Peneliti dari University of Massachusetts Amherst menemukan kerentanan serius pada kartu kredit Visa nirsentuh yang telah kedaluwarsa, yang memungkinkan peretas untuk menghidupkannya kembali dan melakukan transaksi tidak sah.
DIGI-HIGHLIGHTS:
■ Celah keamanan pada protokol EMV Visa memungkinkan peretas menggunakan ponsel sebagai perantara NFC untuk memanipulasi data kedaluwarsa saat bertransaksi.
■ Serangan ini mengeksploitasi kernel Visa yang tidak mengikat tanggal kedaluwarsa secara kriptografis, berbeda dengan protokol Mastercard, American Express, dan Discover.
■ Keberhasilan serangan juga bergantung pada bank penerbit yang melakukan otorisasi transaksi alih-alih menolaknya, yang menunjukkan kelemahan sistemik dalam verifikasi.
Kartu kredit yang sudah melewati masa berlakunya atau kedaluwarsa seharusnya tidak lagi berfungsi. Namun, temuan mengejutkan dari sekelompok peneliti Universitas Massachusetts Amherst menunjukkan hal sebaliknya: kartu kredit Visa nirsentuh yang telah “mati” secara fisik ternyata bisa dihidupkan kembali oleh peretas untuk melakukan transaksi tidak sah.
Penelitian yang dipresentasikan dalam konferensi keamanan USENIX Security 2026 ini mengungkap kerentanan mendasar dalam cara sistem pembayaran, khususnya protokol Europay, Mastercard, dan Visa (EMV), memverifikasi tanggal kedaluwarsa. Para peneliti—Raja Hasnain Anwar, Gerard DeCunha, dan Muhammad Taqi Raza—menamai temuan mereka ini sebagai “Zombie Cards”.
Dalam makalahnya yang berjudul “Zombie Cards Back Online: Reviving Expired Credit Cards for Contactless Payments”, mereka menjelaskan bahwa meskipun kartu memiliki tanggal kedaluwarsa fisik, konsistensi dalam pemeriksaan dan penegakan tanggal tersebut bervariasi antar kartu dan terminal pembayaran. Ketidakkonsistenan inilah yang dimanfaatkan untuk menyusun serangan.
Kerapuhan Protokol EMV dan “Man-in-the-Middle”
Proses transaksi melibatkan kartu atau dompet digital dan terminal point-of-sale (POS) yang berkomunikasi melalui saluran NFC langsung, terhubung ke jaringan pembayaran yang menghubungkan pedagang, bank, dan penerbit kartu.
Peneliti menunjuk pada kerapuhan dalam protokol EMV nirsentuh yang digunakan secara luas saat ini. Alur transaksi ini, menurut mereka, diautentikasi secara selektif. Sebagian data dikirim antara kartu dan terminal dalam bentuk teks biasa (plaintext) dan baru kemudian dikaitkan dengan verifikasi kriptografis menggunakan Offline Data Authentication (ODA) dan kriptogram yang diverifikasi penerbit.
Celah inilah yang memberikan kesempatan bagi gangguan perantara yang tidak diinginkan (serangan man-in-the-middle), yang hanya memerlukan pengetahuan yang cukup dan ponsel yang bertindak sebagai proksi NFC.
“Hasil kami menunjukkan bahwa transaksi nirsentuh Visa rentan terhadap gangguan man-in-the-middle karena kurangnya perlindungan integritas yang efektif,” tegas para penulis dalam makalah mereka sepergi dikutip theregister.com.
Lebih lanjut, para peneliti mencatat bahwa pengaturan Card Transaction Qualifiers (CTQ) pada dompet digital dapat mengarahkan transaksi ke pemeriksaan otorisasi online alih-alih menolaknya secara langsung. Hal ini menggeser beban penegakan ke penerbit kartu, di mana perilakunya berbeda-beda dan mungkin bergantung pada evaluasi terminal POS daripada melakukan pemeriksaan keamanan penuh selama otorisasi transaksi.
Perbedaan Implementasi Kernel Visa
Protokol EMV diimplementasikan dalam kernel EMV. American Express, Discover, Mastercard, dan Visa masing-masing menjalankan kernel mereka sendiri. Kernel Visa, menurut pengamatan para peneliti, sedikit lebih permisif daripada yang lain karena tidak mengikat tanggal kedaluwarsa secara kriptografis.
Kernel Visa memungkinkan terminal POS untuk mengevaluasi pembatasan pemrosesan berdasarkan Application Expiration Date. Namun, penerbit kartu mengandalkan tanggal kedaluwarsa dari bidang data yang berbeda dalam permintaan otorisasi online. “Tanggal ini harus diikat secara kriptografis satu sama lain, tetapi tidak,” jelas para peneliti.
