Исследователи из Массачусетского университета в Амхерсте представили на конференции USENIX Security 2026 атаку под названием Zombie Card. Суть в том, что бесконтактные карты Visa с истёкшим сроком действия можно использовать для оплаты, если подменить дату окончания срока, которую терминал считывает через NFC.

Обычно просроченные карты блокируются на стороне банка, но здесь проблема в самом протоколе бесконтактной оплаты. POS-терминал получает данные о сроке действия прямо с карты, и исследователи показали, что эту информацию можно модифицировать на лету.

Для атаки требуется лишь перехватить NFC-сигнал и подменить поле с датой, после чего терминал считает карту действующей. Это работает даже если сама карта физически просрочена — проверка идёт только по данным, переданным через NFC.

Исследователи не уточняют, затронута ли проблема только Visa или другие платёжные системы тоже уязвимы. Но сам факт, что терминал доверяет данным с карты без сверки с эмитентом, выглядит как серьёзный пробел в безопасности.

Пока неизвестно, как Visa отреагирует на эту находку, но вероятно, потребуется обновление протоколов или дополнительные проверки на стороне банков. Впрочем, для реального использования такой атаки нужен физический доступ к карте, так что массового риска для владельцев пока нет.