セキュリティ
有効期限チェックの抜け穴により、失効したはずのカードで再び買い物ができる可能性
マサチューセッツ大学アマースト校に所属する研究者たちが、一部の期限切れ非接触型クレジットカードから決済を引き出せることを発見しました。この手法は、先ごろ開催されたUSENIX Security 2026カンファレンスで詳しく説明されています。
Raja Hasnain Anwar氏、Gerard DeCunha氏、Muhammad Taqi Raza氏は、「Zombie Cards Back Online: Reviving Expired Credit Cards for Contactless Payments」と題した論文でこの発見を報告しています。
論文の著者らによれば、クレジットカードには有効期限が設定されているものの、その確認・検証の方法は一貫していないといいます。この不整合を突くことで、著者らは期限切れの非接触型カードを決済端末に対して有効なカードであるかのように見せかける攻撃手法を編み出しました。
Europay、Mastercard、Visa(EMV)の決済プロセスでは、決済カード(カードまたはスマートフォン内のデジタルウォレット)と決済端末(POS端末)が直接NFCチャネルを通じて通信し、これが決済ネットワーク(Visa、Mastercard、Discoverなど)を介して加盟店と銀行、カード発行会社を結びつけています。
この取引プロセスはEMV非接触プロトコルに依存していますが、著者らはこのプロトコルが脆弱であると指摘しています。というのも、取引フローの認証が選択的にしか行われないためです。カードと端末間でやり取りされるデータの一部は平文で送信され、後になって初めて、オフラインデータ認証(ODA)やカード発行会社による検証済み暗号文を用いた暗号学的検証と結び付けられます。
この仕組みには、望ましくない中間者の介入を許す隙間が生じます。必要なのは知識と、NFCプロキシとして機能するスマートフォン数台だけです。実際、研究者たちはこの隙間を突いて、期限切れの非接触型決済カードを「復活」させ、買い物を成立させられることを実証しました。
「私たちの調査結果は、実効性のある完全性保護が欠如しているために、Visaの非接触決済取引が中間者による改ざんに対して脆弱であることを示しています」と著者らは論文の中で述べています。
さらに著者らによると、ウォレット側のCard Transaction Qualifiersの設定は、取引を即座に拒否するのではなく、オンライン認証チェックへと誘導する方向に働くといいます。これにより、検証を行う責任がカード発行会社側に移されますが、その対応は発行会社ごとにばらつきがあり、取引の承認時に完全なセキュリティチェックを実施するのではなく、POS端末側の評価に依存している場合もあります。
EMVプロトコルはEMVカーネルに実装されています。American Express、Discover、Mastercard、Visaはそれぞれ独自のカーネルを運用しています。著者らの観察によれば、Visaのカーネルは他社に比べてやや許容度が高く、有効期限を暗号学的に紐付けていません。
著者らの説明によると、Visaのカーネルでは、POS端末が「Application Expiration Date」に基づいて処理制限を評価することが許容されています。一方、カード発行会社はオンライン認証リクエスト内の別のデータフィールドにある有効期限を参照します。本来、この2つの日付は暗号学的に紐付けられているべきですが、実際にはそうなっていません。
研究者たちはこの隙間を利用し、NFCプロキシデバイスを用いた攻撃を編み出しました。その様子はこちらの動画で実証されています。Mastercard、American Express、Discoverの構成はこの攻撃に耐えましたが、Visaの非接触型カードは耐えられませんでした。
「カードは決済端末に対して読み取るべき有効期限を提示します」と著者らは自らの研究のまとめの中で説明しています。「今回検証したVisaの非接触構成では、この特定の日付がカードのデジタル署名の対象に含まれていませんでした。そのため、カードと端末の間に位置する第三者が、カードの通常のセキュリティチェックは正常に見えるよう保ったまま、端末側が受け取る情報を書き換えることが可能でした」
Visaの方式では認証処理の判断が関係する銀行側に委ねられるため、この攻撃が成功するかどうかは、実際の取引を処理する銀行の対応次第でした。検証対象とした銀行のうち、この攻撃に屈してしまうところもあれば、耐えたところもありました。
筆頭著者でUMassアマースト校の博士課程候補生であるRaja Hasnain Anwar氏は、The Registerへの電子メールで、Visaのカードがこの攻撃の影響を受ける理由は、カード発行各社が非接触取引の処理に関して異なるプロトコルを採用していることにあると説明しました。
「これらのプロトコルは、さまざまな種類の端末での世界的な互換性を確保するため、大部分のメッセージを共通化しています。ただし、追加の仕組みについては各発行会社が独自の設計判断を行っています」と同氏は述べています。「こうした設計判断は多くの場合、旧式のPOS端末との後方互換性を確保するため、またパフォーマンス基準を満たすために、妥協した形に落ち着いてしまいます」
「セキュリティチェックの仕組み自体は用意されているのですが、取引をより速く、よりスムーズにするために、そのうちの一部しか実際には呼び出されません。Mastercardについても同様の問題を示す研究が他にも存在します。結局のところ、これはパフォーマンスとセキュリティのトレードオフの問題であり、それがこの種の脆弱性の温床になりがちなのです。設計自体が本質的に悪いというわけではありません」
著者らによると、Visaには2025年5月にこの発見を通知し、2025年12月にもフォローアップの連絡を行ったとのことです。Visa、そして通知を受けた銀行のいずれも、有効期限に関するこの問題への対応策を講じたことは確認されていません。
Visaは、コメント依頼に対して直ちに回答しませんでした。捨てられたカードのごみ箱漁りが始まるかもしれません。®
