NFC 유효기간 조작으로 만료된 비자카드 결제 성공_2026년 08월

미국 매사추세츠대(UMass Amherst) 연구진이 USENIX Security Symposium에서 만료된 비자(Visa) 신용카드도 NFC 비접촉 결제에 다시 사용할 수 있는 '좀비 카드(Zombie Card)' 공격을 공개했다. 카드와 결제단말기 사이에서 전달되는 유효기간 정보만 조작하면 카드의 암호 서명은 그대로 통과돼, 스마트폰 2대만으로 실제 매장 결제에 성공하는 사례까지 확인됐다.

□  개요 

   미국 매사추세츠대학교 애머스트 연구진(라자 하스나인 안와르, 제라드 드쿠냐, 무하마드 타키 라자)은 2026년 8월 12일부터 14일까지 미국 볼티모어에서 열린 '제35회 USENIX Security Symposium'에서 만료된 신용카드를 비접촉 결제에 되살릴 수 있는 '좀비 카드' 공격을 공개했다. 논문 제목은 'Zombie Cards Back Online: Reviving Expired Credit Cards for Contactless Payments'다.
    공격의 핵심은 비자 비접촉 결제에 사용되는 EMV 커널 3(Kernel 3)의 유효기간 처리 방식에 있다. 결제단말기는 'Application Expiration Date' 값을 확인해 카드 만료 여부를 판단하고, 카드 발급사는 별도의 'Track 2 Equivalent Data'를 온라인 승인 과정에서 사용하는데, 연구진은 단말기가 확인하는 유효기간 정보가 카드의 디지털 서명으로 보호되지 않는다는 점에 주목했다. 공격자가 카드와 단말기 사이 NFC 통신에 개입해 지난 날짜를 미래 날짜로 바꿔도 카드의 서명이나 거래용 암호값은 정상으로 검증됐다.
공격에는 특수 장비도 필요하지 않았다. 연구진은 NFC 기능이 있는 안드로이드 스마트폰 2대를 이용해 한 대는 결제단말기 가까이, 다른 한 대는 만료 카드 가까이 두고 두 기기 사이에서 결제 데이터를 중계했다. 이 과정에서 단말기로 전달되는 유효기간만 미래 날짜로 바꾸고 카드 발급사로 전달되는 원래 카드 정보는 그대로 유지했으며, 공격자는 새 카드의 실제 유효기간을 알 필요도 없었다.
연구진은 미국 주요 은행 5곳이 발급한 카드와 비자·마스터카드·아메리칸 익스프레스·디스커버 결제 방식을 대상으로 실험했다. 비자 커널 3을 사용한 한 은행의 만료 카드에서는 공격 후 1달러, 100달러, 500달러 결제가 모두 승인됐으며, 실제 외부 매장의 결제단말기를 이용한 2.79달러와 3.19달러 결제도 성공했다. 유효기간을 조작하지 않은 동일한 만료 카드는 정상적으로 결제가 거부됐다. 다만 모든 비자 카드가 공격에 성공한 것은 아니며, 다른 은행은 결제단말기 단계는 통과했지만 카드 발급사가 최종 승인을 거절하고 교체된 카드 사용을 안내했다. 반면 마스터카드 커널 2, 아메리칸 익스프레스 커널 4, 디스커버 커널 6은 각각 데이터 불일치·서명 검증 실패·해시 불일치로 거래를 거부해, 비자 커널 3이 상대적으로 유효기간 정보 중간 조작에 취약한 구조를 보였다.

 

□  취약점 및 공격 방식 요약  

    1. 대상 : 비자(Visa) EMV 비접촉결제 커널 3(Kernel 3) 적용 카드·결제단말기
    2. 취약점 유형
        - NFC 중간자(MitM) 공격을 통한 카드 유효기간 정보 변조
        -  유효기간 데이터의 암호학적 무결성 보호 결여(EMV 커널 3 구조적 취약점)
        -  발급사 승인 정책 미비에 따른 만료 카드 재사용 사고
    3. 실증 결과 : 일부 미국 은행 발급 카드 대상 1~500달러 결제 승인 성공(실제 매장 포함)
    4. 공격 조건
        - NFC 기능이 있는 안드로이드 스마트폰 2대(카드 에뮬레이터·POS 에뮬레이터 역할)
        - 만료됐지만 물리적으로 파손되지 않은 실제 카드에 대한 접근(소지 또는 근접)
        - 계좌(PAN)가 교체카드 발급 후에도 그대로 유지된 상태
        - 발급사가 승인 시 유효기간을 별도로 재검증하지 않는 경우

