Son Kullanma Tarihi Geçmiş Kredi Kartları Temassız Ödemelerde Yeniden Hayat Buluyor: Visa Kartlarda Şok Eden Güvenlik Açığı

📌 Öne Çıkan Gelişmeler

• Massachusetts Amherst Üniversitesi araştırmacıları, temassız Visa kredi kartlarında son kullanma tarihi geçmiş olsa bile yetkisiz ödemelerin yapılabileceği bir güvenlik açığı keşfetti.
• Açık, EMV temassız protokolündeki son kullanma tarihi denetimlerinin tutarsızlığından ve özellikle Visa'nın çekirdeğindeki (kernel) şifreleme eksikliğinden kaynaklanıyor.
• Bu "ortadaki adam" (man-in-the-middle) saldırısı, NFC proxy cihazları kullanarak son kullanma tarihi geçmiş kartları geçerli gibi gösteriyor ve bazı bankaların bu işlemleri onayladığı tespit edildi.

Finansal teknolojiler dünyası, günlük hayatımızın vazgeçilmez bir parçası haline gelirken, güvenlik her zaman en kritik öncelik olmuştur. Ancak son dönemde, ödeme sistemlerinin temelinde yatan güvenlik mekanizmalarına yönelik çarpıcı bir keşif, sektörde büyük yankı uyandırdı. Massachusetts Amherst Üniversitesi'nden bir grup araştırmacı, tüketicilerin cüzdanlarındaki potansiyel tehlikeyi gözler önüne sererek, son kullanma tarihi geçmiş temassız kredi kartlarının dahi yetkisiz ödemeler için kullanılabileceğini ortaya koydu. USENIX Security 2026 konferansında "Zombie Cards Back Online: Reviving Expired Credit Cards for Contactless Payments" başlıklı makaleleriyle dikkat çeken Raja Hasnain Anwar, Gerard DeCunha ve Muhammad Taqi Raza, bu bulgularıyla sadece Visa kart kullanıcılarını değil, tüm temassız ödeme ekosistemini derinden sarsacak bir güvenlik zafiyetini ifşa etti. Bu gelişme, ödeme sistemlerinin arka planındaki karmaşık veri akışlarının ve güvenlik katmanlarının ne kadar kırılgan olabileceğini bir kez daha gösteriyor ve bankacılık ile teknoloji sektörlerini yeni güvenlik önlemleri almaya zorluyor.

Teknik Detaylar ve Saldırının İşleyişi

Temassız ödeme sistemleri, son yıllarda pandemiyle birlikte daha da yaygınlaşarak günlük alışverişlerimizde standart hale geldi. Bu sistemlerin temelinde, Europay, Mastercard ve Visa (EMV) konsorsiyumu tarafından geliştirilen bir protokol yatıyor. EMV protokolü, kart (veya bir telefondaki dijital cüzdan) ile satış noktası (POS) terminali arasında doğrudan NFC (Yakın Alan İletişimi) kanalı üzerinden güvenli bir iletişim kurmayı amaçlar. Ancak araştırmacılar, bu protokolün belirli uygulamalarında, özellikle de son kullanma tarihi doğrulama süreçlerinde ciddi boşluklar olduğunu tespit etti.

Saldırının özü, EMV temassız protokolünün işlem akışının "seçici olarak doğrulanması" prensibine dayanıyor. Bazı veriler kart ile terminal arasında şifrelenmemiş (plaintext) olarak gönderiliyor ve yalnızca daha sonra Çevrimdışı Veri Doğrulama (ODA) ve ihraççı tarafından doğrulanmış kriptogramlar kullanılarak şifresel doğrulamaya bağlanıyor. İşte bu noktada, kötü niyetli bir aracı, "ortadaki adam" (man-in-the-middle - MITM) saldırısı gerçekleştirerek, kart ile terminal arasındaki veri akışına müdahale edebilir. Araştırmacılar, iki mobil telefonu NFC proxy cihazları olarak kullanarak, son kullanma tarihi geçmiş bir temassız Visa kartının, POS terminaline "geçerli" olduğuna dair yanlış bir bilgi gönderebildiğini kanıtladı.

