Nhóm nghiên cứu thuộc đại học Massachusetts Amherst (Mỹ) vừa phát hiện lỗ hổng cho phép "hồi sinh" những chiếc thẻ tín dụng Visa đã hết hạn, tạo nên hiện tượng mang tên "Zombie Card".
Bằng cách can thiệp vào dữ liệu gửi tới máy POS, các chuyên gia có thể chỉnh sửa ngày hết hạn thành một thời điểm trong tương lai để thực hiện thanh toán trực tiếp tại cửa hàng. Thử nghiệm trên các mạng lưới khác như Mastercard, American Express và Discover đều tự động từ chối giao dịch bị chỉnh sửa nhờ cơ chế kiểm tra tính nhất quán.
Thẻ tín dụng hết hạn vẫn có thể bị lợi dụng để mua hàng.
Nguyên nhân bắt nguồn từ quy trình xử lý không tiếp xúc Visa Kernel 3, nơi thông tin ngày hết hạn hiển thị không được liên kết chặt chẽ với dữ liệu gốc của thẻ. Do đó, một số ngân hàng phát hành vẫn chấp thuận các giao dịch này nếu tài khoản gốc chưa đóng và hệ thống không kiểm tra chính xác vòng đời thẻ. Lỗ hổng này mở ra cơ hội cho tội phạm mạng khai thác thông tin từ những chiếc thẻ cũ tưởng chừng như vô hại.
Nguy cơ lớn nhất xuất hiện khi thẻ hết hạn bị đánh cắp hoặc nhặt được từ thùng rác sinh hoạt, ví đánh rơi hay quy trình xử lý rác thải doanh nghiệp không an toàn. Kẻ gian có thể dùng thiết bị chuyển tiếp dữ liệu để thực hiện thanh toán không tiếp xúc tại điểm bán. Hoặc tấn công chuyển tiếp khoảng cách gần qua NFC khi thẻ vẫn nằm trong túi chủ sở hữu dù khó thực hiện hơn.
Để phòng ngừa rủi ro mất tiền ngoài ý muốn, người dùng không nên chủ quan vứt bỏ thẻ hết hạn hoặc thẻ thay thế nguyên vẹn vào sọt rác. Các chuyên gia khuyến cáo cần dùng kéo cắt nhiều đường xuyên qua chip điện tử, phá hủy ăng-ten không tiếp xúc trên thân thẻ và cào hỏng dải băng từ trước khi vứt. Bên cạnh đó, việc chủ động báo mất thẻ với ngân hàng phát hành vẫn là điều cần thiết.
Nên hủy thẻ một cách triệt để khi không còn sử dụng.
Dù người dùng có thể tự thực hiện các biện pháp phòng ngừa vật lý, trách nhiệm cốt lõi vẫn thuộc về các đơn vị thanh toán và ngân hàng. Các tổ chức tài chính cần nhanh chóng nâng cấp hệ thống xác thực để bảo vệ tính toàn vẹn của dữ liệu ngày hết hạn. Việc từ chối dứt điểm thông tin từ các thẻ ngừng hoạt động là giải pháp căn cơ để bịt lỗ hổng an ninh này.
An An (theo MalwareBytes)
