Egy lejárt bankkártya nem feltétlenül használhatatlan. Amerikai kutatók azt demonstrálták, hogy bizonyos Visa-kártyák esetében a lejárati dátum technikai manipulációjával régi, már lecserélt kártyával is végrehajtható lehet érintéses fizetés. A módszer bonyolult és nem tesz minden kártyát sebezhetővé, de egy egyszerű óvintézkedés mindenkinek javasolható: a lecserélt bankkártyát ne dobjuk ki egyben.

Egy lejárt bankkártyán továbbra is megtalálható a kártyaszám, a chip és azok a kriptográfiai funkciók, amelyek a fizetési tranzakciók hitelesítésében vesznek részt. Hogy egy ilyen kártya valóban használható-e még, több szereplő – a kártya, a kereskedő terminálja, a kereskedő bankja, a kártyatársaság és a kártyát kibocsátó bank – ellenőrzéseinek összehangolásától függ.

Ezt a folyamatot vizsgálta három, a University of Massachusetts Amherst kutatója. Raja Hasnain Anwar, Gerard DeCunha és Muhammad Taqi Raza kísérletükben lejárt Visa-kártyákat próbáltak újra használhatóvá tenni. A „Zombie Card” névre keresztelt módszer nem a kártya titkosításának feltörésére épül, hanem arra, hogy a fizetési folyamat különböző pontjain nem feltétlenül ugyanazokat az adatokat és ugyanúgy ellenőrzik.

A kutatók a vizsgált Visa Kernel 3 konfiguráció esetében azt találták, hogy a terminál által ellenőrzött lejárati dátum nem részesült ugyanolyan védelemben, mint a tranzakció más biztonsági adatai. Egy úgynevezett relay segítségével a régi kártya és a terminál közé ékelődtek, és a lejárt dátumot egy későbbi dátummal helyettesítették. A kártya eközben továbbra is képes volt hiteles kriptográfiai válaszokat adni, a terminál pedig érvényes kártyaként kezelte.

A támadás azonban nem távolról végrehajtható csalási módszer. A támadónak fizikailag hozzá kell férnie a régi kártyához. A kutatók két NFC-képes Android telefonnal demonstrálták a technikát: az egyik a kártyával, a másik a fizetési terminállal kommunikált.

A kísérletben 1, 100 és 500 dolláros tranzakciókat is végrehajtottak, valamint két kisebb, 2,79 és 3,19 dolláros vásárlást. A vizsgálat öt nagy amerikai bank által kibocsátott kártyákra terjedt ki, amelyek közül egyeseknél a tranzakciót elutasították vagy új kártyát kértek, más esetekben azonban a fizetés sikeres volt, mert a régi kártyához kapcsolódó számla továbbra is aktív maradt.

Fontos ugyanakkor, hogy a kutatás eredménye nem általánosítható minden bankkártyára. A vizsgált Visa-konfiguráció sikeresen támadhatónak bizonyult, míg a tesztelt Mastercard-, American Express- és Discover-konfigurációk elutasították a manipulált lejárati dátumot. A kutatók azt sem állítják, hogy valamennyi Visa-kártya érintett lenne. A kockázat függhet többek között a kibocsátó banktól, a termináltól, a használt fizetési alkalmazástól és az alkalmazott ellenőrzésektől.

A vizsgálat ráadásul kifejezetten az érintéses fizetésre koncentrált, ezért az eredményekből nem következik, hogy a módszer chip behelyezésével végrehajtott fizetésnél is működne.

A kutatók 2025 májusában értesítették a Visát és az érintett bankokat, majd decemberben további bizonyítékokat – részletes leírást, tranzakciós naplókat és videós demonstrációt – is átadtak. A tanulmány megjelenésekor a Visa belső vizsgálatot indított, de a kutatók szerint a sebezhetőségre vonatkozóan még nem jelentettek be konkrét korrekciós intézkedést.

A kockázat csökkentéséhez ezért a fogyasztónak is van egy egyszerű eszköze. A lejárt vagy lecserélt fizikai kártyát a bank előírásai szerint érdemes visszajuttatni a kibocsátóhoz, vagy úgy megsemmisíteni, hogy a chip és a mágnescsík se legyen használható. A kártya egyszerű kidobása ugyanis önmagában nem feltétlenül jelenti azt, hogy minden fizetési lehetősége megszűnt.

A kutatók szerint a digitális pénztárcák – például az Apple Pay és a Google Pay – ebből a szempontból kedvezőbb helyzetet teremthetnek: a fizikai kártya cseréjekor a tokenek távolról módosíthatók vagy deaktiválhatók. Ez természetesen nem jelenti azt, hogy a digitális fizetés kockázatmentes lenne, de csökkentheti annak esélyét, hogy egy lecserélt fizikai kártya tovább használható maradjon.

Mi történik, ha mégis visszaélnek a kártyával?

Ha valaki olyan bankkártyás tranzakciót észlel, amelyet nem ő hagyott jóvá, azt haladéktalanul jeleznie kell a számlavezető pénzforgalmi szolgáltatójának, és célszerű a kártyát is letiltani. A magyar szabályokat a pénzforgalmi szolgáltatás nyújtásáról szóló 2009. évi LXXXV. törvény (Pft.) rendezi. A fogyasztó és a mikrovállalkozás esetében a pénzforgalmi szolgáltató főszabály szerint köteles megtéríteni a jóvá nem hagyott fizetési műveletből eredő kárt, illetve a számlát a jogszabályban meghatározottak szerint helyreállítani. A bejelentés előtt főszabály szerint legfeljebb 15 ezer forint terhelheti az ügyfelet, de ez alól több kivétel is van: például, ha a jogosulatlan használatot az ügyfél előzetesen nem észlelhette, vagy a fizetés személyes biztonsági elem, például PIN-kód használata nélkül történt.

A bank akkor mentesülhet a megtérítési kötelezettség alól, ha bizonyítani tudja, hogy az ügyfél csalárdan járt el, vagy szándékosan, illetve súlyosan gondatlanul megszegte a rá vonatkozó kötelezettségeket – például jogosulatlan személy számára megismerhetővé tette a személyes hitelesítési adatait. Önmagában tehát az, hogy egy régi kártya adataival visszaéltek, nem jelenti azt, hogy a kárt automatikusan az ügyfélnek kell viselnie. A felelősséget az eset körülményei alapján kell megállapítani.