Bu saldırının kilit noktası, Visa'nın EMV çekirdeğinin (kernel) diğer ödeme ağlarından farklı bir tasarım tercihine sahip olmasıdır. American Express, Discover ve Mastercard gibi diğer kart sağlayıcılarının çekirdekleri, son kullanma tarihini şifresel olarak bağlarken, Visa'nın çekirdeği bu kritik bağlantıyı kurmuyor. Visa çekirdeği, POS terminalinin işlem kısıtlamalarını "Uygulama Son Kullanma Tarihi"ne (Application Expiration Date) göre değerlendirmesine izin veriyor. Ancak kartı ihraç eden banka, çevrimiçi yetkilendirme talebinde farklı bir veri alanından gelen son kullanma tarihine güveniyor. Bu iki tarih arasında şifresel bir bağ olmaması, araştırmacıların araya girip, terminale gösterilen son kullanma tarihini değiştirerek kartın hala aktif olduğunu düşündürmesini sağlıyor. Kartın normal güvenlik kontrolleri geçerli görünse de, terminale iletilen tarih manipüle edilmiş oluyor.

Visa'ya Özgü Zafiyet ve Sektörel Yansımalar

Araştırma ekibi, yaptığı testlerde Mastercard, American Express ve Discover kartlarının bu saldırıya karşı direnç gösterdiğini, ancak Visa temassız kartlarının savunmasız kaldığını açıkça belirtiyor. Bu farklılık, kart üreticilerinin temassız işlemleri yönetmek için benimsediği farklı protokollere ve tasarım tercihlerine dayanıyor. Raja Hasnain Anwar, farklı üreticilerin geriye dönük uyumluluğu ve performans kriterlerini sağlamak için bazen güvenlikten ödün veren tasarım seçimleri yapabildiğini ifade ediyor. Tüm güvenlik mekanizmalarının her işlemde çağrılmaması, işlemleri hızlandırırken bu tür güvenlik açıklarına davetiye çıkarabiliyor.

Bu durum, ödeme güvenliği standartları açısından önemli bir tartışma başlatıyor. EMV protokolü, küresel kabulü sağlamak için çoğu mesajda ortak bir yapıya sahip olsa da, her üreticinin ek mekanizmalar için kendi tasarım özgürlükleri bulunuyor. Visa'nın yaklaşımında, yetkilendirme sorumluluğu büyük ölçüde işlemi yapan bankaya kaydırılıyor. Bu da saldırının başarısının, ilgili bankanın işlemi nasıl ele aldığına bağlı olduğu anlamına geliyor. Araştırmacıların test ettiği bazı bankalar bu manipüle edilmiş işlemleri kabul ederken, diğerleri reddetti. Bu tutarsızlık, bankacılık sektöründe de güvenlik politikalarının ve uygulama standartlarının gözden geçirilmesi gerektiğini gösteriyor.

Sektörel olarak bu keşif, tüketicilerin temassız ödeme sistemlerine olan güvenini zedeleyebilir. Zaten son yıllarda artan siber güvenlik tehditleri ve veri ihlalleri, dijital finansal hizmetlere yönelik endişeleri artırmıştı. Bu yeni zafiyet, kötü niyetli kişilerin son kullanma tarihi geçmiş kartları hedef alarak yetkisiz harcamalar yapma potansiyeli taşıdığından, milyonlarca Visa kart kullanıcısı için bir risk faktörü oluşturuyor. Bankalar ve ödeme ağları, bu tür zafiyetlerin hızla giderilmesi ve tüketicilerin bilgilendirilmesi konusunda önemli bir sorumluluk taşıyor.

Güvenlik ve Performans Dengesi: Geçmişten Günümüze EMV ve Gelecek Beklentileri

EMV standardı, 1990'ların ortalarında kredi kartı dolandırıcılığını azaltmak amacıyla ortaya çıktı ve manyetik şeritli kartlara kıyasla çok daha yüksek bir güvenlik seviyesi sunmayı hedefledi. Özellikle çip ve PIN teknolojisinin yaygınlaşmasıyla, kart kopyalama ve sahtecilik büyük ölçüde azaldı. Temassız ödemelerin eklenmesiyle birlikte, hız ve kolaylık da güvenlik denklemine dahil oldu. Ancak, bu son araştırma, hız ve kullanıcı deneyimi uğruna güvenlikten verilen tavizlerin, beklenmedik zafiyetlere yol açabileceğini gösteriyor.

