Udløbet betalingskort kan stadig misbruges — klip det over

Et udløbet betalingskort er ikke et stykke dødt plastik. Forskere fra University of Massachusetts Amherst har vist, at et kort, der for længst er erstattet af et nyt, stadig kan gennemføre kontaktløse betalinger i en helt almindelig butik — hvis nogen får fingre i det.

Angrebet er døbt Zombie Card og blev fremlagt på sikkerhedskonferencen USENIX Security 2026 under titlen "Zombie Cards Back Online: Reviving Expired Credit Cards for Contactless Payments". Forskerne fik i laboratoriet godkendt køb på både 1, 100 og 500 dollar med et kort, der var udløbet — og gentog det i virkeligheden med rigtige køb på 2,79 og 3,19 dollar i en kantine og et supermarked.

Den praktiske konsekvens for dig er enkel, og de fleste danskere gør det forkert: det gamle kort skal ikke bare smides i skraldespanden. Det skal ødelægges — både chippen og magnetstriben.

Hvorfor et udløbet kort stadig virker

Selve fejlen ligger i, hvordan udløbsdatoen bliver behandlet i den kontaktløse betalingsstandard EMV.

Når du holder kortet mod en terminal, læser terminalen udløbsdatoen fra chippen. Den dato er den eneste måde, terminalen kan afgøre, om kortet stadig er gyldigt. Men — og det er hele pointen — datoen er ikke kryptografisk beskyttet. Den er et almindeligt datafelt uden signatur.

Som hovedforfatteren Raja Hasnain Anwar formulerer det: "Udløbsdatoen, der er trykt og gemt på kortet, er den eneste måde, hvorpå betalingsterminalen kan vide, om kortet er aktivt eller udløbet. Alligevel er den ikke kryptografisk beskyttet."

Den anden halvdel af problemet er, at din konto ikke udløber, selvom plastikket gør det. Kortnummeret og kontoen lever videre — banken har blot en politik om, at transaktioner efter en bestemt dato skal afvises. Udløbet er altså en regel, der håndhæves oveni, ikke en egenskab ved selve kortet.

Idéen til forsøget opstod ifølge medforfatteren, adjunkt Muhammad Taqi Raza, af et helt banalt spørgsmål: "Hvis kortet kan modtage en refusion, kan kortet så også gennemføre en betaling?" For nogle korts vedkommende er svaret ja.

Sådan blev angrebet gennemført

Angrebet kræver hverken specialudstyr eller adgang til bankens systemer. Det kræver to almindelige smartphones, noget software — og det fysiske kort.

1. Den første telefon holdes mod det udløbne kort og aktiverer det via NFC. Kortet svarer med sine data, herunder den forældede udløbsdato.

2. De data sendes videre over wi-fi til telefon nummer to. Undervejs bliver udløbsdatoen skrevet om til en dato ude i fremtiden.

3. Telefon nummer to holdes mod betalingsterminalen og opfører sig som et helt almindeligt digitalt wallet-betaling. Terminalen ser en gyldig dato og godkender.

Det er et klassisk man-in-the-middle-angreb mod en kanal, der ikke er integritetsbeskyttet. Forskernes konklusion er kontant: "Vores resultater viser, at kontaktløse Visa-transaktioner er sårbare over for man-in-the-middle-manipulation på grund af manglende effektiv integritetsbeskyttelse."

Der er et ekstra teknisk hår i suppen. I Visas såkaldte Kernel 3 bliver det flag, der markerer kortet som udløbet, nulstillet, inden data sendes videre til kortudstederen. Banken ser altså aldrig, at der var noget galt. Og den kontrol, man kunne tro fangede det — kortets digitale certifikat — dur ikke, fordi certifikaternes gyldighed løber længere end selve kortets.

Ikke alle kort og banker er ens

Det vigtige forbehold: angrebet virkede ikke overalt.

Forskerne testede fire kortnetværk — Visa, Mastercard, American Express og Discover — og to banker. Kun den ene bank lod transaktionerne gå igennem. Den anden, skriver de, "fangede det samme trick hver eneste gang og afviste transaktionen." Det er Visas kontaktløse implementering, der er beskrevet som sårbar over for manipulationen.

