כרטיס האשראי פג תוקף ואתם עומדים לזרוק אותו? מחקר שהוצג בכנס USENIX Security 2026 חושף כי במקרים מסוימים הכרטיס הישן עדיין עשוי לשמש לביצוע תשלום. צוות מאוניברסיטת מסצ'וסטס אמהרסט מצא חולשה בפרוטוקול התשלומים ללא מגע, שאפשרה לחוקרים לגרום למסוף להתייחס לכרטיס שפג תוקפו כאילו הוא עדיין בתוקף.
החוקרים הדגימו את השיטה באמצעות כרטיס ללא מגע ששוב אינו בתוקף ושני סמארטפונים. טלפון אחד הוצב בסמוך לכרטיס ותפקד למעשה כמסוף תשלום מדומה, שקלט ממנו את הנתונים. המידע הועבר למכשיר שני, שהתחזה לכרטיס והוצמד למסוף תשלום אמיתי.
במהלך העברת המידע שינו החוקרים את תאריך התפוגה. כתוצאה מכך, המסוף קיבל נתון שלפיו הכרטיס עדיין בתוקף ואפשר לעסקה להתקדם. החולשה קשורה לאופן פעולתו של פרוטוקול EMV לתשלומים ללא מגע. לפי החוקרים, לא כל הנתונים שמועברים במהלך העסקה מוצפנים. תאריך התפוגה, למשל, מועבר באופן שמאפשר בנסיבות מסוימות לשנות אותו בדרך למסוף.
החוקרים בדקו את השיטה על כרטיסים משלוש רשתות תשלום: Visa, Mastercard ו-Discover. על פי הממצאים שהוצגו, רק כרטיסי Visa נמצאו פגיעים למתקפה המסוימת. גם במקרה הזה אין משמעות הדבר שכל כרטיס Visa שפג תוקפו יאפשר לבצע עסקה. הצלחת השיטה תלויה בין היתר בבנק שהנפיק אותו ובבדיקות שהוא מבצע בעת אישור התשלום.
לפי החוקרים, חלק מהבנקים מסתמכים על הבדיקות שנעשות במסוף ואינם מבצעים אימות נוסף שמספיק כדי לזהות את המניפולציה. במקרים כאלה הפרצה עשויה לאפשר את ביצוע העסקה. לפי צוות המחקר, Visa קיבלה מהם התרעה על הבעיה כבר במאי 2025, ופנייה נוספת נעשתה בדצמבר של אותה שנה. החוקרים טענו כי "הם פנו ל-Visa במאי 2025 ושוב בדצמבר 2025, אך לא Visa ולא הבנקים יישמו אמצעי נגד שיחסמו מתקפה מסוג זה".
המחקר מצטרף לגילויים קודמים על חולשות אפשריות במנגנוני התשלום ללא מגע. במקרה נפרד נמצאה חולשה הקשורה ל-Mastercard, שבמסגרתה ניתן היה לגרום לכרטיס להיראות בפני המערכת כאילו הוא שייך ל-Visa. בדרך זו ניתן היה לעקוף את הדרישה להזנת קוד PIN ולאשר תשלומים ללא מגע בסכומים של אלפי אירו או דולרים. לפי הכתבה, Mastercard מסרה כי הרשת שלה כבר עודכנה כדי לחסום את השיטה הזאת.
לפי המידע שהוצג, לא מדובר בשיטה פשוטה שכל אדם יכול לבצע. היא דורשת ציוד מתאים, ידע טכני ותנאים מסוימים, וגם אז אינה מצליחה מול כל כרטיס או בנק. עם זאת, הממצאים מערערים הנחה בסיסית שלפיה עצם פקיעת תוקפו של כרטיס הופכת אותו לחסר ערך לחלוטין מבחינת אפשרות השימוש בו.
המסקנה המעשית שעולה מהמחקר פשוטה: גם לאחר קבלת כרטיס חדש, לא כדאי להשליך את הישן בשלמותו. השמדה פיזית שלו, ובפרט של השבב, מקטינה את האפשרות שמישהו ינסה לעשות שימוש בפרטים שנותרו עליו.
