Zombie Card: chiếc thẻ Visa hết hạn trong ngăn kéo bếp nhà bạn vẫn có thể trả tiền đi chợ
Các nhà nghiên cứu vừa chỉ ra rằng ngày hết hạn trên một số thẻ Visa contactless có thể bị can thiệp, khiến một chiếc thẻ mà ngân hàng coi là đã chết vẫn được máy POS chấp nhận. Thẻ cũ bạn đã cắt đôi thì không sao. Nhưng chiếc bạn vứt nguyên vào thùng rác thì lại là chuyện khác.
Khi một chiếc thẻ hết hạn, ai cũng mặc định là nó đã chết. Ngày in trên mặt thẻ trôi qua, ngân hàng gửi thẻ mới, còn miếng nhựa cũ trở thành rác — thứ có thể nằm quên trong ngăn kéo nhiều năm, hoặc bị vứt đi mà chẳng ai nghĩ ngợi gì thêm.
Malwarebytes Labs vừa tổng hợp một nghiên cứu học thuật về thứ họ gọi là tấn công Zombie Card: trên một số thẻ Visa contactless, ngày hết hạn dùng trong giao dịch có thể bị chỉnh sửa, và giao dịch vẫn được duyệt bình thường. Nói cách khác, ngày hết hạn không phải ổ khóa chắc chắn như mọi người vẫn tưởng. Bài viết công bố không nói rõ bao nhiêu loại thẻ bị ảnh hưởng, ngân hàng phát hành nào liên quan, hay Visa đã vá lỗi này chưa. Đó là một khoảng trống thật sự — và chúng tôi thà nói thẳng ra còn hơn tự đoán thay.
Điều đáng chú ý không phải là thủ thuật kỹ thuật, mà là thứ nằm phía sau chiếc thẻ. Thẻ của bạn hết hạn, nhưng tài khoản thì không. Ngân hàng chỉ đổi miếng nhựa, còn tiền vẫn nằm nguyên chỗ cũ. Vậy nên một chiếc thẻ vẫn có thể quẹt được không phải là món đồ bảo tàng gắn với số dư đã tắt — nó là chìa khóa vẫn hoạt động, mở vào một tài khoản đang sống.
Contactless khiến chuyện này tệ hơn theo cách rất đời thường. Những giao dịch nhỏ được duyệt không cần mã PIN, chỉ mất vài giây, ở bất kỳ quầy thu ngân nào. Không ai ở quầy nhìn vào ngày hết hạn cả. Máy POS tự quyết định — và nghiên cứu nói rằng máy POS có thể bị đánh lừa để đọc sai thông tin đó.
Một chiếc thẻ hết hạn là chiếc chìa khóa bạn ngừng canh giữ, chỉ vì tin rằng ổ khóa đã đổi.
Đây là lý do phát hiện này thú vị hơn một bài nghiên cứu bình thường. Hầu hết lời khuyên chống gian lận thẻ đều mặc định rủi ro nằm trên mạng: máy đọc trộm thẻ, tin nhắn lừa đảo, rò rỉ dữ liệu. Lần này rủi ro đi ngược lại. Nó là vật lý, nó nằm trong nhà bạn, và cái mô hình an toàn mà ai cũng tin — "hết hạn rồi thì vô hại" — hóa ra chỉ là thói quen, không phải sự đảm bảo.
Bất kỳ ai từng vứt thẻ ngân hàng cũ vào thùng rác mà không cắt nó ra — tức là gần như tất cả mọi người. Đặc biệt là nhóm 20-40 tuổi, những người đổi thẻ liên tục: chuyển ngân hàng vì app mượt hơn, thẻ đi kèm ưu đãi giao đồ ăn, thẻ du lịch chỉ dùng một chuyến, thẻ thay thế sau khi cái cũ bị nứt. Nếu năm năm qua bạn dùng năm chiếc thẻ khác nhau, thì đâu đó vẫn còn bốn miếng nhựa cũ, và có khi bạn chẳng nhớ chúng đang nằm ở đâu. Chuyện này cũng ảnh hưởng đến người ở trọ chung, người hay chuyển nhà, hay để đồ đạc lại chỗ người yêu cũ, chủ nhà cũ, bạn cùng phòng cũ — thẻ hết hạn đi theo đồ đạc cũ của bạn một cách rất tự nhiên. Và nó ảnh hưởng cả những bậc cha mẹ đưa thẻ hết hạn cho con nhỏ chơi — một thói quen thật ra rất phổ biến.
Có hai thứ đáng theo dõi. Một, liệu Visa hay bất kỳ ngân hàng phát hành nào có công khai xác nhận lỗ hổng này và nói rõ thẻ nào bị ảnh hưởng — các mạng lưới thẻ thường im lặng cho đến khi nghiên cứu được trình bày đầy đủ, nên bài báo cáo tại hội nghị học thuật mới là nơi chi tiết thật sự xuất hiện. Hai, liệu các ngân hàng có thay đổi hướng dẫn xử lý thẻ cũ in kèm trong thư gửi thẻ mới hay không. Hiện tại phần lớn chỉ ghi dòng chữ nhỏ "hủy thẻ cũ". Nếu dòng chữ đó chuyển ra mặt trước phong bì, nghĩa là họ đã coi chuyện này nghiêm túc.
Hai mươi năm qua, bảo mật thẻ đã đi từ miếng nhựa, đến con chip, rồi đến chiếc điện thoại. Nghiên cứu này lại chỉ ngược về miếng nhựa — phần mà ai cũng đã ngừng để ý. Hãy đi tìm những chiếc thẻ cũ của bạn. Không phải vì có ai đó đang nhắm đến chúng, mà vì bạn sẽ ngạc nhiên khi thấy có bao nhiêu chiếc, và bạn nhớ được bao ít về việc chúng đã đi đâu.
Nguồn: Malwarebytes Labs, "Zombie Card: An expired Visa credit card can be used for purchases", tháng 8/2026, dựa trên nghiên cứu học thuật đã công bố.
Do tòa soạn AI của THE TELL viết. cách chúng tôi làm việc · đính chính