Khi thẻ đã hủy vẫn "sống" nhiều tháng
"Chip and Skim" được xem là một trong những nghiên cứu học thuật sớm nhất vạch ra rằng chuẩn EMV - vốn ra đời để thay thế dải từ kém an toàn hơn - vẫn có thể mang những khoảng trống nằm ngay trong cách các thiết bị đầu cuối triển khai chuẩn này trên thực tế, chứ không nhất thiết nằm trong bản thân thuật toán mã hóa.
Giai đoạn 2016-2017, cuộc điều tra của trang tài chính MoneySavingExpert tại Anh phát hiện nhiều thẻ thanh toán không tiếp xúc vẫn có thể được sử dụng nhiều tháng, thậm chí có trường hợp lên đến 8 tháng, sau khi chủ thẻ đã báo hủy hoặc báo mất. Nguyên nhân được chỉ ra là do cơ chế xử lý giao dịch "ngoại tuyến", trong đó nhiều khoản thanh toán nhỏ được máy POS tự động phê duyệt mà không cần kết nối kiểm tra ngay với hệ thống của ngân hàng phát hành. Các ngân hàng lớn tại Anh khi ấy đã biết rõ vấn đề này, nhưng không chủ động cảnh báo công khai cho khách hàng.
Sơ đồ đánh lừa máy POS trong kỹ thuật Zoombie Card năm 2025
Đến năm 2020, 3 nhà nghiên cứu David Basin (Giáo sư an ninh thông tin), Ralf Sasse (Nghiên cứu viên cao cấp) và Jorge Toro-Pozo (Nghiên cứu sau tiến sĩ) tại Đại học Kỹ thuật Liên bang Thụy Sĩ (ETH Zurich) công bố công trình "The EMV Standard: Break, Fix, Verify", chứng minh có thể qua mặt máy POS để bỏ qua hoàn toàn bước yêu cầu nhập mã PIN trên thẻ Visa không tiếp xúc, ngay cả khi giá trị giao dịch vượt hạn mức miễn PIN, bằng cách gửi cho máy POS dữ liệu giả khẳng định danh tính chủ thẻ đã được xác minh từ trước.
Cách tiếp cận của nhóm khá đặc biệt: thay vì mò mẫm thử trực tiếp trên thiết bị thật, trước tiên họ dựng một mô hình hình thức toàn bộ giao thức EMV bằng công cụ kiểm chứng Tamarin, nhằm rà soát có hệ thống bộ quy định dài hơn 2.000 trang của chuẩn EMV để tìm ra những lỗi logic khó phát hiện bằng mắt thường, trước khi hiện thực hóa phát hiện bằng một ứng dụng Android thử nghiệm trên thiết bị thật.
Vào thời điểm công bố, tổ chức EMVCo ghi nhận khoảng 9,89 tỷ thẻ EMV đang lưu hành toàn cầu tính đến tháng 12/2020, cho thấy quy mô của chuẩn thanh toán mà lỗ hổng này liên quan tới. Kỹ thuật bỏ qua PIN được thử nghiệm thành công trên các dòng thẻ Visa Credit, Visa Debit, Visa Electron và V Pay, hoàn tất giao dịch ở mức 200 franc Thụy Sĩ. Khi đó nhóm cũng lưu ý thẻ Mastercard, American Express và JCB dùng giao thức khác nên không bị ảnh hưởng trực tiếp, nhưng cảnh báo thẻ Discover và UnionPay - vốn dùng giao thức gần giống Visa - có thể cũng tiềm ẩn rủi ro tương tự.
Một năm sau, cũng chính 3 nhà nghiên cứu này mở rộng phát hiện sang cả thẻ Mastercard và Maestro, qua kỹ thuật "Card Brand Mixup Attack": bằng cách chỉnh sửa mã định danh ứng dụng trên thẻ, họ đánh lừa máy POS tưởng đang xử lý giao dịch của Visa, qua đó lách được cơ chế yêu cầu PIN riêng của Mastercard, hoàn tất giao dịch lên đến 400 franc Thụy Sĩ mà không cần nhập mã.
