Günü geçmiş kredi kartlarının cüzdanlarda taşınmaya devam etmesi, kullanıcılar için beklenmedik bir siber güvenlik tehdidi barındırıyor. Kredi kartlarının üzerindeki son kullanma tarihinin geçmesi, kartın fiziksel olarak geçersiz olduğu algısını yaratsa da temassız ödeme altyapısındaki teknik eksiklikler bu kuralı işlevsiz bırakabiliyor.
Uzmanların "Zombi Kart" olarak nitelendirdiği süresi dolmuş kartlar, belirli koşullar altında temassız POS terminallerinde işlem gerçekleştirebiliyor. Bu durumun temel nedeni kart şifrelerinin kırılması değil, ödeme sürecinde iletilen verilerin yetersiz doğrulanması olarak öne çıkıyor.
Açık metin transferi siber saldırganlara davetiye çıkarıyor
Temassız ödeme işlemi; kart, POS cihazı, banka ve kart ağı arasındaki anlık veri iletişimiyle gerçekleşiyor. Massachusetts Amherst Üniversitesi tarafından yapılan araştırma, bu veri akışı sırasında bazı kritik bilgilerin şifrelenmeden yani "açık metin" olarak iletildiğini gösteriyor. Kartın üzerinde yer alan son kullanma tarihi bilgisi de bu korumasız veri alanları arasında bulunuyor.
Visa altyapısı üzerinde gerçekleştirilen testlerde, POS cihazının okuduğu tarih bilgisinin kartın dijital imza korumasına dahil edilmediği tespit edildi. Bu güvenlik açığı, saldırganların aşağıdaki adımlarla sistemi kandırmasına imkan tanıyor:
İlk aşamada veri müdahalesi devreye giriyor. Kart ile terminal arasına yerleştirilen harici bir cihaz, iletilen eski tarih bilgisini anında geçerli bir tarihle değiştiriyor. İkinci aşamada ise onay mekanizması devreye giriyor. Plastik kartın süresi dolmuş olsa bile kartın içindeki dijital sertifika geçerliliğini koruyorsa, POS cihazı hileyi fark etmiyor ve ödemeyi onaylıyor.
Uzmanlar, yaşanan bu gelişmenin temassız ödeme sistemlerindeki kural kontrollerinin önemini bir kez daha gözler önüne serdiğini belirtiyor. Güvenlik açıklarının giderilmesi için finans kuruluşlarının yalnızca fiziksel bilgilere güvenmek yerine, işlem sırasında iletilen tüm verileri uçtan uca kriptografik doğrulamaya tabi tutması gerektiği vurgulanıyor.
