A Massachusettsi Amherst Egyetem kutatói a USENIX Security 2026 konferencián mutatták be tanulmányukat, amely a „zombikártyák” témáját járta körül. A kutatók felfedezték, hogy a tolvajok biztonsági kiskapukon keresztül „továbbra is használhatják az áldozat lejárt hitelkártyáját, annak ellenére, hogy az áldozat már másik kártyát kapott”.A háttérben az áll, hogy a hitelkártyaszámlák nem járnak le a fizikai kártyával együtt; például ha valaki egy korábbi vásárlása után visszatérítést kap, az lejárt kártya esetén is megérkezik a számlájára. Éppen ez gondolkodtatta el a kutatókat: ha a régi kártyával végzett tranzakciónál él a visszatérítés lehetősége, akkor vajon fizetni is lehetne vele?Néhány hitelkártya esetében „igen” választ kaptak a kérdésre. Taqi Raza adjunktus és kollegái egy olyan rendszert fejlesztettek ki, amelyik két, kereskedelmi forgalomban kapható androidos okostelefont és egy alapvető emulátorszoftvert használ, hogy megtévessze az üzletben található kártyaolvasót, hogy az azt higgye, a lejárt kártya aktív.A módszert, leegyszerűsítve, a következőképpen kell elképzelni. Az egyik telefon a lejárt hitelkártya közelében van. Beolvassák a lejárt bankkártya NFC-chipjét. A kártyán tárolt lejárati dátum nincs titkosítva (nincs kriptográfiailag védve), így az könnyen módosítható. Az adatokat átküldik a második telefonra, amin átírják a lejáratot egy tetszőleges jövőbeli dátumra, majd a második telefont odaérintik a bolti terminálhoz. Ez a telefon bankkártyának tűnik a POS-terminál számára, és a pénztáros is csak annyit lát, hogy valaki a telefonjával fizet.A sikeres laboratóriumi kísérletYouTube/Raja Hasnain AnwarE módszer során tehát egyik telefon sem „töri fel” a kártyát. Az első telefon a kártyával kommunikál, a második a pénztárral, és a kettő között továbbítják az üzeneteket, közben pedig az egyik adatot átírják. A kutatók szerint arra sincs szükség, hogy ismerjék a lecserélt kártya valódi lejárati dátumát, bármilyen jövőbeli dátum megfelelő lehet.A módszer azért fifikás, mert a POS terminál azt „látja”, hogy még nem járt le a kártya, tehát nem utasítja azt el, a bank pedig megkapja a tranzakció hitelesítéséhez szükséges kriptográfiai adatokat, amelyek továbbra is a régi kártyától származnak. „Érdekes ellentmondás, hogy bár kártyán nyomtatott és tárolt lejárati dátum az egyetlen módja annak, hogy a POS megtudja, hogy a kártya aktív vagy lejárt-e, ezt mégsem védik titkosítással” – idézi az egyetem híre Raja Hasnain Anwart, a módszert részletező tanulmány vezető szerzőjét.Ezek után a banktól várnánk, hogy észreveszi a csalást,azonban nem minden bank veti össze a terminál által leolvasott lejárati dátumot a hitelesített adatokkal. Ha nincsenek más biztonsági intézkedések a kártya életciklus-állapotának újbóli ellenőrzésére, a csalárd tranzakció sikeres lesz. A kutatók bebizonyították, hogy ez a módszer mind a laboratóriumban, mind a szabadban, például vendéglátóhelyeken és élelmiszerboltokban is működik.Azonban nem minden kártyát érintett egyformán. A kutatók azt is hangsúlyozták, hogy észrevételeik nem jelentik automatikusan azt, hogy minden lejárt bankkártya támadható – ez a sebezhetőség kártya-/hálózat-/terminálfüggő, és a digitális pénztárcák további védelmei is akadályozhatják.Bár a szakemberek értesítették a nagyobb kártyatársaságokat a felfedezésükről, nyomatékosan javasolják, hogy ha valakinek lejárt a kártyája, akkor tegye használhatatlanná, lehetőleg úgy, hogy tegye tönkre a beágyazott chipet. Ezen kívül vágja apró darabokra a kártyát, és ezeket a darabkákat akár különböző napokon dobja a szemétbe.Ha máskor is tudni szeretne hasonló dolgokról, lájkolja a HVG Tech rovatának Facebook-oldalát.