マサチューセッツ大学アマースト校の研究チームは、非接触型クレジットカードが印字された有効期限を過ぎても、さらには利用者が代替カードを受け取った後でさえ使用可能な状態が続くことを実証しました。研究チームはこの手法を「ゾンビカード攻撃」と名付け、USENIX Security 2026でその成果を発表しました。
抜け穴発見のきっかけとなった疑問
「この研究は、期限切れカードの不適切な取り扱いに関する既知のパターンに着想を得ています。カード発行会社は代替カード受け取り後に期限切れカードを破棄するよう利用者に指示していますが、利用者は期限切れカードは無効化されているものと思い込み、このリスクを日常的に過小評価しています」と研究者らは論文に記しています。
クレジットカードのアカウントは物理カードと連動して失効するわけではないため、購入時のカードがすでに期限切れであっても返金処理は行われます。この事実から、マサチューセッツ大学アマースト校リッチョ工学部の助教授であるムハンマド・タキ・ラザ氏は「カードが返金を受け取れるなら、そのカードで決済もできるのではないか」という疑問を抱きました。
ラジャ・ハスナイン・アンワル氏、ジェラルド・デクーニャ氏とともに調査を進めたラザ氏は、少なくとも一部のカードについてこの答えが「イエス」であることを突き止めました。
研究者らはこれを、それぞれのシステムが「カードがまだ有効かどうかは他の誰かがすでに確認済みだろう」と前提してしまっている構造的な隙間だと説明しています。非接触決済はカード、決済端末、加盟店の取引銀行、決済ネットワーク、そしてカード発行銀行という複数の段階を経由しますが、それぞれの主体はその判断のごく一部分しか担っていないのです。
リレー攻撃の仕組み
この手法を検証するため、研究チームはタップ決済の基盤技術である近距離無線通信(NFC)を使い、市販のスマートフォン2台でリレー装置を構築しました。
検証に使用した機材(出典:研究論文)
1台目のスマートフォンが期限切れカードを起動し、期限切れの有効期限データを含む決済情報を読み取ります。Wi-Fiで接続された2台目のスマートフォンがこのデータを傍受し、有効期限を書き換えたうえで決済端末へ送信します。
アンワル氏は指摘で、攻撃者が正しい新しい有効期限を知る必要はなく、ほぼどんな未来の日付でも通用すると述べています。同氏は「POS端末がカードの有効・無効を判断する手段はこれしかない」としたうえで、この日付は暗号学的に保護されていないため改ざんが容易で、リーダーを容易に欺けると説明しています。
2台目のスマートフォンが決済端末にタップされると、外部の観察者からは通常のデジタルウォレット決済にしか見えません。研究チームのプロジェクトページによれば、対象となる仕組みにおいては改ざんされた日付がカードのデジタル署名の保護範囲外にあるため、暗号学的な検証は依然として通過してしまうということです。
検証の抜け穴はどこにあるのか
「今回の結果は、Visaの非接触決済が効果的な完全性保護の欠如により、中間者(man-in-the-middle)による改ざんに対して脆弱であることを示しています」と研究チームは述べています。
同じ手法をMastercard、American Express、Discoverの各構成に対しても試したところ、いずれも改ざんされた日付を拒否したことが確認されました。これらのシステムでは有効期限データが暗号学的な検証と結び付けられており、日付が改ざんされるとその検証が破綻する仕組みになっているためです。
カードネットワークと同じくらい、銀行側の対応も結果を左右しました。米国の大手銀行1行を対象にした実験では、改ざんした期限切れカードで1ドル、100ドル、500ドルの決済がラボ環境で通ってしまい、さらに実店舗での2.79ドル、3.19ドルの実際の買い物でも決済が成立しました。
この銀行の確認プロセスは、アカウントの存在とカード番号が有効であることのみをチェックしており、その特定のカード自体が登録済みのものと同一かどうかまでは確認していませんでした。一方、別の銀行では毎回この手口を検知し、決済を拒否したうえでレジ担当者に代替カードの提示を求めるよう促していました。
この抜け穴が見過ごされる一因は、決済端末が銀行に伝える情報そのものにあります。VisaのKernel 3では、本来カード発行銀行に期限切れを知らせるはずのフィールドが、送信前にすべてゼロにリセットされてしまいます。そのため銀行側は、決済端末自身の検証が本来失敗していたはずだという事実を把握する手段がありません。
カードにはもう一つ別の有効期限も組み込まれています。これはカードと銀行間の通信を保護するデジタル証明書に埋め込まれたもので、カード発行会社が更新時の重複期間を見込んで設定しているため、印字されている有効期限をかなり過ぎても有効なままであることが少なくありません。
研究チームは、カードの交換そのものに関する別の問題点も発見しました。テストに使用したカードの1枚は印字上の有効期限にはまだ達していなかったものの、残りの有効期間が3か月未満になった時点で自動的に交換されていました。実験では、古いカードと交換後の新しいカードの両方が同一アカウントで引き続き使用できてしまい、「交換済み」のカードも期限切れカードと同様、確実に無効化されているとは限らないことが示唆されています。
開示と対策
研究者らは2025年5月と12月にVisaおよび影響を受ける銀行各行に対し、再現手順書、取引記録、デモ動画とともに通知を行いました。Visaの報告は初期審査を通過し、同社のレッドチームによる再現作業が進められていましたが、発表時点でVisa・各銀行ともに修正の確認は得られていません。CVE番号は割り当てられていません。
研究チームは、詐欺に悪用される恐れがあることからリレー用のコードは非公開とし、代わりに機密情報を除いたログとプロトコルの詳細を公開しました。研究チームが提案する対策には、他の競合ネットワークがすでに実施しているように有効期限を暗号学的検証と結び付けること、決済端末自身の検証結果を銀行側にも共有すること、カード発行会社がアカウント番号だけでなく登録済みの特定のカードおよび有効期限を照合することなどが含まれます。
「どのような場合であっても、期限切れのカードは必ず破棄してください。クレジットカードを完全に解約した場合でも、解約済みアカウントの取引状況は引き続き監視するべきです」とラザ氏は結論付けています。
翻訳元: https://www.helpnetsecurity.com/2026/08/20/zombie-credit-card-attack-expired/
