Was ist passiert?
Forscher der University of Massachusetts Amherst berichten, dass einige abgelaufene kontaktlose Visa-Karten immer noch akzeptiert werden können, wenn ein Relais das Ablaufdatum ändert, das einem Kassenterminal vorgelegt wird. Für ihre kontrollierten Tests wurden echte Karten, kommerzielle Terminals, Händler und Karten von fünf großen US-Banken verwendet. Die getesteten Mastercard-, American Express- und Discover-Konfigurationen lehnten das geänderte Datum ab.
Die Hauptquelle ist eine Forschungsseite des Khwarizmi Lab an der University of Massachusetts Amherst, die einen Artikel mit dem Titel „Zombie Cards Back Online: Reviving Expired Credit Cards for Contactless Payments“ beschreibt. Die Forscher sagten, sie hätten ihre Ergebnisse mit echten Karten, kommerziellen Zahlungsterminals, informierten Händlern und Karten von fünf großen US-Banken getestet. Ihr Testumfang umfasste kontaktlose Konfigurationen von Visa, Mastercard, Discover und American Express sowie Apple Pay und Google Pay. Das gemeldete Ergebnis war konkret: Die getestete Visa-Konfiguration könnte betroffen sein, während die getesteten Mastercard-, American Express- und Discover-Konfigurationen die geänderten Ablaufinformationen ablehnten.
Bei dem gemeldeten Mechanismus handelt es sich um eine Diskrepanz zwischen dem, was das Terminal liest, und dem, was die Bank zur Autorisierung einer Transaktion verwendet. In der untersuchten Visa-Konfiguration war das am Terminal angezeigte Ablaufdatum nicht durch dieselbe digitale Signatur abgedeckt wie andere Kartensicherheitsinformationen. In einem kontrollierten Relay-Setup leiteten zwei Android-Telefone die Karte-Terminal-Konversation zwischen der Karte und dem Terminal weiter und änderten gleichzeitig den für das Terminal sichtbaren Ablaufwert. Die normalen kryptografischen Antworten der Karte wurden weiterhin zwischen den Geräten übertragen. Die Forscher sagen daher, dass der Angriff weder die Schlüssel der Karte gebrochen, noch ihre Sicherheitsantworten gefälscht oder die EMV-Kryptografie im üblichen Sinne außer Kraft gesetzt hat.
Die Forscher beschreiben das Ergebnis als abhängig vom Emittenten und der restlichen Zahlungskette. Einige getestete Banken lehnten die Zahlung ab oder forderten die Ersatzkarte, andere genehmigten die Zahlung. Die Quelle sagt, dass das zugrunde liegende Ablaufproblem bei 1 $, 100 $ und 500 $ beobachtet wurde, als die jeweiligen Terminal- und Emittentenbedingungen dies zuließen, obwohl separate Regeln wie PIN-Anforderungen eine bestimmte Transaktion stoppen können. In den gemeldeten Tests konnten Zahlungsbetrag, Händlertyp und Terminalmarke allein das Ergebnis nicht erklären. Die Quelle geht nicht davon aus, dass jede Visa-Karte, Bank, jedes Terminal oder jede Zahlungsanwendung betroffen ist.
Die Studie berichtet auch über unterschiedliche Verhaltensweisen bei digitalen Geldbörsen. Es wurde beschrieben, dass Apple Pay und Google Pay besser für den Austausch geeignet sind, da Zahlungs-Tokens aus der Ferne aktualisiert werden können. Die Forscher sagen, dass ihre Tests ergeben haben, dass ein zentralisiertes Lebenszyklusmanagement die Wahrscheinlichkeit verringert, dass ein abgelaufener physischer Berechtigungsnachweis weiterhin verwendbar ist. Die Quelle bezeichnet dieses Ergebnis nicht als Garantie für Immunität. Das Team habe außerdem nicht festgestellt, ob das Problem bei Chip-Insert-Transaktionen zutrifft, und es habe nicht das gleiche Verhalten für Debitkarten als Kategorie festgestellt.
Lesen Sie die Primärquelle: khwarizmilab.github.io ↗
Warum es wichtig ist
Die Feststellung zeigt eine Lücke zwischen der Ablaufprüfung des Terminals und der Entscheidung des Ausstellers darüber, ob eine bestimmte physische Karte weiterhin gültig ist. Es erfordert Zugriff auf eine abgelaufene Karte und ein Relay-Setup. Es handelt sich also nicht um einen Fernangriff gegen alle Karteninhaber, es stellt jedoch die Annahme in Frage, dass eine abgelaufene Karte automatisch unbrauchbar ist.
Die praktische Bedeutung besteht darin, dass der Ablauf als End-to-End-Sicherheitsversprechen scheitern kann, selbst wenn die kryptografischen Prüfungen der Karte gültig erscheinen. Verbraucher betrachten eine abgelaufene Karte im Allgemeinen als wertlos, aber die Forscher sagen, dass die physische Karte ein Ausgangspunkt bleiben kann, wenn sie weggeworfen wurde, ohne zerstört zu werden. Bei dem beschriebenen Angriff handelt es sich nicht um eine entfernte Kompromittierung: Ein Angreifer müsste sich eine abgelaufene physische Karte beschaffen und ein Relais nahe genug an der Transaktionsausrüstung betreiben. Dadurch ist das gemeldete Risiko kleiner als das einer über das Internet erreichbaren Schwachstelle, während eine nachlässige Entsorgung dennoch relevant ist.
