Süresi dolan kredi kartlarında temassız ödeme riski Sözcü Gazetesi

Kredi kartlarının üzerinde yer alan son kullanma tarihi, kullanıcılar için kartın artık geçersiz olduğu anlamına gelse de temassız ödeme altyapısındaki bazı açıklar bu kuralı devreden çıkarıyor.

Uzmanların "Zombi Kart" olarak adlandırdığı süresi dolmuş kartlar, belirli koşullarda temassız POS terminallerinde hâlâ işlem yapabiliyor. Tehdidin boyutu ise kart şifrelerinin kırılmasından değil, ödeme sırasında iletilen verilerin yetersiz doğrulanmasından kaynaklanıyor.

Temassız ödeme süreci; kart, POS cihazı, banka ve kart ağı arasındaki anlık veri iletişimiyle gerçekleşiyor. Ancak yapılan araştırmaya göre, bu akış sırasında bazı kritik veriler şifrelenmeden, yani "açık metin" olarak iletiliyor. Kartın üzerinde de yazan son kullanma tarihi bilgisi, bu korumasız veri alanlarının başında geliyor.

İncelenen Visa altyapısındaki testlerde, POS cihazının okuduğu tarih bilgisinin kartın dijital imza korumasına dahil edilmediği saptandı. Bu güvenlik açığı şu adımlarla kötüye kullanılabiliyor:

Veri Müdahalesi: Kart ile terminal arasına giren harici bir cihaz, iletilen eski tarih bilgisini anında geçerli bir tarihle değiştiriyor.

Onay Mekanizması: Plastik kartın süresi dolmuş olsa bile kartın içindeki dijital sertifika geçerliliğini koruyorsa, POS cihazı hileyi fark etmeyerek ödemeyi onaylıyor.

Uzmanlar, yaşanan bu durumun temassız ödeme sistemlerindeki kural kontrollerinin ne kadar kritik olduğunu bir kez daha gösterdiğini vurguluyor. 

Güvenlik açıklarının önüne geçilmesi için finans kuruluşlarının yalnızca fiziksel bilgilere güvenmek yerine, işlem sırasında iletilen tüm verileri uçtan uca kriptografik doğrulamaya tabi tutması gerekiyor.