Riset Ungkap Kartu Kredit Kedaluwarsa Masih Bisa Dipakai Transaksi

Telset.id – Kartu kredit yang sudah melewati tanggal kedaluwarsa ternyata masih bisa digunakan untuk melakukan pembayaran contactless di mesin kasir sungguhan. Temuan dari peneliti University of Massachusetts Amherst ini mengungkap celah keamanan baru yang berpotensi merugikan pemegang kartu yang membuang plastik lama mereka secara sembarangan.

Para peneliti menyebut kartu yang sudah mati ini sebagai “zombie card”. Yang menarik, serangan ini tidak menembus enkripsi EMV sama sekali. Justru, aturan kedaluwarsa untuk pembayaran contactless diterapkan sebagai kebijakan antara dua pihak, bukan sebagai properti tetap dari kartu itu sendiri. Ironisnya, kedua belah pihak tidak selalu tahu siapa yang seharusnya melakukan pemeriksaan tersebut.

Serangan ini membutuhkan kepemilikan fisik atas kartu yang dibuang serta dua smartphone biasa. Hasil pengujian bervariasi tergantung bank penerbit, dengan kartu Visa terbukti rentan terhadap metode ini.

Celah Keamanan pada Kartu Visa

Transaksi contactless melibatkan kartu, terminal point-of-sale, bank merchant, jaringan kartu, dan penerbit. Setiap pihak memegang bagian dari keputusan yang akhirnya menentukan apakah transaksi berhasil atau ditolak. Alur EMV contactless hanya diautentikasi secara selektif: beberapa field berpindah antara kartu dan terminal dalam teks tidak terenkripsi dan dihubungkan dengan verifikasi kriptografi di kemudian hari. Kondisi ini membuka vektor serangan bagi pengguna yang memiliki akses fisik ke kartu kedaluwarsa.

Paparan di sini bukan karena field tersebut bisa dibaca, sebab tanggal kedaluwarsa memang tercetak di kartu. Masalahnya, field itu bisa diubah dengan relatif mudah. Application Expiration Date yang dibaca terminal berada di bagian yang tidak dilindungi. Dalam konfigurasi Visa yang diuji tim, field tersebut tidak tercakup oleh tanda tangan digital kartu dan karenanya tidak terikat secara kriptografis dengan nilai kedaluwarsa yang dilihat penerbit dalam permintaan otorisasi online.

Kondisi ini membuka vektor serangan bagi perangkat di antara kartu dan terminal yang memproses pembayaran dengan mengubah nilai kedaluwarsa menjadi tanggal yang masih berlaku. Masalah diperparah oleh isu kedua: kartu membawa tanggal kedaluwarsa di dalam sertifikat digital yang digunakan untuk membangun percakapan kartu-ke-terminal. Peneliti menemukan bahwa sertifikat tersebut bertahan lebih lama dari tanggal yang tercetak di plastik. Intinya, pemeriksaan yang seharusnya bisa menangkap masalah ini justru melihat jam yang diatur lebih maju.

Namun, cakupan serangan ini terbatas. Serangan hanya memengaruhi kartu contactless Visa, sementara Mastercard, Discover, dan American Express menolak perubahan tanggal kedaluwarsa tersebut. Serangan juga membutuhkan akses fisik ke kartu dan dua smartphone untuk melakukannya, menjadikannya upaya yang sedikit lebih kompleks.

Proteksi Opsional yang Tidak Diaktifkan

Ironisnya, EMV sebenarnya memiliki proteksi yang bisa menggagalkan upaya semacam ini: Relay Resistance Protocol. Protokol ini mengukur waktu untuk mendeteksi relay yang disisipkan dan dapat menghentikan transaksi sepenuhnya. Namun, protokol ini bersifat opsional dan tidak diaktifkan pada terminal atau kartu mana pun yang diuji para peneliti.

Tim peneliti telah memberi tahu Visa dan bank-bank terkait pada Mei 2025 dan lagi pada Desember 2025, dengan menyertakan panduan reproduksi, jejak transaksi, dan video. Laporan Visa telah melewati triase awal, dan tim red team perusahaan sedang mereproduksinya. Namun, hingga artikel ini ditulis, baik Visa maupun bank yang diberi tahu belum mengonfirmasi upaya mitigasi. Visa juga tidak menanggapi permintaan pers dari The Register.

Kegagalan mendasar ini berakar pada cara keputusan pembayaran kini tersebar di banyak pemain, termasuk arsitektur chip, terminal, jaringan, dan bank. Semua pihak mengasumsikan bahwa pemeriksaan kedaluwarsa adalah tanggung jawab pihak lain. Pendekatan ini bisa menjadi bumerang bagi mereka dan pelanggan mereka.

Sementara menunggu perbaikan dirilis, saran peneliti tetap penting: berhenti memperlakukan kartu mati sebagai benda yang tidak berbahaya. Hancurkan chip di dalamnya dan potong nomor kartu untuk mencegah penyalahgunaan.

Untuk konteks keamanan digital yang lebih luas, ancaman semacam ini menunjukkan pentingnya kewaspadaan terhadap teknologi pembayaran. Sementara industri AI terus berkembang dengan berbagai inovasi seperti Supernode AI terbaru, keamanan transaksi keuangan tetap menjadi perhatian utama konsumen.

Temuan ini juga mengingatkan bahwa adopsi teknologi baru selalu diiringi risiko keamanan. Seperti halnya perkembangan AI inference yang membawa tantangan baru, sistem pembayaran contactless yang praktis juga menyimpan celah yang perlu diwaspadai.

[CONTENT_END]