Jak ukrást peníze z neplatné platební karty. Experti přišli na nový primitivní trik
Foto: Pexels
3 min
Bezpečnostní výzkumníci z americké univerzity předvedli útok, při němž oživili propadlé platební karty a úspěšně za ně nakoupili. Starou kartu v šuplíku byste proto nikdy neměli podceňovat.
Reklama
Prošlá karta neznamená mrtvý účet
Tým expertů z University of Massachusetts Amherst objevil kritickou bezpečnostní díru, která umožňuje zneužít vyřazené bezkontaktní platební karty i měsíce po vypršení jejich platnosti. Výsledky prezentovali na konferenci USENIX Security 2026 a upozornili na ně servery TheHackerNews, HelpNetSecurity i Malwarebytes.
Základní problém tkví v architektuře platebních karet. Datum vytištěné na plastu sice propadne, ale kreditní účet navázaný na číslo karty zůstává aktivní. Digitální certifikát integrovaný v čipu karty navíc zůstává platný mnohem déle než datum na povrchu – proto čip dokáže navázat šifrovanou komunikaci s terminálem i po formální expiraci.
Celý výzkum odstartovala prostá otázka docenta Muhammada Taqi Razy: „Pokud může prošlá karta stále přijímat refundace, dokáže také platit?"
Jak útok funguje a kdo je v ohrožení
Výzkumníci testovali bezkontaktní karty Visa, Mastercard, Discover a American Express od pěti velkých amerických bank na různých terminálech v obchodech. Zjistili, že u některých karet dokážou oklamat platební terminál tak, aby viděl jimi nastavené datum platnosti místo skutečného.
Výzkumníci vytvořili systém ze dvou smartfonů. První aktivuje kartu a získá z ní platební údaje včetně neplatného data. Druhý telefon připojený přes Wi-Fi tyto informace zachytí, přepíše datum expirace na libovolné budoucí a odešle je do terminálu. Když se tento telefon přiloží k čtečce, podvodná transakce může projít.
Visa má problém, ostatní jsou v bezpečí
Výsledky testů ukázaly zásadní rozdíly mezi platebními asociacemi. Konfigurace Mastercard, American Express a Discover upravené údaje o expiraci typicky odmítly – tyto systémy totiž spojují datum s kryptografickou kontrolou, kterou by manipulovaný údaj prolomil.
Nejzranitelnější byly karty Visa. Konkrétně bezkontaktní protokol Visa (tzv. Kernel 3) nemá datum expirace kryptograficky svázáno s ostatními daty transakce. I zde se ale situace lišila podle vydavatelů – některé transakce byly zamítnuty nebo vyzvaly k výměně karty, jiné prošly bez problémů.
Co dělat se starou kartou a kdo za to zodpovídá
Reálné zneužití má několik podmínek: útok vyžaduje fyzické vlastnictví propadlé karty, účet musí zůstat otevřený pod stejným hlavním číslem a vydávající banka nesmí nezávisle kontrolovat datum během autorizace. Vědci funkčnost prokázali v laboratoři i v reálných obchodech – restauracích a potravinách.
Experti v uplynulých měsících informovali společnost Visa i dotčené banky o svých zjištěních a dodali kompletní materiály. Ani Visa, ani banky však do publikace nepotvrdily opravu.
Jak se bránit? Starou kartu je nutné kompletně zničit – demagnetizovat, rozbít zabudovaný čip kladivem nebo kartu rozstříhat nůžkami a kousky vyhodit nejlépe do různých košů. Doporučuje se také nahlásit finanční instituci i ztracenou propadlou kartu místo toho, abyste ji považovali za neškodnou.
Hlavní zodpovědnost však leží na platebních sítích, implementacích terminálů a vydavatelích, aby zabezpečili integritu údajů o expiraci a aby autorizační systémy odmítaly údaje o vyřazených kartách.
