Son kullanma tarihi geçen bazı temassız kredi kartlarının belirli koşullarda ödeme işlemlerinde kullanılabildiği belirlendi. Massachusetts Amherst Üniversitesi araştırmacıları, “Zombi Kart” olarak adlandırılan güvenlik riskinin ödeme sırasında aktarılan verilerden kaynaklandığını açıkladı.
Süresi Dolan Kart İşlem Yapabiliyor
Kredi kartının üzerindeki son kullanma tarihi, kullanıcı açısından kartın geçerliliğinin sona erdiğini gösteriyor. Ancak araştırmaya göre temassız ödeme altyapısındaki bazı açıklar nedeniyle süresi geçen kartlar, belirli POS terminallerinde işlem yapabiliyor. Güvenlik sorununun kart şifrelerinin kırılmasından değil, ödeme sırasında iletilen bazı verilerin yeterince doğrulanmamasından kaynaklandığı belirtildi.
Bazı Veriler Şifrelenmeden İletiliyor
Temassız ödeme işlemi; kart, POS cihazı, banka ve kart ağı arasında gerçekleşen anlık veri alışverişiyle tamamlanıyor. Araştırmada, bu iletişim sırasında bazı önemli bilgilerin şifrelenmeden “açık metin” olarak aktarıldığı tespit edildi. Kartın üzerinde bulunan son kullanma tarihi de korumasız iletilen bilgiler arasında yer alıyor.
Tarih Bilgisi Değiştirilebiliyor
Visa altyapısı üzerinde yapılan testlerde, POS cihazının okuduğu tarih bilgisinin kartın dijital imza korumasına dahil edilmediği belirlendi. Kart ile terminal arasındaki iletişime müdahale eden harici bir cihaz, süresi geçen tarih bilgisini anlık olarak geçerli bir tarihle değiştirebiliyor.
Plastik kartın kullanım süresi sona erse bile kart içindeki dijital sertifikanın geçerliliğini koruması halinde POS cihazı yapılan değişikliği fark etmeyerek ödemeyi onaylayabiliyor.
Uçtan Uca Doğrulama Önemli
Uzmanlar, güvenlik riskinin giderilmesi için finans kuruluşlarının yalnızca kart üzerindeki fiziksel bilgilere güvenmemesi gerektiğini belirtti. İşlem sırasında aktarılan bütün verilerin uçtan uca kriptografik doğrulamaya tabi tutulmasının güvenlik açıklarının önlenmesi açısından gerekli olduğu vurgulandı.
