USENIX Security 2026 konferansında sunulan bir araştırma, süresi dolmuş temassız ödeme kartlarının bazı durumlarda hala ödeme amacıyla kullanılabileceğini ortaya koydu. Massachusetts Amherst Üniversitesi'nden bir araştırma ekibinin geliştirdiği yöntem, EMV temassız ödeme protokolündeki bir güvenlik açığını gözler önüne serdi.
Araştırmacılar tarafından gösterilen yöntemde, süresi dolmuş bir kart ve iki akıllı telefon kullanılıyor. İlk telefon, sahte bir terminal gibi davranarak süresi dolmuş kartın bilgilerini okuyor. Bu veriler daha sonra ikinci telefona aktarılıyor. Veri aktarımı sırasında, kartın son kullanma tarihi anlık olarak değiştiriliyor. Kendini kart olarak tanıtan ikinci telefon, gerçek bir ödeme terminaline okutulduğunda işlem onaylanıyor. Sistemdeki bu güvenlik boşluğunun, EMV protokolünün işlem sırasındaki tüm verileri şifrelememesinden kaynaklandığı belirtildi. Son kullanma tarihi bilgisinin düz metin olarak iletilmesi, verinin terminale ulaşmadan önce değiştirilmesine olanak tanıyor.
Visa, Mastercard ve Discover kartları üzerinde yapılan testlerde, söz konusu güvenlik açığının yalnızca bazı Visa kartlarında çalıştığı tespit edildi. Yöntemin başarısının, işlemi gerçekleştiren bankanın ek güvenlik kontrolleri yapıp yapmamasına bağlı olduğu aktarıldı. Araştırmacılar, Mayıs 2025 ve Aralık 2025 tarihlerinde Visa ile iletişime geçtiklerini ancak henüz ilgili kurumlar tarafından bir önlem alınmadığını açıkladı.
Daha önce Mastercard ağında da benzer bir güvenlik açığı tespit edilmişti. Mastercard kartlarını Visa gibi göstererek PIN kodu sınırını aşan bu yöntemle ilgili olarak şirket, ağın güncellendiğini ve açığın kapatıldığını duyurmuştu. Uzmanlar, güvenlik risklerine karşı süresi dolmuş ödeme kartlarının atılmadan veya saklanmadan önce fiziksel olarak imha edilmesi gerektiğini vurguladı.