Das zentrale Anliegen der Quelle ist die Aufteilung der Verantwortung im gesamten Zahlungssystem. Ein Terminal kann einen Ablaufwert auswerten, das Netzwerk kann ein gültiges Kartenkryptogramm verarbeiten und die ausstellende Bank kann ihre Entscheidung anhand von Informationen treffen, die die Karte nicht zuverlässig als abgelaufen identifizieren. Eine Bank, die den Status der genauen physischen Karte prüft, kann die Transaktion ablehnen; Eine Bank, die hauptsächlich ein aktives Basiskonto sieht, kann dies genehmigen. Diese Variante bedeutet, dass das Ergebnis nicht allein aus der Kartenmarke, der Tatsache, dass eine Karte abgelaufen ist, oder dem Vorhandensein der kontaktlosen Fähigkeit abgeleitet werden kann.
Die Feststellung hat Konsequenzen für die Sicherheit des Zahlungsnetzwerks, da sie sich auf die Durchsetzung des gesamten Lebenszyklus und nicht auf ein einzelnes defektes Verbrauchergerät bezieht. Die Forscher sagen, dass sie Visa und die zuständigen Banken im Mai und Dezember 2025 benachrichtigt und einen Reproduktionsleitfaden, Transaktionsspuren und eine Videodemonstration bereitgestellt haben. Sie sagen, dass der Bericht von Visa die erste Prüfung bestanden habe und von seinem roten Team reproduziert wurde, aber dass weder Visa noch die benachrichtigten Banken zum Zeitpunkt der Veröffentlichung eine Abhilfe bestätigt hätten. Die bereitgestellte Quelle enthält keine unabhängige Bestätigung des Status der Anbieter, kein öffentliches CVE und keine Beweise dafür, dass das Verhalten weit verbreitet ist.
Die Quelle begrenzt auch die Schlussfolgerungen, die normale Karteninhaber ziehen sollten. Darin heißt es, dass die Art und Weise, wie sie kontaktloses Bezahlen nutzen, nicht geändert werden muss und dass eine abgelaufene Karte, die durch Durchtrennen des Chips und des Magnetstreifens sicher zerstört wird, nicht in der angegebenen Weise verwendet werden kann. Die Forscher haben keinen ausnutzbaren Relay-Code veröffentlicht, weil sie sagen, dass dieser die Hürde für echten Finanzbetrug senken könnte. Ihre Offenlegung liefert bereinigte Transaktionsprotokolle und Protokolldetails, die Quelle liefert jedoch keine messbare Schätzung der Angriffsversuche, Verluste, betroffenen Karten oder realen Ausbeutung.
Was Sie als nächstes sehen sollten
Die wichtigsten offenen Fragen sind, ob Visa und die Herausgeber das gemeldete Verhalten abgemildert haben, wie umfassend es auf Karten und Zahlungsanwendungen anwendbar ist und ob unabhängige Tests das Ergebnis reproduzieren. Karteninhaber sollten die Entsorgungsanweisungen ihres Ausstellers befolgen, einschließlich des Durchtrennens des Chips und des Magnetstreifens oder der Rückgabe der Karte über einen zugelassenen Kanal.
Oberste Priorität hat der Nachweis von Abhilfemaßnahmen in der gesamten Zahlungskette. Die Forscher identifizieren mehrere mögliche Kontrollpunkte: Sie binden die Ablaufinformationen des Terminals enger an authentifizierte Kartendaten, stellen sicher, dass der Aussteller ein vertrauenswürdiges Ablaufsignal erhält, und veranlassen die Banken, den Status der genauen Karte und nicht nur des zugehörigen Kontos zu überprüfen. Eine sinnvolle Abhilfe müsste sich mit der Interaktion zwischen Terminals, dem Zahlungsnetzwerk und den Emittenten befassen. Eine Änderung nur an einem Punkt kann die in der Studie beschriebene Diskrepanz möglicherweise nicht beheben.
Die unabhängige Replikation bestimmt die Breite des Anspruchs. Die Quelle anonymisiert die fünf Banken als Banken A bis E und meldet nur die getesteten Karten und Transaktionen. Weitere Tests müssten mehr Emittenten, Kartenprodukte, Zahlungsanwendungen, Terminals und Regionen untersuchen und gleichzeitig eine verantwortungsvolle Offenlegung gewährleisten. Die Quelle gibt keine Auskunft über die Verbreitung, ob sich andere Visa-Implementierungen genauso verhalten oder ob aktualisierte Karten und Terminals den geänderten Ablaufwert bereits ablehnen.
Das Relay Resistance Protocol ist ein weiterer spezifischer Bereich, den es zu überwachen gilt. Die Forscher sagen, dass es ein hinzugefügtes Relay erkennen und eine Transaktion stoppen kann, dass es jedoch optional ist und auf den von ihnen getesteten Karten oder Terminals nicht aktiviert wurde. Zukünftige Test- und Bereitstellungsinformationen könnten klären, ob dieser Schutz allgemein verfügbar, standardmäßig aktiviert oder unter den beschriebenen Bedingungen wirksam ist. Die Quelle berichtet, dass die Relay-Latenz bei der Einrichtung innerhalb der normalen Antwortmöglichkeiten des Zahlungssystems blieb, sodass es beim Test nicht zu einer Zeitüberschreitung kam.
Verbraucher sollten die bestehenden Entsorgungsrichtlinien des Herausgebers für Ersatzkarten befolgen, solange diese Fragen noch ungeklärt sind. Durch das Durchtrennen des Chips und des Magnetstreifens oder die Verwendung eines vom Aussteller genehmigten Rückgabeverfahrens wird der für den gemeldeten Angriff erforderliche physische Berechtigungsnachweis entfernt. Man sollte nicht daraus schließen, dass jede abgelaufene Karte anfällig ist, dass Zahlungen per Chip betroffen sind oder dass digitale Geldbörsen generell immun sind. Das bereitgestellte Material lässt diese Fragen offen und liefert keine unabhängig erstellte Schätzung der Gefährdung des einzelnen Karteninhabers.