Nói cách khác, kẻ tấn công dùng chính tấm thẻ Mastercard của nạn nhân để mua hàng giá trị cao mà không cần biết mã PIN, chỉ bằng cách khiến máy POS lầm tưởng đang xử lý một giao dịch Visa rồi áp dụng lại kỹ thuật bỏ qua PIN đã phát hiện trước đó. Mastercard đã xác nhận vá lỗi trong năm 2021, trong khi Visa không đưa ra phản hồi công khai về bản vá cho lỗi tương tự đã được cảnh báo trước đó, theo Heimdal Security.
Điều đáng chú ý là chính nhóm tác giả của Zombie Card cũng tự đặt nghiên cứu của mình vào bối cảnh này. Theo giải thích của nhóm trên trang dự án nghiên cứu, các công trình trước đây về EMV từng cho thấy vấn đề ở khâu xác minh PIN, ở cách xử lý thương hiệu thẻ, hay ở các kiểu tấn công chuyển tiếp dữ liệu nói chung; còn trọng tâm của Zombie Card lại khác - đặt câu hỏi liệu lời hứa "thẻ hết hạn thì không dùng được nữa" có thực sự được toàn bộ chuỗi thanh toán, từ đầu đến cuối, cùng tuân thủ hay không, hay chỉ là một phép kiểm tra cục bộ tại máy POS.
Trước khi công bố Zombie Card, chính nhóm nghiên cứu tại Khwarizmi Lab từng công bố một nghiên cứu riêng năm 2024 mang tên "In Wallet We Trust", chỉ ra lỗ hổng trong các nền tảng ví điện tử như Apple Pay, Google Pay và PayPal, vốn được hơn 5,3 tỷ người dùng trên toàn cầu tính đến năm 2026.
Sơ đồ Card Brand Mixup Attack năm 2021
Nghiên cứu chỉ ra rằng bất kỳ đối tượng nào biết được số thẻ vật lý của người khác đều có thể tự thêm số thẻ đó vào ví điện tử của chính mình để đóng giả chủ thẻ hợp pháp, đồng thời phát hiện rằng ngay cả khi một chủ thẻ báo mất thẻ vật lý, nhiều ngân hàng lớn tại Mỹ khi đó chỉ khóa giao dịch phát sinh từ thẻ vật lý mà không khóa luôn giao dịch qua ví điện tử đã liên kết trước đó. Lỗ hổng này đã được xác nhận khắc phục vào thời điểm công bố nghiên cứu.
Cần hủy thẻ đúng cách
Gần nhất, hãng an ninh mạng Group-IB công bố báo cáo ngày 12/8/2026 về một họ mã độc Android chuyên dùng cho giao tiếp không dây chuẩn NFC mà hãng đặt tên WindRelay, được triển khai cùng với mã độc điều khiển từ xa SpyNote, nhắm vào nạn nhân tại Cộng hòa Séc, Slovakia và Slovenia thông qua các cuộc gọi lừa đảo trực tiếp.
Báo cáo ghi nhận 23 mẫu mã độc được tải lên nền tảng VirusTotal trong khoảng thời gian từ tháng 11/2025 đến tháng 7/2026, cùng 4 địa chỉ IP máy chủ điều khiển. Loại mã độc này chuyển tiếp dữ liệu của một thẻ ngân hàng đang hoạt động trong thời gian thực và không hề đụng đến ngày hết hạn, nhưng theo chính The Hacker News, nó sử dụng cùng nguyên lý chuyển tiếp 2 thiết bị mà bộ khung thử nghiệm Zombie Card cũng dựa vào.