    5. 특이사항
        - 카드의 암호체계 자체를 깨는 것이 아니라, 단말기가 확인하는 유효기간 필드만 조작하는 방식
        - 중계 과정의 평균 지연은 약 415밀리초로, EMV가 허용하는 최대 응답시간(500ms) 내에 들어와 탐지 회피
        - EMV에 중계공격 탐지용 '릴레이 저항 프로토콜(RRP)'이 마련돼 있으나 선택 기능이라 실제 시험 대상 카드·단말기에는 미적용
        - 마스터카드·아멕스·디스커버는 동일 조작을 모두 차단, 비자 커널 3만 상대적으로 취약
        - 연구진은 2025년 5월 비자·관련 은행에 최초 신고, 12월 재연락했으나 논문 작성 시점까지 구체적 완화조치 답변 미수령(비자는 내부 레드팀 재현 진행 중)
        - 악용 위험을 고려해 실제 NFC 중계·조작 프로그램은 공개하지 않음
        - 현재까지 확인된 실제 범죄 악용 사례는 없음(연구·시연 단계)
        - 실험은 미국 일부 은행·카드·단말기 대상으로, 모든 비자 카드나 전 세계 결제환경이 취약하다는 의미는 아님
        - 유사 기법을 활용한 실제 악성코드(WindRelay, NFC 중계형)가 체코·슬로바키아·슬로베니아 등에서 SpyNote와 결합해 유포된 사례도 별도 보고됨(2025.11~2026.7, 샘플 23건)

□  연구·공개 경과(타임라인)  

    - 2025년 05월
        . 연구진, 비자 및 관련 은행에 취약점 최초 통보
    - 2025년 12월
        . 연구진, 비자·은행 측에 재연락
    - 2026년 08월 12일~14일
        . 미국 볼티모어, 제35회 USENIX Security Symposium에서 논문 공식 발표
    - 2026년 08월 18일~21일
        . 해외 보안매체(The Register, TheHackerNews, GBHackers 등) 및 국내 데일리시큐 보도로 확산
    - 진행 상황
        . 비자, 초기 검토 및 내부 레드팀 공격 재현 진행 중(구체적 완화조치 미발표)

□  대응·권고 내역  

    - 연구진, 사전 책임공개(Responsible Disclosure) 절차에 따라 비자·은행에 사전 통보(2025.5, 2025.12)
    - 비자, 초기 검토 및 내부 레드팀을 통한 공격 재현 진행
    - 연구진, 악용 방지를 위해 실제 공격 도구·코드는 비공개(정제된 거래 로그만 공개)
    - 연구진, 이용자 대상 만료 카드의 IC칩·마그네틱선 물리적 파손 폐기 권고

□ 재발방지대책(권고사항)   

    1. 결제망·발급사 대상 기술적 조치
       - 카드 유효기간을 위·변조 불가능한 암호학적 인증 데이터로 처리(단순 정책값 취급 지양)
       - 결제단말기가 확인하는 유효기간과 발급사가 확인하는 유효기간(Track 2 데이터) 간 상호 비교·일치 검증
       - 발급사, 카드번호(PAN)뿐 아니라 현재 유효한 카드 인스턴스와 유효기간 일치 여부 재검증
       - 선택 기능인 EMV 릴레이 저항 프로토콜(RRP)의 필수 적용 확대
       - 마스터카드·아멕스·디스커버 방식처럼 유효기간을 인증 대상 데이터·해시에 포함하는 구조로 개선

    2. 이용자·가맹점 대상 관리적 조치
       - 교체카드 발급 후 기존 만료 카드는 IC칩·마그네틱선을 물리적으로 파손해 폐기(단순 절단 지양)
       - 가맹점, POS 단말기의 EMV 보안기능(RRP 등) 최신 상태 유지
       - 카드사·발급은행, 유사 NFC 중계형 위협(WindRelay 등 악성코드 포함)에 대한 모니터링 강화
       - 이상 거래(소액·반복 승인 시도 등) 탐지 체계(FDS) 고도화

□  관련기사(출처)  

• 폐기한 비자카드도 안심 못한다…NFC 유효기간 조작해 결제 성공 - 데일리시큐
• Zombie Card Attack Can Revive Expired Visa Cards for Contactless Payments - The Hacker News
• Expired credit cards revived by researchers to make unauthorized payments - The Register
• Researchers find a loophole that lets expired credit cards make unauthorized payments - Help Net Security
• Zombie Cards Back Online: Reviving Expired Credit Cards for Contactless Payments - USENIX

 

감사합니다.