Schwachstelle: Forscher reaktivieren abgelaufene Visa-Kreditkarten

Eine Schwachstelle in der EMV-Implementierung von Visa erlaubt es, abgelaufene Kreditkarten per NFC-Manipulation wieder nutzbar zu machen.

IT-Sicherheitsexperten der University of Massachusetts Amherst haben auf der Fachkonferenz USENIX Security 2026 ein Verfahren demonstriert, mit dem eigentlich unbrauchbare, abgelaufene Kreditkarten wieder für kontaktlose Bezahlvorgänge genutzt werden können. In ihrer Forschungsarbeit „Zombie Cards Back Online“ zeigen sie auf, wie unzureichende Prüfungsschritte beim Kontaktlos-Bezahlen missbraucht werden können.

Beim kontaktlosen Bezahlen kommunizieren Karte (oder Smartphone-Wallet) und Terminal über NFC mittels des EMV-Standards. Die Forscher nutzten aus, dass Teile dieses Datenstroms unverschlüsselt übertragen und erst im Nachgang kryptografisch verifiziert werden. Über zwei Smartphones, die als NFC-Proxy zwischen Karte und Terminal agieren (Man-in-the-Middle-Angriff), lässt sich das vom Terminal ausgelesene Ablaufdatum der Karte so verändern, dass die Abfanganfrage vom Terminal als gültig eingestuft wird.

Lücke betrifft vor allem das Visa-System

Die Schwachstelle beruht auf einer Besonderheit in Visas EMV-Kernel-Implementierung. Im Gegensatz zu Systemen von Mastercard, American Express oder Discover bindet der Visa-Standard das für das Terminal sichtbare Ablaufdatum (Application Expiration Date) nicht zwingend über die digitale Signatur der Karte ab.

Hauptursache für das Sicherheitsrisiko:

• Fehlende kryptografische Verknüpfung: Das vom Kassenterminal ausgelesene Datum und das Feld, das bei der Online-Autorisierung an die Bank übermittelt wird, sind nicht fest aneinander gebunden.
• Zielkonflikt aus Tempo und Schutz: Um Bezahlvorgänge an älteren Terminals möglichst schnell und reibungslos abzuwickeln, verzichten einige Protokolle auf die vollständige Ausführung aller verfügbaren Schutzmechanismen.
• Abhängigkeit von der Bank: Ob der Angriff gelingt, hängt vom nachgelagerten Prüfverhalten der kartenausgebenden Bank ab. Im Test akzeptierten mehrere Finanzinstitute die manipulierten Transaktionen.

Reaktionen und Fristen

Die Forscher informierten den Kreditkartenanbieter Visa sowie betroffene Banken bereits im Mai 2025 und erneut im Dezember 2025 über die Lücke. Bislang liegt noch keine offizielle Bestätigung vor, dass das Problem durch entsprechende Anpassungen in der Autorisierungslogik vollständig behoben wurde.

(red)