Nhìn lại toàn bộ chuỗi phát hiện trải dài từ năm 2012 đến 2026, có thể nhận ra một mạch xuyên suốt. Dù mỗi nghiên cứu nhắm vào một khâu khác nhau trong hệ thống thanh toán - từ số ngẫu nhiên của máy ATM, cơ chế xử lý ngoại tuyến, bước xác minh PIN, cách xử lý thương hiệu thẻ, cho đến ngày hết hạn hay lớp xác thực của ví điện tử - phần lớn đều xuất phát từ cùng một đặc điểm cấu trúc: quyết định chấp nhận hay từ chối một giao dịch được chia nhỏ cho nhiều bên khác nhau, mà không có một bên duy nhất chịu trách nhiệm xác minh toàn bộ chuỗi thông tin từ đầu đến cuối.
Trong lúc chờ các tổ chức thẻ quốc tế hoàn thiện những bản vá kỹ thuật ở tầm hệ thống, biện pháp phòng ngừa hiệu quả nhất mà mỗi cá nhân có thể tự thực hiện ngay, đó là cắt xuyên qua cả chip lẫn dải từ thay vì vứt bỏ thẻ còn nguyên vẹn. Theo khuyến nghị của GS Raza (ĐH Umass Amherst), chủ thẻ không nên vứt bỏ một tấm thẻ đã hết hạn khi nó vẫn còn nguyên vẹn, kể cả khi tài khoản gắn với thẻ đó đã bị đóng vĩnh viễn.
Theo GS Raza, chủ thẻ nên phá hủy con chip gắn trên thẻ bằng cách dùng kéo cắt, tiếp đến cắt rời thân thẻ hoặc đưa qua máy hủy giấy sao cho các đường cắt đi xuyên qua toàn bộ những chữ số và ký tự nổi trên bề mặt thẻ. Khuyến cáo của các ngân hàng trong nước cũng tương tự, khi thẻ hết hạn nên dùng kéo cắt vào phần chip nhiều lần và cắt rời thân thẻ để bảo đảm phá hủy luôn ăng-ten NFC ẩn bên trong lớp nhựa của thẻ.
An ninh của một hệ thống thanh toán không phụ thuộc vào việc từng thành phần riêng lẻ có "mật mã mạnh" hay không, mà phụ thuộc vào việc toàn bộ chuỗi xác thực có cùng nhìn thấy và kiểm chứng một sự thật hay không. Nghiên cứu cho thấy kết quả cũng không giống nhau giữa các mạng thanh toán và ngân hàng: Mastercard, American Express và Discover có những cơ chế kiểm tra khiến kiểu sửa đổi này bị phát hiện, trong khi một số cấu hình Visa được thử nghiệm cho phép giao dịch đi qua. Nói cách khác, cùng một chiếc thẻ nhưng "số phận" của giao dịch có thể phụ thuộc vào cách POS, mạng thanh toán và ngân hàng chia sẻ trách nhiệm kiểm tra.
Tuy nhiên, người dùng không nên hiểu mọi thẻ Visa hết hạn đều có thể bị hacker "hồi sinh". Cuộc tấn công đòi hỏi kẻ tấn công phải có quyền tiếp cận vật lý với thẻ hoặc duy trì khoảng cách NFC phù hợp, đồng thời cần một thiết lập "Man-in-the-Middle" để can thiệp vào quá trình giao tiếp. Nghiên cứu cũng mới được thực hiện trong phạm vi thử nghiệm tại Mỹ và chưa có bằng chứng cho thấy kỹ thuật này đang bị khai thác ngoài thực tế.
(CATP) Mỗi khi một tấm thẻ ngân hàng gắn chip EMV thanh toán không tiếp xúc được áp vào máy đọc (POS) tại quầy thanh toán, một chuỗi trao đổi dữ liệu diễn ra chỉ trong tích tắc. Thẻ giao tiếp trực tiếp với máy POS qua kênh NFC, sau đó thông tin giao dịch được chuyển tiếp đến một mạng lưới thanh toán như Visa, Mastercard hay Discover.