- Bezprawnik -
- Finanse -
- Wyrzuciłeś przeterminowaną kartę? Badacze pokazali, że wciąż może nią zapłacić ktoś inny
Wyrzuciłeś przeterminowaną kartę? Badacze pokazali, że wciąż może nią zapłacić ktoś inny
Wygasłą kartę zwykle wyrzuca się bez namysłu, traktując ją jak kawałek martwego plastiku. Badacze z University of Massachusetts Amherst pokazali jednak, że część zbliżeniowych kart Visa da się „wskrzesić" i zapłacić nimi już po dacie ważności. Dla rynku takiego jak polski, gdzie zbliżeniowo płaci się niemal wszędzie i przy każdej okazji, to sygnał, który warto rozłożyć na czynniki pierwsze.
Wyniki zaprezentowano na sierpniowej konferencji USENIX Security 2026, jednej z najważniejszych imprez poświęconych bezpieczeństwu systemów informatycznych. Zespół w składzie Raja Hasnain Anwar, Gerard DeCunha i Muhammad Taqi Raza opisał je w pracy o wymownym tytule „Zombie Cards Back Online: Reviving Expired Credit Cards for Contactless Payments". Nazwa nie jest przypadkowa: chodzi dokładnie o karty, które formalnie są już nieważne, a mimo to potrafią przejść przez terminal.
Martwa karta, która wciąż płaci. Na czym polega luka w kartach Visa
Sednem sprawy jest sposób, w jaki systemy płatnicze sprawdzają datę ważności karty przy transakcji zbliżeniowej. Standard EMV (skrót od Europay, Mastercard, Visa) opiera się na wymianie danych między kartą a terminalem przez interfejs NFC, przy czym część tych danych jest przesyłana otwartym tekstem, a dopiero później wiązana z kryptograficznym potwierdzeniem. To właśnie w tej szczelinie zmieściła się demonstracja badaczy.
Każda organizacja płatnicza (American Express, Discover, Mastercard, Visa) uruchamia własną implementację protokołu, tak zwany kernel. Autorzy zwrócili uwagę, że kernel Visy jest pod jednym względem bardziej pobłażliwy od pozostałych: nie wiąże daty ważności karty kryptograficznie. W praktyce terminal odczytuje jedną datę ważności, a bank wydający kartę opiera się przy autoryzacji online na dacie pochodzącej z innego pola. Te dwie wartości powinny być ze sobą kryptograficznie powiązane, a nie są. Ta rozbieżność pozwoliła zbudować atak typu man in the middle, w którym rolę pośrednika przejmują dwa telefony działające jako proxy NFC i podmieniają to, co „widzi" terminal, zostawiając zwykłe zabezpieczenia karty pozornie nienaruszone.
Co istotne, konfiguracje Mastercard, American Express i Discover oparły się próbie. Podatne okazały się karty zbliżeniowe Visa, choć i tu skuteczność zależała od jednego dodatkowego ogniwa.
Dlaczego akurat Visa i dlaczego nie zawsze
Ponieważ Visa przerzuca ostateczną weryfikację na bank, powodzenie ataku zależało od tego, jak konkretna instytucja obsługuje autoryzację. Część testowanych banków dała się nabrać, część nie. To nie jest więc luka, która automatycznie otwiera każdą wygasłą kartę, lecz podatność zależna od decyzji projektowych po stronie wydawcy.
Sami autorzy nie mówią o „złym" projekcie, tylko o kompromisie. Jak wyjaśnił Raja Hasnain Anwar, główny autor badania i doktorant na UMass Amherst, w korespondencji z serwisem The Register, część mechanizmów bezpieczeństwa jest świadomie pomijana, żeby transakcja była szybsza i płynna oraz kompatybilna ze starszymi terminalami. „Sprowadza się to do kompromisu między wydajnością a bezpieczeństwem, co często pozostawia miejsce na tego rodzaju podatność. Żaden projekt nie jest z gruntu zły", stwierdził badacz (tłumaczenie własne z wypowiedzi udzielonej po angielsku).
Twórcy pracy poinformowali Visę o ustaleniach w maju 2025 roku i wrócili do sprawy w grudniu. Do momentu publikacji ani organizacja płatnicza, ani powiadomione banki nie potwierdziły, że problem z datą ważności został załatany. Visa nie odpowiedziała też od razu na prośbę The Register o komentarz.
