Wussten Sie, dass es immer noch gute Gründe gibt, Ihre abgelaufene Kreditkarte physisch zu vernichten?
Wissenschaftliche Untersuchungen ergaben, dass das von Zahlungsterminals auf einigen kontaktlosen Karten verwendete Ablaufdatum nicht wirksam vor Manipulationen geschützt ist.
Die Forscher Raja Hasnain Anwar, Gerard DeCunha und Muhammad Taqi Raza von der University of Massachusetts Amherst testeten kontaktlose Karten von Visa, Mastercard, Discover und American Express an verschiedenen Terminals und bei unterschiedlichen Händlern sowie mit Karten von fünf großen US-Banken.
Sie entdeckten, dass sich ein Zahlungsterminal austricksen ließ, sodass es ein zukünftiges Ablaufdatum anzeigte. Konkret konnten sie das an das Terminal gesendete Ablaufdatum auf ein zukünftiges Datum ändern. Dadurch konnten sie abgelaufene kontaktlose Visa-Kreditkarten für tatsächliche Einkäufe im Geschäft wiederverwenden. Daher der Name „Zombie-Karte“.
Das Ergebnis war nicht einheitlich. Die getesteten Konfigurationen von Mastercard, American Express und Discover wiesen die geänderten Ablaufdaten zurück, während das Verhalten der Aussteller selbst bei den getesteten Visa-Karten unterschiedlich war: Einige Transaktionen wurden abgelehnt oder zur Ausstellung einer Ersatzkarte aufgefordert, während andere genehmigt wurden.
Der Fehler liegt im Visa Kernel 3-Prozess für kontaktloses Bezahlen. Dort war das auf dem Terminal angezeigte Ablaufdatum der Anwendung nicht korrekt mit den Kartendaten verknüpft. Bei den getesteten Mastercard-, American Express- und Discover-Kerneln führten Konsistenzprüfungen oder die Abdeckung authentifizierter Daten dazu, dass veränderte Ablaufdaten erkannt und die Transaktion abgelehnt wurde.
Wie dies missbraucht werden könnte
Der wahrscheinlichste Missbrauchsfall ist der Diebstahl oder die Wiederbeschaffung einer abgelaufenen oder ersetzten Karte, die der Besitzer für harmlos hält. Beispiele hierfür sind Karten, die im Hausmüll, in einer Schublade, in einem verlorenen Portemonnaie oder in einem ungesicherten Firmenmüll entsorgt wurden. Bleibt das zugrundeliegende Konto aktiv und überprüfen die Kontrollmechanismen des Kartenausstellers den genauen Lebenszyklusstatus der Karte nicht, könnte ein Angreifer versuchen, über eine Relay-Verbindung kontaktlose Zahlungen durchzuführen.
Weniger wahrscheinlich ist ein Szenario, in dem ein Proximity-Relay-Angriff auf eine Karte genutzt wird, die sich noch im Besitz des Karteninhabers befindet. Dies erfordert eine dauerhafte NFC-Nähe (Near Field Communication) und ein aktives Relay während der Transaktion, was es deutlich schwieriger macht als das bloße Scannen einer Karte aus der Nähe.
Wie man sicher bleibt
Für Karteninhaber ist der praktische Rat einfach:
- Vernichten Sie abgelaufene und Ersatzkarten. Schneiden Sie den Chip mehrmals durch. Führen Sie weitere Schnitte durch das Kartengehäuse durch, um die kontaktlose Antenne zu unterbrechen und den Magnetstreifen zu beschädigen, bevor Sie die Teile entsorgen.
- Melden Sie den Verlust einer abgelaufenen Karte, anstatt sie als nutzlos zu betrachten.
Dies sind sinnvolle Vorsichtsmaßnahmen, die Hauptverantwortung liegt jedoch bei den Zahlungsnetzwerken, den Terminalimplementierungen und den Kartenausstellern, um sicherzustellen, dass die Integrität der Ablaufdaten geschützt ist und dass Autorisierungssysteme die Anmeldeinformationen abgelaufener Karten ablehnen.
Stimmt da etwas nicht? Überprüfen Sie es, bevor Sie klicken.
Mit Malwarebytes Guardkönnen Sie verdächtige Links, Texte und Screenshots sofort überprüfen.
Erhältlich mitMalwarebytes Premium für alle Ihre Geräte sowie in derMalwarebytes für iOS Android.
