期限切れVisaカードで不正決済が可能に
原題: Your Expired Visa Card Could Be ‘Zombified’ to Make Contactless Payments
なぜ重要か
コンタクトレス決済の認証設計の欠陥が実証されたことで、カード発行会社および銀行におけるセキュリティ実装の見直しが業界全体に求められる契機となる。
マサチューセッツ大学アマースト校の研究者が、Usenixサイバーセキュリティカンファレンスで、期限切れのVisaカードを「ゾンビ化」してコンタクトレス決済に悪用できる手法を発表した。中間者攻撃アプリを使って2台のスマートフォン経由でカードデータを中継することで、一部の銀行ではこの不正取引が通過してしまうことが確認された。
マサチューセッツ大学アマースト校の研究者チームは、期限切れのVisaクレジットカードを「ゾンビ化」し、コンタクトレス決済に不正利用できる脆弱性をUsenixサイバーセキュリティカンファレンスで発表した。
手法の仕組みとして、詐欺師はゴミ箱などから期限切れカードを入手した後、中間者（man-in-the-middle）攻撃アプリを使用して2台のスマートフォン間でカードデータを中継する。コンタクトレス決済の認証チェーンに問題があるため、期限切れカードのトランザクションを拒否するかどうかは、各カード発行会社が独自に実装した暗号化処理に委ねられている。
Visaの実装には特定の欠陥があり、期限切れカードの検証をカード保有者の銀行側に委譲する構造となっていた。その結果、一部の銀行では期限切れカードによる不正取引を阻止できたものの、阻止できない銀行も存在した。Visaはテクニカルニュースメディア「The Register」からのコメント要請に応じなかった。
この研究は、一般的に「有効なクレジットカードのみが詐欺リスクになる」と考えられている認識を覆すものとして注目される。廃棄された期限切れカードでさえも、カード所有者の口座への不正アクセス手段となりうることが実証された形だ。