Een verlopen contactloze betaalkaart opnieuw laten werken? Onderzoekers van de University of Massachusetts Amherst laten zien dat dit in specifieke situaties mogelijk is met een aanval die ze “Zombie Card” noemen. De crux van Zombie Card NFC is dat de vervaldatum die de betaalterminal gebruikt, kan worden aangepast via een NFC-constructie—zonder dat de cryptografie op de kaart zelf wordt doorbroken.
De publicatie benadrukt dat het geen “magische hack” is die overal en altijd werkt. Het scenario vraagt om fysieke toegang tot de kaart (of langdurige NFC-nabijheid), een man-in-the-middle (MitM) relay tussen kaart en terminal en bepaalde voorwaarden aan de kaartstatus bij de issuer.
Wat is de Zombie Card NFC-aanval precies?
Volgens het onderzoek wordt de kaart niet technisch gekraakt; in plaats daarvan wordt een specifieke datawaarde gemanipuleerd. De betaalterminal leest namelijk de Application Expiration Date (via een TLV-tag, aangeduid als 5F24). Met de aanval wordt deze datum zo aangepast dat deze lijkt op een toekomstige geldige vervaldatum.
Belangrijk: de onderzoekers stellen dat de wijziging de onderliggende cryptografische validaties niet breekt. De kaart blijft zijn normale handtekeningen en issuer-geverifieerde cryptogrammen afgeven, omdat de “echte” cryptografische componenten niet afhankelijk zijn van de applicatievervaldatum.
Waar zit het zwakke punt: twee vervaldatums, verschillende rollen
Het paper beschrijft dat “expiry” in een Visa contactloze transactie twee keer voorkomt, maar door verschillende partijen anders wordt verwerkt. De terminal kijkt naar de waarde in 5F24 (terminalzijde), terwijl de issuer de vervaldatum afleidt uit Track 2 Equivalent Data (tag 57) die in de online autorisatieaanvraag meegaat.
De onderzoekers geven aan dat in Visa Kernel 3 de twee representaties niet cryptografisch aan elkaar hoeven te zijn gekoppeld, en dat de fast Dynamic Data Authentication (fDDA) die de terminal verifieert, 5F24 niet meeneemt in de gecontroleerde handtekening. Daardoor kan een relay de terminal-waarde wijzigen terwijl de cryptografische checks “slagen” op basis van de data die niet wordt aangepast.
Benodigdheden en aanvalsscenario
Zombie Card NFC vereist meer dan alleen een verlopen kaart. De aanpak vraagt om:
- fysieke possession van de verlopen kaart, of aanhoudende NFC-proximity
- een NFC relay als man-in-the-middle tussen kaart en betaalterminal
- een voorwaarde dat het bijbehorende account open blijft en nog werkt binnen dezelfde primary account number (PAN)
- het feit dat de issuer bij autorisatie niet onafhankelijk een hercheck doet op de vervaldatum
De onderzoekers noemen ook een praktische voorwaarde: de aanvaller hoeft niet de exacte vervaldatum van een eventueel “vervangende” kaart te kennen. Elke datum die later is dan de transactie-datum is in hun experimenten voldoende.
Resultaten per bank en per EMV “kernel”
Het onderzoek beschrijft evaluaties bij meerdere Amerikaanse banken. De exacte banken worden geanonimiseerd als A tot en met E. In de experimenten met verlopen en vervangen fysieke kaarten werden meerdere uitkomsten gezien: van goedkeuring tot weigering en één kernel waarbij de wijziging niet werkte.
Daarnaast testten de onderzoekers de bewerking tegen verschillende EMV contactless kernels (de netwerk- en implementatiespecifieke varianten). De resultaten verschilden per kernel:
- Visa (Kernel 3): de wijziging passeerde de processing restrictions van de terminal en invalideerde de signature niet, omdat 5F24 niet in de signed data zat.
- Mastercard (Kernel 2): de terminal controleert consistentie tussen de twee expiry-representaties; bij mismatch wordt de kaartdata als fout beschouwd en wordt afgewezen.
- American Express (Kernel 4): de vervaldatum is gebonden in statische data die onder offline data authentication valt; dit leidde tot een hash mismatch en mislukte de validatie.
- Discover (Kernel 6): Combined Dynamic Data Authentication bindt de TLV-objecten in een geverifieerde transactiegeluid; gemodificeerde transacties werden afgewezen.
Er was dus niet één universele “workaround”, maar vooral een verschil in hoe systemen de vervaldatum verifiëren en welke velden cryptografisch worden afgedekt.
Hoe werd de relay uitgevoerd?
De relay bestond uit twee Android-telefoons die elk als NFC-capable card-emulator en POS-emulator werden ingezet, met communicatie over Wi‑Fi. Daarmee konden de onderzoekers de waarde die de terminal ziet aanpassen, terwijl de rest (zoals Track 2) ongemoeid blijft.
Qua timing voegden de APDU-omzettingen extra vertraging toe. In het testopzet kwam het neer op een per-transactie gemiddelde van ongeveer 415 milliseconden, terwijl er een limiet is van 500 milliseconden per command. De onderzoekers melden ook dat de testbedden geen gebruik maakten van EMV’s optionele Relay Resistance Protocol (RRP), dat onder andere response-time grenzen bewaakt.
