기간 만료 Visa 카드가 부정결제에 악용 가능
원제: Your Expired Visa Card Could Be ‘Zombified’ to Make Contactless Payments
왜 중요한가
수억 명이 사용하는 Visa 비접촉 결제의 인증 체계 결함이 공식 학술 컨퍼런스에서 확인돼, 카드사 및 은행의 즉각적인 보안 대응이 요구된다.
매사추세츠대학교 Amherst 캠퍼스 연구진이 2026년 8월 Usenix 사이버보안 컨퍼런스에서, 유효기간이 지난 Visa 카드를 중간자 앱으로 프록시 처리해 비접촉 결제에 악용하는 '좀비화' 기법을 발표했다. Visa의 인증 체계 결함으로 일부 은행에서 만료 카드 거래가 차단되지 않는 것으로 확인됐다.
매사추세츠대학교 Amherst 연구진은 Usenix 사이버보안 컨퍼런스에서 유효기간이 만료된 Visa 카드를 이용해 비접촉 결제를 수행하는 새로운 공격 기법을 공개했다. 이 기법은 '좀비화(zombified)'라고 명명됐으며, 두 대의 스마트폰과 중간자(man-in-the-middle) 앱을 활용해 만료 카드의 데이터를 중계하는 방식으로 작동한다.
연구진에 따르면, 비접촉 결제의 인증 체계에서 만료 카드 거래 허용 여부가 카드 발급사마다 다르게 구현된 암호화 방식에 의존하는 구조적 문제가 존재한다. Visa의 경우 만료 카드 인증 책임을 카드 소지자의 거래 은행에 위임하는 방식을 채택하고 있어, 일부 은행은 해당 거래를 차단하지만 그렇지 않은 은행도 있었다.
이로 인해 공격자가 폐기된 만료 카드를 수거해 실제 카드 소지자 모르게 결제에 사용하는 시나리오가 현실적으로 가능하다는 점이 입증됐다. 해당 연구를 보도한 IT 전문 매체 The Register의 논평 요청에 Visa는 응답하지 않았다.