信用卡剪掉還會被扣款？兩支手機就能破解 Visa 過期卡片，資安團隊揭露「殭屍信用卡」盜刷原理與自保術

國際頂尖資安研究團隊近日披露了一項重大的金融支付底層安全漏洞——「殭屍信用卡（Zombie Cards）」。

研究證實，即便消費者手上的信用卡早已過期、向發卡銀行正式申請註銷，甚至實體卡片已被剪成兩半，跨國發卡組織與訂閱制電商平台之間的後台自動更新機制（Account Updater）以及感應支付驗證缺陷，仍可能在持卡人毫不知情的情況下持續扣款或遭駭客偽造通過驗證，形成巨大的金融資安與盜刷黑洞。

兩支手機就能破解！USENIX安全大會揭露感應支付協議漏洞

在 2026 年舉辦的國際資安頂級研討會 USENIX Security 上，麻薩諸塞大學阿默斯特分校（UMass Amherst）助理教授 Taqi Raza 及其研究團隊，正式發表了名為「殭屍信用卡（Zombie Cards）」的深度安全研究報告。

研究指出，當一張信用卡到期或持卡人換發新卡時，其底層對應的銀行金融帳戶本質上並未失效。研究人員進一步實測發現，市面上的感應式 POS 機讀卡機存在協議驗證盲區。攻擊者僅需準備兩部市售的普通智慧型手機，搭配開源模擬工具，即可輕易發動中間人攻擊（MitM）：

1. 第一部手機（NFC 讀取器）：透過近場通訊（NFC）直接感應並讀取已過期信用卡的內部晶片數據，取得包括過期日期在內的交易封包。
2. 第二部手機（中間人與重寫器）：透過 Wi-Fi 即時接收來自第一部手機的封包數據，並在傳輸給實體店家 POS 終端前，直接竄改修改封包內的過期年份與月份。
3. 終端成功清算：受影響的 POS 終端與結帳系統會毫不懷疑地放行這筆經竄改後的交易，順利自底層帳戶扣款。

Visa驗證機制現安全破口

為何過期的卡片在竄改日期後仍能通過交易？Raza 教授深入剖析指出，信用卡的過期日期在交易流程中實際上存在於兩個獨立層級：一個是 POS 終端在本地讀取的「應用程式過期日（Application Expiration Date）」，另一個則是發卡機構在連線至清算網路進行在線授權時檢查的獨立欄位。

在 Visa 的非接觸式（感應）支付實作規範中，這兩個數據欄位並沒有進行密碼學上的強效關聯綁定。這導致攻擊者在本地攔截並竄改應用層日期時，並不會觸發發卡銀行的在線密碼學驗證警報，從而使過期交易一路綠燈過關。

值得注意的是，在研究團隊的跨機構交叉測試中，Mastercard（萬事達卡）、American Express（美國運通）以及 Discover（發現卡）因具備更嚴密的晶片認證協議，成功防禦了此類中間人竄改攻擊，唯獨 Visa 架構在此次測試中暴露出顯著的安全漏洞。

方便反成隱患：Token代碼化與帳戶自動更新機制的連鎖反應

除了實體 NFC 感應支付的漏洞外，研究團隊亦警告現代金融體系廣泛採用的「帳戶自動更新（Account Updater）」與「Token 代碼化（Tokenization）」所帶來的衍生風險。

在過去，信用卡到期更換通常會阻斷既有的訂閱制扣款；但為了提升消費者體驗並減少電商交易失敗率，Visa 與 Mastercard 均推行了後台自動關聯服務。當舊卡過期或掛失時，清算網路會自動將與商家綁定的代碼（Token）更新導向持卡人的新卡或底層銀行帳戶。這項看似貼心的設計，一旦與「殭屍卡」的感應漏洞或惡意訂閱扣款機制結合，便會導致持卡人即使早已棄用卡片，依然持續承受不知名的扣款與盜刷威脅。

Raza 教授強調，現代數位支付生態圈橫跨了智慧晶片、POS 終端硬體、支付清算網路、收單機構與發卡銀行等多方獨立角色，而資安漏洞往往就誕生於各個環節安全檢查標準脫節的灰色地帶。大眾普遍存在「卡片過期就等於作廢廢鐵」的防護盲點，往往隨意將過期卡片丟入垃圾桶，反而給了有心人士可乘之機。

杜絕「死而復生」：徹底銷毀過期信用卡的防護SOP

針對殭屍信用卡帶來的潛在威脅，資安專家與金融研究人員強烈呼籲持卡人落實以下防護指南：

物理徹底銷毀：拿到換發新卡或停用舊卡時，切勿直接丟棄。應先對卡背磁條進行強力消磁，接著使用重型剪刀確實將嵌入式 EMV 晶片剪碎切斷，並將整張塑膠卡身剪成細碎片狀。
分批分袋丟棄：為防範有心人士透過垃圾桶拾獲拼湊碎片，剪碎後的晶片殘骸與卡號碎片應分裝於不同垃圾袋內丟棄。
主動聯絡銀行關閉後台更新：若要徹底終止某項不再使用的長期訂閱服務或停用卡片，除了在電商平台解綁外，建議主動致電發卡銀行客服，明確要求關閉該卡片在 Visa Account Updater（VAU）或 Mastercard Automatic Billing Updater（ABU）中的後台關聯同步功能，從根本杜絕幽靈扣款。