Countermeasures: wat volgens het paper zou moeten
Het paper beschrijft meerdere tegenmaatregelen op het niveau van kernels, terminals en issuers. De rode draad is: zorg dat vervaldatums niet “los” of alleen op terminalzijde worden beoordeeld, maar cryptografisch of met issuer-zichtbare signalen worden afgedekt.
- Bind expiry-kritische data door de Application Expiration Date en relevante verificatievelden cryptografisch te koppelen aan een issuer-verifieerbare handtekening (onder offline data authentication) of op te nemen in een kernel-defined transaction hash die bij in-flight wijziging faalt.
- Vergelijk de twee expiry-representaties wanneer kernels meerdere waarden blootleggen. Als terminalwaarde en issuer-facing waarde niet overeenkomen, moet dat resultaat aan de issuer zichtbaar worden.
- Autoriseer op een PAN + expiry tuple. Issuers zouden de gepresenteerde expiry als onderdeel van credential identity moeten behandelen en afwijzen bij mismatch met het geldige credential bij die PAN.
- Behoud en stuur terminalvalidatiesignalen door, zodat de issuer niet “blind” is voor het resultaat van lokale checks rond expiry.
Praktisch advies voor kaarthouders
Los van patches en bankmaatregelen noemt het onderzoek als guidance voor kaarthouders: vernietig de chip en magneetstrip van verlopen kaarten in plaats van ze alleen weg te gooien. Daarnaast adviseert het paper om aandacht te houden voor kaarten die met een gesloten accountstatus verbonden blijven.
Omdat de aanval afhankelijk is van kaartstatus en issuer-gedrag, helpt het voorkomen van hergebruik vooral door kaarten echt onbruikbaar te maken.
Wat betekent dit voor de sector?
Op 20 augustus 2026 was er volgens het bericht geen publiek advies of mitigatieguide terug te vinden van Visa, EMVCo, Mastercard, Discover, American Express of terminalleveranciers (zoals SumUp). Visa zou niet publiek hebben gereageerd. Tegelijkertijd laat het onderzoek zien dat cryptografie alleen niet genoeg is wanneer de data die een terminal gebruikt niet goed cryptografisch wordt afgedekt of wanneer de issuer niet op sleutelvelden hercheckt.
Voor organisaties met betaalinfrastructuur of vendor-ecosystemen is dit vooral een reminder dat NFC-relay-achtige dreigingen kunnen aansluiten op typische fraudeketens. In eerdere berichtgeving werd bijvoorbeeld ook gewezen op de bredere rol van relay-technieken bij NFC- en mobiele contexten, zoals in verhalen over camera- en device-gedreven aanvallen. Als je interesse hebt in hoe relays/isolatie en model- of data-uitkomsten beveiligd kunnen worden, lees dan ook AI-modelbeveiliging met sandboxing: leer van CameraSwarm.
Meer context: “Zombie” als thema van hergebruik
Het woord “zombie” past bij het idee dat systemen iets laten doorgaan dat eigenlijk dood zou moeten zijn. Het paper toont dat een verlopen kaart niet automatisch overal en direct afsterft in de keten. In één extra observatie kwam naar voren dat ook een kaart die niet expired was maar door de issuer vervroegd werd vervangen, in sommige kernel-omgevingen alsnog kon worden beïnvloed—waarbij de expiry-edit zelf faalde op een kernel-niveau waar validatie wél bindend werkte.
Dat onderstreept dat uitkomsten niet alleen afhangen van “welke kaart”, maar ook van welke verwerkingslogica er onder de motorkap zit.
Geen CVE, wel onderzoeksimpact
Het bericht vermeldt dat er geen CVE is toegewezen en dat geen exploit van de techniek in het wild is gerapporteerd. De onderzoekers hebben hun bevindingen gedeeld met Visa en betrokken banken (mei 2025) en later opnieuw contact opgenomen (december 2025). Volgens het bericht werd het rapport gepresenteerd op het 35e USENIX Security Symposium in Baltimore.
De relay en MitM-implementation zijn niet vrijgegeven; wel publiceerden de auteurs gesaneerde transactie-logs. Dat maakt het voor verdedigers in ieder geval eenvoudiger om de denkroute te begrijpen zonder meteen een “recipe” te verspreiden.
Conclusie: Zombie Card NFC vraagt om betere binding van expiry
Zombie Card NFC laat zien hoe een verlopen contactloze Visa kaart in specifieke omstandigheden toch geautoriseerd kan worden. De aanval draait niet om het breken van cryptografie, maar om het herschrijven van de vervaldatum die de betaalterminal leest via een NFC-relay en MitM, terwijl issuer-gekruiste validaties ontbreken of niet hard genoeg doorpakken.
Voor banken en terminalleveranciers ligt de kern in het cryptografisch binden van expiry-kritische data, het vergelijken van meerdere expiry-representaties en het doorgeven van terminalvalidatiesignalen. Voor kaarthouders geldt: vernietig verlopen kaarten echt—zodat er niets overblijft om opnieuw te proberen.
Bron: https://thehackernews.com/2026/08/zombie-card-attack-can-revive-expired.html