Kesenjangan ini memungkinkan para peneliti untuk merancang serangan menggunakan perangkat proksi NFC, seperti yang didemonstrasikan dalam video. Konfigurasi Mastercard, American Express, dan Discover berhasil melawan serangan tersebut, sementara kartu nirsentuh Visa tidak.
Raja Hasnain Anwar, penulis utama dan kandidat doktor di UMass Amherst, menjelaskan bahwa alasan kartu Visa terpengaruh oleh serangan ini berkaitan dengan cara produsen kartu yang berbeda memiliki protokol yang berbeda untuk menangani transaksi nirsentuh.
“Protokol ini memiliki sebagian besar pesan yang sama untuk memastikan penerimaan global pada berbagai jenis terminal; namun, setiap produsen memiliki pilihan desainnya sendiri untuk mekanisme tambahan,” katanya dalam sebuah email. “Sering kali, pilihan desain ini berakhir pada kompromi untuk memastikan kompatibilitas mundur dengan terminal POS lama, dan juga untuk memenuhi kriteria kinerjanya.”
Dia menambahkan bahwa pemeriksaan keamanan telah ada, namun hanya sebagian dari mekanisme keamanan ini yang digunakan untuk membuat transaksi lebih cepat dan lebih lancar. “Ada studi penelitian lain yang telah menunjukkan masalah dengan Mastercard juga. Ini bermuara pada trade-off antara kinerja dan keamanan, dan sering kali menyisakan ruang untuk kerentanan semacam ini. Tidak ada desain yang secara inheren buruk.”
Para penulis menyatakan bahwa mereka telah memberi tahu Visa tentang temuan mereka pada Mei 2025 dan menindaklanjutinya pada Desember 2025. Baik Visa maupun bank yang diberi tahu belum mengonfirmasi bahwa mereka telah memitigasi masalah kedaluwarsa tersebut.
Visa tidak segera menanggapi permintaan komentar. Sementara itu, bagi konsumen, kewaspadaan terhadap penggunaan kartu nirsentuh dan pemantauan mutasi rekening menjadi semakin krusial. ■
DIGIONARY:
● Application Expiration Date adalah data tanggal kedaluwarsa yang spesifik pada aplikasi chip kartu EMV, digunakan oleh terminal POS untuk validasi lokal.
● Card Transaction Qualifiers (CTQ) adalah data konfigurasi pada kartu atau dompet digital yang menentukan parameter transaksi, seperti apakah otorisasi online diperlukan.
● Cryptogram adalah data terenkripsi yang dihasilkan selama transaksi EMV untuk membuktikan keaslian kartu dan integritas data transaksi.
● EMV adalah standar global untuk transaksi pembayaran yang menggunakan chip, dinamai dari pendirinya: Europay, Mastercard, dan Visa.
● Kernel EMV adalah perangkat lunak dalam terminal pembayaran yang mengimplementasikan spesifikasi EMV untuk berkomunikasi dengan kartu chip.
● Man-in-the-Middle adalah serangan siber di mana penyerang diam-diam memintas dan mengontrol komunikasi antara dua pihak, dalam hal ini kartu dan terminal.
● NFC (Near Field Communication) adalah teknologi nirkabel jarak pendek yang memungkinkan komunikasi antara perangkat dalam jarak dekat, digunakan untuk pembayaran nirsentuh.
● Offline Data Authentication (ODA) adalah mekanisme keamanan dalam EMV di mana terminal memverifikasi data kartu tanpa berkomunikasi secara online dengan penerbit.
● Payment Card Industry Data Security Standard (PCI DSS) adalah standar keamanan informasi untuk organisasi yang menangani kartu bermerek dari skema utama.
● Point-of-Sale (POS) adalah lokasi di mana transaksi dilakukan, seperti kasir di toko atau restoran.
● Tokenisasi adalah proses penggantian data sensitif kartu (seperti nomor PAN) dengan nilai unik yang disebut token, digunakan dalam dompet digital untuk meningkatkan keamanan.
● Transaksi Nirsentuh (Contactless) adalah metode pembayaran di mana kartu atau perangkat didekatkan ke terminal POS tanpa perlu digesek atau dimasukkan.
● Zero-day Attack adalah serangan yang memanfaatkan kerentanan perangkat lunak yang belum diketahui oleh vendor atau pengembang.
#KeamananSiber #KartuKreditKedaluwarsa #ZombieCards #PenelitianUMassAmherst #KerentananEMV #VisaContactless #SeranganManintheMiddle #PeretasanNFC #OtorisasiTransaksi #PenerbitKartu #RisikoPembayaran #KeamananFinansial #TeknologiPembayaran #CyberSecurityNews #PenipuanKartu #USENIXSecurity2026 #ProtokolPembayaran #LindungiKeuangan #WaspadaPhising #DigitalSecurity
