期限切れクレジットカードを蘇生させる「ゾンビカード攻撃」について研究者らが報告

期限切れクレジットカードを蘇生させる「ゾンビカード攻撃」について研究者らが報告

The Register – Tue 18 Aug 2026

クレジットカードは通常、有効期限が近づくと新しいものが手元に届き、その後古いものは使用できなくなるはずだが、ペイメントシステムの各セクション間で有効期限のチェック方法に違いがあることにより、期限切れのカードを使った購入が可能になる場合があるという。マサチューセッツ大学アマースト校の研究者らが、非接触型決済（タッチ決済）時における期限切れカードを用いた中間者攻撃「ゾンビカード攻撃」のテスト結果を共有している。

非接触型決済には、カード自体と店舗の決済端末、加盟店側の銀行、VisaやMastercardなどの決済ネットワーク、そしてカード所有者の銀行が関わっている。そして各々が、カード有効可否を判定する過程の一部をそれぞれ担う。しかし、一連の過程で使用されるEMVプロトコルでは、データの一部がカードと端末の間で平文で送信され、その後になって初めて、オフラインデータ認証（ODA）およびイシュアー（カード発行者）による暗号文の検証を通じて暗号的な検証と結びつけられる。研究者らによれば、このように取引フローが選択的に認証されるため、このプロトコルは中間者攻撃の余地を与えているのだという。

EMVプロトコルはEMVカーネルに実装されており、American Express、Discover、Mastercard、およびVisaは、それぞれ独自のカーネルを運用している。しかし研究者らによるとVisaのカーネルは他社に比べてやや寛容な仕様となっており、このカーネルでは有効期限が暗号的に固定されていないという。

具体的には、Visaのカーネルでは、POS端末が「アプリケーション有効期限（Application Expiration Date）」に基づいて処理制限を評価できるようになっている。しかし、イシュアー側では、オンライン承認リクエスト内の別のデータフィールドに記載された有効期限に基づいて判断を行う。これら2つの日付は本来暗号的に紐付けられるべきだが、実際にはそうなっていないとされる。

研究者らは、このギャップを突くために有効期限切れの自身のカードと、NFCプロキシとして使う用のAndroidスマートフォンを2台用意。1台をカードエミュレーター、もう1台をPOSエミュレーターとし、NFCリレーのセットアップを行い、制限された環境下で中間者攻撃のテストを実施した。

＜テストされた攻撃の大まかな流れ＞

• ①2024年に有効期限が切れているカードを用意。
• ②カードと決済端末の間にNFCリレーを配置し、決済端末が読み取る有効期限の値を、本来の2024年のものからテスト実施日以降の値へ変更。
• ③変更された値は、このVisaの設定でチェックされる署名の範囲外であるため、端末の通常の暗号チェックではその変更が検出されない。
• ④決済情報は有効なカードの暗号文と共にイシュアーに届く一方で、決済端末が認識する有効期限とイシュアーが把握する有効期限は、確実に紐付けられているわけではない。このため、銀行には必要な警告が届かない可能性がある。
• ⑤結果はイシュアによって異なり、当該カードのステータスを確認する銀行であれば、支払いを拒否する可能性がある。一方で、主に有効な口座情報のみを確認する銀行であれば、支払いを承認する可能性がある。なお、研究者らは支払いが承認されるケースを映したデモ動画を公開している。

研究者らは、米国の大手銀行5行が発行するVisa、Mastercard、Discover、American Expressの各カードに加え、Apple PayおよびGoogle Payも対象にテストを実施。すると、テストされたVisaの設定では攻撃の影響を受ける可能性があることがわかったが、テストされたMastercard、American Express、Discoverの設定では、改ざんされた有効期限情報は拒否された。また銀行によっても対応は異なっており、支払いを拒否したり、カードの再発行を求めたりした銀行もあれば、支払いを承認した銀行もあったという。研究者らは、この結果のばらつきこそが「重要な教訓」であると指摘。「保護はプラスチック製のカード単体ではなく、決済チェーン全体に依存している」点を強調した。

研究者らによると、2025年5月にVisaに調査結果を通知し、2025年12月にフォローアップを行ったという。しかしVisaも通知を受けた銀行も、有効期限の問題が解消されたかどうかを公には共有していない。なお、The RegisterはVisaにコメントを要請したが、すぐには回答が得られなかったとのこと。