Digitale wallets klarer sig bedre. Apple Pay, Google Wallet og lignende bruger en anden sikkerhedsmodel med token-baserede kortnumre og enhedsbunden kryptografi, og de er ifølge forskerne mere modstandsdygtige over for netop denne type angreb. Har du lagt kortet i telefonen frem for at bruge plastikkortet, står du altså stærkere.

Undersøgelsen er lavet på amerikanske kort og amerikanske terminaler. Men EMV-standarden for kontaktløs betaling er den samme globalt, så mekanismen er ikke i sig selv et amerikansk fænomen. Om et konkret dansk pengeinstitut foretager den ekstra kontrol, der stopper angrebet, er ikke undersøgt — og det er præcis derfor, rådet er det samme uanset hvor du bor.

Bemærk i øvrigt, at teknikken minder om det NFC-relæ, som kriminelle allerede bruger i praksis. Vi har tidligere beskrevet, hvordan Android-malware relæer dit betalingskort via NFC mens du selv står med kortet i hånden. Forskellen er, at Zombie Card ikke kræver malware — kun fysisk adgang til det kasserede kort.

Sådan skiller du dig af med det gamle kort

De fleste danske banker sender automatisk et nyt kort, inden det gamle udløber, og skriver i deres vejledninger, at det gamle skal klippes over. Rådet er rigtigt — men det bliver ofte gjort halvhjertet, med ét snit gennem plastikket.

Forskernes anbefaling er mere grundig:

• Afmagnetiser magnetstriben med en magnet.
• Ødelæg chippen — den lille metalflade på forsiden — med en saks eller et hammerslag. Det er chippen, angrebet bruger. Et klip ved siden af chippen er ikke nok.
• Klip kortet i flere stykker, og smid stykkerne i forskellige skraldespande, så et helt kort ikke kan samles igen.
• Bliv ved med at holde øje med kontoen — også efter kortet er lukket. Som forskerne skriver: "Smid altid dit udløbne kort ud, uanset hvad. Og selv hvis du lukker kortet permanent, bør du fortsat holde øje med transaktionerne på den lukkede konto."

Det sidste punkt er det, folk springer over. Man lukker kortet, holder op med at kigge, og opdager derfor aldrig noget.

Bemærk også, at det ikke kun er udløbne kort, der bliver farlige, fordi ingen holder øje med dem længere. Det samme mønster gælder på nettet, hvor hackere opkøber udløbne domæner og genbruger den tillid, der er bygget op omkring dem.

Hvad betyder det for danskerne?

Rent økonomisk står danske forbrugere ikke dårligt, hvis uheldet er ude. Efter betalingsloven hæfter du højst 375 kroner, når misbrug sker med brug af en personlig sikkerhedsforanstaltning som pinkode eller MitID. Ved kontaktløs betaling under beløbsgrænsen bruges der netop ingen pinkode — og så er udgangspunktet, at du slet ikke hæfter, og at banken bærer tabet. Forbrug.dk gennemgår reglerne i detaljer.

Men beskyttelsen forudsætter én ting: at du opdager misbruget og gør indsigelse. Og det er her, det udløbne kort er lumsk. Beløbene i forskernes forsøg var på under 25 kroner. Små posteringer på en konto, du er holdt op med at følge, fordi kortet jo er "dødt", er nøjagtig den slags, der aldrig bliver opdaget.

Der er også en fysisk dimension, som er værd at tage alvorligt: kortet skal være i hænderne på nogen. Det taler for ikke at aflevere et gammelt kort i en åben papirkurv i banken, på kontoret eller i en genbrugsstation — og for ikke at lade udløbne kort ligge og samle støv i skuffen sammen med de aktive.

Konklusion

Zombie Card-angrebet er ikke set brugt af kriminelle endnu. Det er forskning, ikke en igangværende kampagne, og forskerne har informeret de berørte parter, så EMV-specifikationen og bankernes kontroller kan strammes. Den slags rettelser tager typisk år at rulle ud i hele betalingsinfrastrukturen, fordi de rører ved terminaler, kerner og udstedersystemer på én gang.

I mellemtiden koster modforanstaltningen dig tredive sekunder. Find de gamle kort frem fra skuffen, klip gennem både chip og magnetstribe, fordel stumperne — og skim kontoudtoget en ekstra gang, også på de konti, du troede var lukket ned.

Kilder: Help Net Security og TechXplore.