כרטיס האשראי שפג תוקפו, זה שזרקתם לפח או שכחתם במגירה, עדיין יכול לשלם. חוקרים מאוניברסיטת מסצ'וסטס באמהרסט הראו איך אפשר לגרום למסוף בחנות לקבל כרטיס ויזה ללא מגע (תשלום בקירוב הכרטיס למכשיר, בלי להעביר או להכניס אותו) חודשים אחרי תאריך התפוגה המודפס עליו, ובלי לשבור שום הצפנה. הם קראו לזה Zombie Card, והציגו את זה בכנס האבטחה USENIX באמצע אוגוסט.

מה קרה

כדי שהתקיפה תעבוד צריך להחזיק פיזית בכרטיס שפג (או להישאר צמוד אליו עם קורא NFC), ולהעמיד רכיב שיושב בין הכרטיס למסוף ומשנה את מה שעובר ביניהם. הליקוי עצמו נובע מפרט טכני: תאריך התפוגה מופיע פעמיים בעסקה, וכל עותק נבדק על ידי גורם אחר. את העותק שהמסוף קורא, בשיטת התשלום של ויזה, אף אחד לא חותם עליו קריפטוגרפית, ולכן הרכיב שיושב באמצע יכול לשכתב אותו לכל תאריך עתידי מבלי לפגוע בחתימה של הכרטיס. התוקף אפילו לא צריך לדעת מה התאריך האמיתי, כל תאריך שעוד לא עבר מספיק.

החוקרים בדקו את זה מול חמישה בנקים אמריקאים. משלושה שנבדקו עם כרטיסים פיזיים, אחד אישר את העסקאות "המחודשות", אחד דחה כל ניסיון, ואצל השלישי השיטה נכשלה. אותו שינוי נכשל גם מול Mastercard, ‏American Express ו-Discover, כי שם התאריך קשור לבדיקה קריפטוגרפית שנשברת ברגע שנוגעים בו. בפועל הם השלימו קניות של דולר, מאה דולר וחמש מאות דולר על מסוף שלהם, ועוד כמה דולרים בקופה של חנות ושל מכולת אמיתיות.

חשוב לומר מה עדיין לא ידוע: התופעה לא זוהתה בשטח, לא הוקצה לה מספר CVE, וויזה עדיין לא פרסמה תיקון או המלצה. לפי המאמר, הדיווח שהחוקרים מסרו לחברה במאי 2025 נמצא בבדיקה חוזרת אצל צוות התקיפה הפנימי שלה.

למה זה חשוב לכם

כרטיסי ויזה ללא מגע נמצאים כמעט בכל ארנק בישראל, וכאן חשוב לא להיבהל: זו לא תקיפה שקורית מרחוק על כרטיס שיושב לכם בכיס. צריך את הכרטיס הפיזי, צריך את הרכיב באמצע, וצריך שהחשבון יישאר פתוח תחת אותו מספר, מה שקורה בדרך כלל כשהבנק שולח כרטיס מחליף. התרחיש המעשי הוא כרטיס ישן שנזרק שלם בזמן שמספר החשבון ממשיך לחיות בכרטיס החדש.

מה עושים?

כשכרטיס פג תוקף, אל תזרקו אותו שלם. חתכו לרוחב את השבב ואת הפס המגנטי לפני שמשליכים, לא רק שוברים את הפלסטיק לשניים.

המשיכו לעקוב אחרי דפי החיוב גם אחרי שקיבלתם כרטיס מחליף, כי מספר החשבון לרוב עובר לכרטיס החדש.

ראיתם חיוב שאתם לא מזהים? דווחו מיד לחברת האשראי. על הונאה שדיווחתם עליה אתם לא אחראים.

התיקון האמיתי נמצא בידיים של ויזה, לא בידיים שלכם. עד שיגיע, כרטיס ישן שנחתך היטב שווה יותר מכרטיס ישן ושלם שנשכב בפח.