Tarihsel olarak, her yeni teknoloji veya protokol, güvenlik açıklarıyla birlikte gelmiştir. EMV'nin kendisi de ilk çıktığında farklı saldırı vektörlerine karşı test edilmiş ve zamanla geliştirilmiştir. Ancak temassız ödemelerin yaygınlaşmasıyla, NFC protokolü üzerinden gerçekleşen etkileşimlerin karmaşıklığı, yeni güvenlik katmanlarının gerekliliğini ortaya koydu. Çevrimdışı Veri Doğrulama (ODA) ve çevrimiçi yetkilendirme arasındaki dengenin doğru kurulması, bu tür zafiyetlerin önüne geçmek için hayati öneme sahip.

Gelecekte, bu tür araştırmaların ödeme ağlarını ve bankaları daha proaktif güvenlik önlemleri almaya itmesi bekleniyor. Özellikle Visa gibi büyük oyuncuların, kendi çekirdek uygulamalarındaki şifreleme eksikliklerini gidererek son kullanma tarihi denetimlerini güçlendirmesi gerekecek. Bu, sadece teknik bir düzeltme değil, aynı zamanda kullanıcı güvenini yeniden tesis etme ve ödeme ekosisteminin sağlamlığını pekiştirme meselesidir. Mobil cihazların NFC proxy olarak kullanılabildiği bu çağda, dijital cüzdan uygulamalarının ve genel olarak finansal hizmetlerin uçtan uca güvenliği, çok daha kapsamlı bir şekilde ele alınmalıdır.

💡 Mercek360 Sektörel Değerlendirmesi

Massachusetts Amherst Üniversitesi araştırmacılarının ortaya koyduğu bu "zombi kart" zafiyeti, dijital ödeme sistemlerinin görünürdeki sağlamlığının altında yatan hassas dengeleri bir kez daha gözler önüne seriyor. Özellikle Visa'nın EMV çekirdeğindeki son kullanma tarihi doğrulama mekanizmasındaki şifreleme eksikliği, modern finansal teknolojilerin temelinde yatan güvenlik prensiplerine yönelik ciddi bir sorgulamayı tetikliyor. Bu durum, sadece teknik bir hata olmaktan öte, performans ve geriye dönük uyumluluk uğruna güvenlikten ödün vermenin uzun vadeli sonuçlarını gösteren bir vaka çalışması niteliğinde. Finansal kurumlar ve teknoloji sağlayıcıları, kullanıcı deneyimini iyileştirmeye çalışırken, güvenlik duvarlarının bütünlüğünü asla tehlikeye atmamaları gerektiğini acı bir şekilde öğreniyorlar.

Bu keşfin en kritik yanı, bir "ortadaki adam" saldırısının, mevcut temassız ödeme altyapısında nasıl etkili olabileceğini somut bir şekilde göstermesidir. NFC proxy'leri kullanarak basit mobil cihazlarla dahi gerçekleştirilebilen bu manipülasyon, güvenlik araştırmalarının sadece teorik değil, pratik ve gerçek dünya tehditlerine karşı ne kadar hayati olduğunu kanıtlıyor. Mastercard, American Express ve Discover'ın bu saldırıya direnç göstermesi, farklı mühendislik yaklaşımlarının güvenlik seviyeleri üzerindeki doğrudan etkisini ortaya koyuyor. Visa'nın bu zafiyeti hızla gidermesi, sektördeki lider konumunu sürdürmek ve müşteri güvenini korumak adına kritik önem taşıyor.

Mercek360 olarak, bu tür bulguların sadece bir uyarı işareti değil, aynı zamanda tüm ödeme ekosistemi için bir iyileştirme çağrısı olduğuna inanıyoruz. Bankaların ve ödeme ağlarının, son kullanma tarihi doğrulamaları gibi temel güvenlik kontrollerini daha güçlü şifreleme mekanizmalarıyla desteklemesi, işlem akışının her aşamasında bütünlük ve orijinalliği sağlaması gerekiyor. Bu olay, gelecekteki finansal teknoloji geliştirmelerinde "önce güvenlik" yaklaşımının ne kadar vazgeçilmez olduğunu hatırlatıyor. Aksi takdirde, "zombi kartlar" gibi beklenmedik tehditler, dijital ekonominin omurgasını oluşturan güveni erozyona uğratmaya devam edecektir.