セキュリティ

期限切れVisaカードで買い物できる欠陥が見つかる

タッチ決済に使うVisaの非接触カードに、有効期限の検証を迂回できる欠陥が見つかった。捨てたカードが、まだ使える。

岬徹

2026年8月19日 20:5900

タッチ決済に使うVisaの非接触カードに、有効期限の検証を迂回できる欠陥が見つかった。捨てたカードが、まだ使えてしまう。

スマートフォン2台と期限切れカード

クレジットカードには有効期限がある。期限が切れたカードはもう使えない。多くの人はそう信じてカードをゴミ箱に入れる。

マサチューセッツ大学アマースト校のラジャ・ハスナイン・アンワー（Raja Hasnain Anwar）氏、ジェラード・デクーニャ（Gerard DeCunha）氏、ムハンマド・タキ・ラザ（Muhammad Taqi Raza）氏の3人は、その前提を覆す研究結果をUSENIX Security 2026（セキュリティ分野の主要学会）で発表した。論文のタイトルは「Zombie Cards Back Online: Reviving Expired Credit Cards for Contactless Payments」（ゾンビカード再起動：期限切れクレジットカードを非接触決済で蘇生させる）。

必要な機材は、市販のスマートフォン2台とNFC中継ソフトウェア。攻撃者は新しいカードの有効期限を知る必要がない。任意の未来の日付で足りてしまう。

仕組みはこうだ。1台目のスマートフォンを期限切れカードにかざすと、カードはNFC（近距離無線通信）で決済情報を送信する。その中に有効期限も含まれている。2台目のスマートフォンがWi-Fi経由でそのデータを受け取り、有効期限だけを偽の日付に書き換えて、POS端末（店舗の決済端末）にかざす。

端末から見れば、有効なカードで普通に決済しているように見える。外から見れば、スマートフォンでタッチ決済しているのと区別がつかない。

なぜ有効期限を書き換えられるのか

根本にあるのは、国際決済規格EMV（Europay、Mastercard、Visaが策定した規格）の設計上の判断だ。

タッチ決済では、取引を速くするためにカードと端末の間で一部のデータが暗号化されない平文のままやり取りされる。Visaの非接触決済仕様では、カードがPOS端末に提示する有効期限が署名の保護対象外。つまり、途中で書き換えても署名の検証は通る。

筆頭著者のアンワー氏は、このカラクリを端的に説明している。

カードに印字・記録された有効期限は、POS端末がそのカードの有効・無効を知る唯一の手段だ。だがそれは暗号で保護されていない。だから簡単に書き換えてPOS端末を騙せる

さらに厄介なのが、Visaの決済フローにはもう一つの「有効期限」が存在することだ。カードの内部には、暗号鍵に付随するデジタル証明書の有効期限が別途埋め込まれている。POS端末はまずこの証明書の有効期限を確認し、通過すれば取引の暗号処理に進む。

ところが研究チームの調査で、証明書の期限がカードより長いことがわかった。期限切れカードでも暗号通信は成立してしまう。二重の有効期限チェックがあるように見えて、実際にはどちらも機能していない。

Visaだけが突破された理由

研究チームはVisa、Mastercard、American Express、Discoverの4つのカードブランドをテストした。攻撃が成功したのはVisaだけだった。

Mastercard、American Express、Discoverの各カーネル（EMV規格における各ブランドの実装仕様）では、有効期限がカードの暗号署名に組み込まれている。書き換えれば署名が壊れるため、攻撃は成立しない。

Visaのカーネルでは、有効期限がPOS端末の処理制限チェックに使われるものの、暗号署名の保護範囲外にある。加えて、Visaの決済フローはPOS端末での判断を保留し、認証をカード発行銀行のオンライン承認に委ねる設計になっている。

その結果がどうなるか。銀行に回った段階で、POS端末が読み取った有効期限（すでに偽の日付に書き換え済み）がそのまま承認要求に載る。銀行によっては、POS端末の判断を信頼してそのまま承認してしまう。研究チームが米国の大手銀行5行でテストしたところ、一部の銀行で取引が成立した。

スピードとセキュリティの代償

なぜこうなったのか。

研究チームの筆頭著者であるアンワー氏は、各カードブランドが独自の設計判断を重ねてきたことに原因を求めている。EMV規格にはブランド間で共通のメッセージが多いが、追加のセキュリティ機構はブランドごとに異なる。取引を速く滑らかにするために一部だけを実行する。その取捨選択が、古いPOS端末との互換性維持とともに、攻撃の余地を生んだ。

この構造的な問題は今回に限った話ではない。2025年にはサリー大学とバーミンガム大学の研究チームがUSENIX Security 2025で、非接触決済に追加された利便性機能がセキュリティを劣化させることを指摘した。2020年にはETHチューリッヒの研究チームがVisaのPIN検証を迂回する攻撃を実証している。非接触決済の「選択的に認証されるデータ」が攻撃の対象になるパターンは、繰り返し報告されている。

取引を0.5秒でも速くしたい。古い端末でも使えるようにしたい。その判断が、何年にもわたって攻撃面を広げ続けてきた。