Peneliti menemukan celah keamanan yang memungkinkan kartu kredit kedaluwarsa tertentu digunakan kembali untuk transaksi, sehingga berpotensi dimanfaatkan pelaku penipuan.
Ilustrasi dibuat oleh AI.Ringkasan
- Celah muncul karena status kedaluwarsa kartu fisik tidak selalu diperiksa ulang secara konsisten oleh bank.
- Peneliti berhasil mendemonstrasikan serangan tersebut menggunakan perangkat yang relatif sederhana pada sejumlah terminal pembayaran.
- Kartu lama sebaiknya tetap dihancurkan dan transaksi pada rekening yang sudah ditutup tetap dipantau.
KARTU kredit yang sudah melewati tanggal kedaluwarsa mestinya masuk kategori “sudah tamat”. Tetapi penelitian terbaru menunjukkan, dalam kondisi tertentu, kartu tersebut ternyata masih bisa bertransaksi.
Mirip zombie dalam film, ia sudah dinyatakan mati, tetapi entah bagaimana masih bisa berjalan-jalan dan membuat masalah.
Temuan ini berasal dari peneliti University of Massachusetts Amherst dan dipresentasikan dalam USENIX Security 2026.
Mereka menemukan celah yang memungkinkan sebagian kartu kredit kedaluwarsa tampak masih aktif di hadapan mesin pembayaran atau point-of-sale (POS).
Masalahnya berawal dari sesuatu yang sebenarnya masuk akal. Rekening kartu kredit tidak otomatis kedaluwarsa ketika kartu fisiknya kedaluwarsa.
Misalnya, ketika seseorang mengembalikan barang, pengembalian dana tetap dapat diproses ke rekening yang terkait dengan kartu lama.
Dari sinilah para peneliti mengajukan pertanyaan sederhana: kalau kartu lama masih bisa menerima pengembalian dana, apakah mungkin kartu itu juga masih bisa melakukan pembayaran?
Jawabannya, untuk sebagian kartu, ternyata "ya".
Peneliti menunjukkan bahwa informasi tanggal kedaluwarsa yang dibaca terminal pembayaran dapat dimanipulasi dalam skenario serangan man-in-the-middle.
Dengan memanfaatkan komunikasi nirkabel NFC dan perangkat yang relatif umum, mereka dapat membuat terminal menerima kartu yang sebenarnya sudah kedaluwarsa seolah-olah masih berlaku.
Yang membuatnya lebih mengkhawatirkan, pelaku tidak harus mengetahui tanggal kedaluwarsa kartu pengganti.
Dalam pengujian, tanggal masa depan tertentu saja sudah dapat membuat kartu lama tampak valid bagi terminal.
Di mana sistem keamanannya gagal?
Secara teori, bank seharusnya menjadi pemeriksaan terakhir.
Namun, penelitian menemukan bahwa tidak semua penerbit kartu selalu memverifikasi kembali informasi kedaluwarsa yang diterima dari terminal dengan data yang telah diautentikasi.
Kartu sebenarnya memiliki mekanisme keamanan lain, termasuk sertifikat digital yang membantu mengamankan komunikasi antara kartu dan terminal.
Masalahnya, masa berlaku sertifikat tersebut bisa lebih panjang daripada masa berlaku kartu. Akibatnya, pemeriksaan ini tidak selalu cukup untuk memastikan bahwa kartu secara administratif memang sudah mati.
Peneliti menguji serangan tersebut di laboratorium maupun lingkungan nyata, termasuk fasilitas makanan dan toko bahan makanan.
Namun, tidak semua kartu terdampak, sementara dompet digital memiliki lapisan keamanan tambahan yang membuatnya lebih tahan terhadap serangan khusus ini.
Menurut peneliti, akar persoalannya adalah sistem pembayaran modern melibatkan banyak komponen: chip kartu, terminal POS, jaringan pembayaran seperti Visa atau Mastercard, hingga bank penerbit.
Masing-masing memiliki informasi dan tanggung jawab berbeda. Ketika satu bagian menganggap kartu masih valid sementara bagian lain sebenarnya mengetahui kartu sudah kedaluwarsa, celah bisa muncul.
Peneliti juga memperingatkan bahwa perkembangan AI dapat membantu penyerang menemukan ketidaksesuaian semacam ini dengan lebih cepat.
Para peneliti telah memberitahukan perusahaan kartu mengenai temuan tersebut.
Sementara itu, konsumen disarankan tetap menghancurkan kartu kedaluwarsa, meskipun sudah menerima kartu pengganti atau bahkan menutup rekening.
Chip dan bagian kartu yang memuat informasi penting sebaiknya dirusak dan kartu dipotong-potong. Untuk kartu berbahan logam, sebaiknya tanyakan prosedur pembuangan kepada penerbit.
Yang tak kalah penting, pantau transaksi pada rekening lama dan segera laporkan transaksi mencurigakan kepada bank.
Sebab ternyata, “sudah kedaluwarsa” belum tentu berarti benar-benar mati. Dalam dunia pembayaran digital, rupanya kartu kredit pun bisa punya kehidupan setelah kematian.
Disadur dari laman University of Massachusetts Amherst - When Zombie Credit Cards Attack: UMass Researchers Discover Loophole That Can Reanimate Expired Cards yang diakses pada Agustus 2026.
Posting Komentar