Cardurile bancare expirate ar putea fi mult mai periculoase decât se credea până acum. Cercetători de la Universitatea Massachusetts Amherst au descoperit o vulnerabilitate serioasă în sistemele de plată, care permite ca anumite carduri de credit expirate să fie „readuse la viață” și folosite pentru cumpărături, scrie Novinite. Descoperirea pune sub semnul întrebării convingerea larg răspândită că un card bancar devine automat inutilizabil după expirare.
Studiul, prezentat la conferința internațională USENIX Security 2026, arată că, în anumite condiții, infractorii pot efectua plăți neautorizate cu carduri furate sau pierdute, chiar și după ce titularii au primit carduri noi.
Cercetătorii au numit fenomenul „carduri de credit zombie”, deoarece aceste instrumente de plată pot continua să funcționeze deși, oficial, au expirat.
Potrivit lui Taqi Raza, de la Colegiul de Inginerie al Universității Massachusetts, problema ține de felul în care funcționează infrastructura bancară. Expirarea cardului fizic nu înseamnă neapărat închiderea contului bancar asociat.
De exemplu, dacă un client returnează un produs, banii pot fi rambursați în contul său chiar dacă cardul cu care a plătit nu mai este valabil. Acest lucru i-a determinat pe cercetători să își pună o întrebare: dacă un card expirat poate primi rambursări, este posibil să fie folosit și pentru plăți noi?
În cazul anumitor carduri, răspunsul s-a dovedit a fi afirmativ.
Pentru a demonstra vulnerabilitatea, cercetătorii au creat un sistem format din două smartphone-uri obișnuite și un software care emulează plățile contactless.
Metoda se bazează pe tehnologia NFC, care permite schimbul de date pe distanțe foarte mici și este folosită pe scară largă la plățile prin apropierea cardului sau a telefonului de terminal.
Primul telefon comunică cu cardul fizic și extrage datele necesare plății, inclusiv data de expirare. Apoi, printr-o conexiune intermediară, informațiile ajung la al doilea telefon, care modifică data de expirare înainte ca datele să fie transmise terminalului de plată. Astfel, dispozitivul poate păcăli terminalul că, de fapt, cardul este încă activ.
Raja Hasnain Anwar, doctorand în cadrul laboratorului Khwarizmi și autorul principal al studiului, explică faptul că unul dintre cele mai îngrijorătoare aspecte ale atacului este că infractorii nu trebuie să cunoască data reală de expirare a noului card.
Potrivit lui, este suficient să fie introdusă o dată oarecare din viitor pentru ca, în anumite condiții, tranzacția să fie procesată cu succes.
Motivul este că informația despre data de expirare, folosită de terminalul de plată, nu este protejată criptografic astfel încât să împiedice o asemenea manipulare.
„Data de expirare, tipărită și stocată pe card, este singura modalitate prin care terminalul de plată poate stabili dacă acesta este activ sau nu. Această informație nu este însă protejată criptografic. De aceea, o putem modifica ușor și putem păcăli terminalul”, explică Anwar.
Pentru un observator din exterior, o astfel de plată nu s-ar deosebi practic de o tranzacție obișnuită făcută cu un portofel digital.
De ce băncile nu detectează întotdeauna frauda
La prima vedere, sistemele bancare ar trebui să respingă automat orice plată făcută cu un card expirat. Studiul arată însă că acest lucru nu se întâmplă mereu.
Unele bănci nu compară data primită de la terminal cu datele verificate în mod sigur ale cardului. Dacă lipsesc verificări suplimentare ale stării cardului, tranzacția poate fi aprobată.
Cercetătorii au identificat și o altă problemă importantă. Cardurile bancare au o a doua dată de valabilitate, diferită de cea tipărită pe card. Aceasta este legată de certificatul digital al cheii de securitate folosite pentru autentificarea comunicării dintre card și sistemul de plată.
S-a constatat că acest certificat rămâne adesea valabil mai mult timp decât cardul însuși. Astfel, terminalul poate stabili o comunicare securizată cu un card a cărui dată oficială de valabilitate a expirat deja.
Potrivit cercetătorilor, tocmai diferențele dintre aceste mecanisme de verificare creează oportunități pentru abuzuri.
Vulnerabilitatea, confirmată și în magazine reale
Echipa de cercetare nu s-a limitat la experimente de laborator. Cercetătorii au demonstrat cu succes atacul și în condiții reale, inclusiv în restaurante și magazine alimentare locale. Testele au arătat că vulnerabilitatea poate fi exploatată pe diferite modele de terminale de plată.
Nu toate cardurile de credit sunt însă afectate în aceeași măsură. Rezultatele depind de cardul respectiv, de infrastructura de plată folosită și de verificările efectuate de bancă.
Cercetătorii au constatat, de asemenea, că portofelele digitale au mecanisme de securitate suplimentare, care le fac mai rezistente la acest tip de atac.
Asta nu înseamnă însă că portofelele electronice sunt complet sigure. Studii anterioare ale aceluiași laborator au identificat alte vulnerabilități potențiale în cazul lor.
Potrivit cercetătorilor, cauza principală a problemei ține de felul în care sistemele de plată au evoluat de-a lungul anilor.
Astăzi, procesarea unei tranzacții depinde de mai mulți participanți independenți: cipul cardului, terminalul de plată, rețelele de carduri precum Visa și Mastercard și banca emitentă.
Fiecare dintre aceștia face verificări diferite, iar nepotrivirile dintre mecanismele de securitate pot crea breșe pentru infractorii cibernetici.
„Odată cu dezvoltarea inteligenței artificiale, atacatorilor le este tot mai ușor să descopere astfel de nepotriviri și să găsească metode de a le exploata, ceea ce poate pune în pericol milioane de carduri de credit”, avertizează Anwar.
Marile companii de carduri au fost deja informate despre vulnerabilitate.
Experții avertizează că utilizatorii nu ar trebui să considere expirarea cardului o garanție că acesta este complet sigur.
Este deosebit de riscant ca un card vechi să fie aruncat intact, deoarece, dacă ajunge pe mâini străine, poate fi folosit pentru plăți neautorizate.
Cercetătorii recomandă câteva măsuri de bază de protecție:
- Distrugeți cipul cardului vechi, tăindu-l sau deteriorându-l fizic.
- Tăiați banda magnetică, eventual după ce o demagnetizați.
- Distrugeți numărul cardului, numele și celelalte date, astfel încât să nu poată fi reconstituite ușor.
- Aruncați bucățile în locuri diferite, pentru a îngreuna eventuala lor recuperare.
- Verificați extrasele bancare, inclusiv după înlocuirea cardului sau închiderea contului de credit.
- Dacă observați o tranzacție suspectă, anunțați imediat banca și cereți verificarea acesteia.
- În cazul cardurilor metalice, contactați instituția financiară emitentă pentru instrucțiuni privind distrugerea lor în siguranță.
Specialiștii subliniază că nici închiderea definitivă a unui card de credit nu elimină necesitatea de a urmări eventualele operațiuni ulterioare din cont.
