期限切れクレカが復活？ゾンビカード攻撃の仕組みと決済システムが抱える致命的欠陥

• 期限切れカードをNFC中継で不正利用する「ゾンビカード攻撃」がUSENIX Security 2026で報告された。
• POS端末と銀行側の有効期限チェックの不備を突き、通信途中で期限データを未来の日付に改ざんする手法。
• Visa（Kernel 3）規格で脆弱性が確認されており、決済システムの信頼性モデルそのものに再考が迫られている。

我々エンジニアにとって、クレジットカードの有効期限チェックは「あって当たり前」のバリデーションだ。しかし、USENIX Security 2026で発表された論文『Zombie Cards Back Online』は、その前提を根底から破壊した。この攻撃手法は、期限切れのカードが持つICチップ内の暗号鍵や決済機能が、券面の印字期限を過ぎても物理的に死滅していないという「仕様」を逆手に取っている。決済の成否を握るのがカード側ではなく、POS端末側のロジックであるという構造的な弱点を突いた、極めて巧妙な攻撃だ。

具体的には、NFC機能を搭載したスマートフォン2台を用意するだけで実行可能だ。1台をカードリーダーとして、もう1台をPOS端末のエミュレータとして機能させ、通信を中継する。この通信経路の途中で、カードから送出される有効期限データを傍受し、未来の日付に書き換える。POS端末は、この改ざんされたデータを受け取り「有効なカードである」と誤認する。まるで、深夜のデバッグ中に見落とした境界値テストのバグが、本番環境で致命的な障害を引き起こす瞬間を彷彿とさせる。この攻撃は、単なる理論上の脆弱性ではなく、実機を用いた検証でレシートまで発行されるという、極めて生々しい脅威として提示された。

特筆すべきは、この攻撃が成功する条件だ。研究チームの検証によれば、Visaの「Kernel 3」規格において脆弱性が確認された。これは、通信経路上でのデータ改ざんを検知する暗号技術的な整合性チェックが、当該規格において不十分であったことを示唆している。一方で、MastercardやAmerican Express、Discoverでは改ざんが検知され、攻撃は失敗に終わった。この差は、プロトコル設計におけるセキュリティ強度の違いを如実に物語っている。我々が普段何気なく実装しているAPIや通信プロトコルにおいても、エンドツーエンドの整合性検証を怠れば、いつ「ゾンビ」のような不正利用の温床になりかねないという教訓を突きつけられているのだ。

この攻撃の真に恐ろしい点は、POS端末を騙すことにとどまらず、最終的な決済承認を行う銀行側のシステムまでをも突破してしまう点にある。なぜ、銀行のバックエンドシステムは、期限切れのカードを「有効」と判断してしまったのか。その背景には、決済業界が長年追い求めてきた「処理スピード」という名の最適化がある。多くの銀行システムは、POS端末側で有効と判断された情報を信頼し、自社側での有効期限の再確認工程を省略、あるいは簡略化している。これは、ミリ秒単位のレスポンスを競う決済インフラにおいて、パフォーマンスを優先した結果の「設計上の妥協」と言えるだろう。

エンジニアの視点で見れば、これは「信頼の連鎖」がどこかで断ち切られている状態だ。POS端末が送ってくる情報を「正しい」と盲信し、バックエンドで再検証を行わないというアーキテクチャは、いわば入力値のサニタイズをフロントエンドのみで行い、バックエンドで信頼してクエリを実行するSQLインジェクションの脆弱性と同質の構造的欠陥を抱えている。決済という、最も高い信頼性が求められる領域において、このような「性善説」に基づいた設計がまかり通っている事実は、我々エンジニアにとって背筋が凍る思いだ。

この問題は、単にカード会社や決済事業者の責任に帰するものではない。我々が開発するあらゆるシステムにおいて、「外部からの入力をどこまで信頼するか」というゼロトラストの原則を、改めて問い直す必要がある。決済システムのような巨大なレガシーインフラであっても、一度設計思想が陳腐化すれば、今回のような「ゾンビカード」を許容する脆弱なシステムへと変貌してしまう。読者諸氏が明日から取るべき対策は、自らのシステムにおける「信頼の境界線」を再定義することだ。外部APIのレスポンスを鵜呑みにせず、必ず自前で検証を行うこと。そして、パフォーマンスとセキュリティのトレードオフを、単なる「速度」の追求ではなく「安全な速度」へと再構築すること。この問いに対する答えを、我々はコードの中に実装し続けなければならない。決済の未来は、この脆弱性をどう埋めるかという、地道なエンジニアリングの積み重ねにかかっているのではないだろうか。