タッチ決済カードは有効期限が過ぎても利用可能

マサチューセッツ大学アマースト校の研究者が、
タッチ決済カードは有効期限が過ぎてもタッチ決済利用可能と突き止めました。

Zombie Cards Back Online: Reviving Expired Credit Cards for Contactless Payments

タッチ決済カードは有効期限を過ぎると使えなくなると思われています。
実際には有効期限のチェックは銀行側が行う取引ポリシー上の判定であり、
カード自体に組み込まれた性質ではないため、
期限切れカードでも非接触決済を開始できてしまうとのこと。

研究者は、期限切れカードを有効期限内であるかのように見せかけて決済を成立させる、「ゾンビカード」攻撃を実験。
この攻撃は、Visa、Mastercard、Discoverなどの複数のEMVカーネル、POS端末、加盟店、米国の主要銀行5行などの実際の取引環境で行われています。

実験で以下の脆弱性が分かったそうです。

Visaのタッチ決済は、有効な改ざん防止機構が欠けているため、中間者攻撃による改ざんに対して脆弱。

銀行側は決済を高速化するため、POS端末の判断に依存し、取引認証時の重要なセキュリティチェックを省略していることが多い 。

市販のNFCトランシーバーのみで攻撃が可能。
特殊な機材を使わずとも一般的な店舗でゾンビカード攻撃が成立。