有効期限切れのクレジットカードを物理的に破棄するべき正当な理由がまだあることをご存知ですか？
科学的研究により、一部の非接触型カードの決済端末で使用されている有効期限は、改ざんに対して効果的に保護されていないことが判明した。
マサチューセッツ大学アマースト校の研究者であるラジャ・ハスナイン・アンワル、ジェラード・デクーニャ、ムハンマド・タキ・ラザは、複数の端末と加盟店、そして米国の主要5銀行のカードを用いて、Visa、Mastercard、Discover、American Expressの非接触型カードのテストを行った。
彼らは、決済端末をだまして有効期限を未来の日付に書き換えることができることを発見した。つまり、端末に送信される有効期限を未来の日付に変更できたのだ。これにより、有効期限切れのVisa非接触型クレジットカードを復活させ、実際の店舗での購入に利用することが可能になった。これが「ゾンビカード」と呼ばれる所以である。
結果は一律ではなかった。テスト対象となったMastercard、American Express、Discoverの設定では、変更された有効期限データが拒否された。一方、テスト対象のVisaカードでも発行者側の対応は異なり、一部の取引は拒否されたり、代替カードの発行を求められたりしたが、他の取引は承認された。
この不具合は、Visa Kernel 3の非接触型決済フローに起因しており、端末側のアプリケーション有効期限がカードデータに正しく紐付けられていなかった。テスト対象となったMastercard、American Express、Discoverの各カーネルでは、整合性チェックまたは認証済みデータカバレッジによって有効期限データの変更が検出され、取引が拒否された。
これがどのように悪用される可能性があるか
最も可能性の高い不正利用事例は、所有者が無害だと考えている有効期限切れまたは交換済みのカードが盗難または回収される場合です。家庭ごみ、引き出し、紛失した財布、あるいはセキュリティ対策が不十分な企業廃棄処理場などに放置されたカードなどが考えられます。基となるアカウントが有効なままで、発行者側の管理体制がカードのライフサイクル状態を正確に検証していない場合、攻撃者はリレー方式を利用して非接触決済を試みる可能性があります。
所有者がまだ所持しているカードに対して近接リレー攻撃を行うシナリオは、可能性が低い。これには、トランザクション中にNFC（近距離無線通信）による継続的な近接とライブリレーが必要となるため、単に通り過ぎる距離からカードをスキャンするよりもはるかに困難である。
安全に過ごすには
カード会員にとって、実用的なアドバイスはシンプルです。
- 期限切れのカードや交換用カードは破棄してください。ICチップを数回切断します。カード本体にもさらに切り込みを入れて非接触アンテナを破壊し、磁気ストライプを損傷させてから、破片を廃棄してください。
- 有効期限切れのカードを紛失した場合は、無効として扱うのではなく、紛失届を提出してください。
これらは賢明な予防策ではあるが、有効期限データの完全性を保護し、認証システムが使用済みカード情報を拒否するようにすることは、決済ネットワーク、端末の実装、および発行会社の主要な責任である。
何かおかしいと感じたら？クリックする前に確認してください。
Malwarebytes Guardを使えば、不審なリンク、テキスト、スクリーンショットを即座に分析できます。
すべてのデバイス向けの「Malwarebytes Premium 」 iOS Android向け「Malwarebytes でご利用いただけます。
