỹ thuật “Zombie Card” cho phép một số thẻ Visa contactless đã hết hạn vẫn có thể được chấp nhận trong giao dịch tại điểm bán hàng (POS). Cách tấn công này dựa trên việc chuyển tiếp lưu lượng NFC giữa thẻ và máy đọc, đồng thời sửa trường ngày hết hạn mà thiết bị đầu cuối đọc được, cụ thể là tag 5F24, trong khi dữ liệu mật mã của thẻ vẫn giữ nguyên.
Theo mô tả nghiên cứu, kỹ thuật này cần quyền truy cập vật lý hoặc ở rất gần thẻ, cùng một lớp MitM relay giữa thẻ và terminal. Thử nghiệm cho thấy ảnh hưởng chủ yếu đến Visa Kernel 3; các kernel khác như Mastercard Kernel 2, American Express Kernel 4 và Discover Kernel 6 có cơ chế kiểm tra chặt hơn nên không bị vượt qua theo cùng cách.
Nhóm nghiên cứu đã công bố cho Visa và các ngân hàng liên quan từ tháng 5/2025, nhưng đến thời điểm bài viết chưa có CVE hay hướng dẫn khắc phục công khai. Khuyến nghị cho tổ chức phát hành và đơn vị chấp nhận thanh toán là rà soát kiểm tra nhất quán giữa 5F24 và Track 2, cân nhắc bật Relay Resistance Protocol (RRP), và theo dõi các giao dịch contactless bất thường trên thẻ đã thay thế.