Co to znaczy nad Wisłą?
Polska jest jednym z najbardziej „zbliżeniowych" rynków w Europie. Płacenie kartą, telefonem czy zegarkiem stało się odruchem, a limit transakcji bez PIN wynosi obecnie 100 złotych (podniesiony z 50 złotych w czasie pandemii). To wygoda, za którą stoi jednak dokładnie ten sam mechanizm, który badacze wzięli pod lupę: przy drobnych kwotach system stawia na płynność, a nie na maksymalną liczbę kontroli.
Praktyczny scenariusz, który wyłania się z badania, jest przyziemny. Chodzi o wygasłą kartę Visa, którą ktoś po prostu wyrzucił, zakładając, że nic już nie jest warta. Sam trend odchodzenia od najbardziej podatnych elementów plastiku jest znany od lat, czego przykładem był ogłaszany przez Mastercard koniec z paskiem magnetycznym na karcie. Tyle że tu problem dotyczy nie paska, a logiki weryfikacji daty ważności przy zwykłej transakcji zbliżeniowej. Pytanie, jak odzyskać pieniądze ze skradzionej karty, wraca więc w nowej odsłonie, bo „skradziona" bywa dziś także karta, która trafiła do kosza.
Warto zachować proporcje. To wciąż demonstracja badawcza, wymagająca fizycznego dostępu do karty, odpowiedniego sprzętu i ustawienia się w roli pośrednika przy niskokwotowych płatnościach. Nie jest to narzędzie do masowego drenowania kont. Nie zmienia to jednak wniosku, że wygasłej karty nie należy traktować jak zwykłego śmiecia. Bezpieczniej jest przeciąć chip i moduł zbliżeniowy przed wyrzuceniem.
Nieautoryzowana transakcja kartą: co mówi polskie prawo?
Z perspektywy konsumenta najważniejsze jest to, co dzieje się, gdy na rachunku pojawia się operacja, której właściciel karty nie zlecił. Polskie przepisy są tu po stronie klienta. Zgodnie z art. 46 ustawy o usługach płatniczych bank ma obowiązek zwrócić kwotę nieautoryzowanej transakcji niezwłocznie, najpóźniej do końca następnego dnia roboczego po zgłoszeniu (tak zwana zasada D+1). Dodatkowo to na banku, a nie na poszkodowanym, spoczywa ciężar udowodnienia, że transakcja rzeczywiście została autoryzowana.
W praktyce zwrot pieniędzy za nieautoryzowane transakcje bywa jednak trudniejszy, niż wynika to z litery przepisów. Banki potrafią odmawiać wypłaty, powołując się na rzekome niedbalstwo klienta albo na poprawną autoryzację, której nie są w stanie wykazać. Kierunek dla poszkodowanych wyznaczył przełomowy wyrok w sprawie nieautoryzowanych transakcji, w którym Sąd Okręgowy w Łodzi uznał, że samo powołanie się na procedurę autoryzacji niczego nie przesądza, a to instytucja musi udowodnić prawidłowe zatwierdzenie operacji. Mechanika bywa różna, od phishingu po kradzież pieniędzy przez internet, ale reguła odpowiedzialności pozostaje ta sama.
Odpowiedzialność klienta za operacje sprzed zgłoszenia utraty instrumentu płatniczego jest przy tym ograniczona do równowartości 50 euro, o ile nie doszło do rażącego niedbalstwa. Przy płatnościach zbliżeniowych bez PIN trudniej zresztą przypisać konsumentowi takie niedbalstwo, skoro sama metoda z założenia rezygnuje z dodatkowego zabezpieczenia kodem. Cały system opiera się dodatkowo na wymogu silnego uwierzytelniania klienta (SCA), wynikającym z unijnych regulacji, którego okresowe stosowanie przy transakcjach zbliżeniowych ma wyłapywać właśnie nietypowe sytuacje.
W tym konkretnym przypadku sporo zależy od banków. To one, przy autoryzacji online, decydują, czy „zombie karta" przejdzie, czy zostanie odrzucona. Dopóki Visa nie potwierdzi naprawy powiązania daty ważności, ostatnią linią obrony pozostają procedury po stronie wydawców i czujność samych posiadaczy kart.
