ثغرة أمنية تثير القلق.. هل يمكن للبطاقات الائتمانية المنتهية أن تعود إلى العمل؟
كشف باحثون في جامعة ماساتشوستس أمهيرست الأمريكية عن ثغرة أمنية مقلقة في بعض أنظمة الدفع الإلكتروني، قد تسمح بإعادة استخدام بطاقات ائتمانية انتهت صلاحيتها في ظروف محددة، الأمر الذي يثير مخاوف بشأن إمكانية استغلال هذه الثغرة في عمليات احتيال مالي.
وأطلق الباحثون على هذه البطاقات وصف بطاقات الائتمان الزومبي، في إشارة إلى احتمال ظهور البطاقة مجددا داخل منظومة الدفع رغم انتهاء تاريخ صلاحيتها أو حصول صاحبها على بطاقة بديلة.
وعرضت نتائج الدراسة خلال مؤتمر USENIX Security 2026، حيث سلط الباحثون الضوء على مشكلة مرتبطة بطريقة تعامل الأنظمة المصرفية وشبكات الدفع مع البطاقات التي انتهت صلاحيتها، مع التأكيد على أن انتهاء صلاحية البطاقة المادية لا يعني بالضرورة إغلاق الحساب البنكي المرتبط بها.
لماذا لا ينتهي الحساب البنكي بانتهاء البطاقة؟
توضح الدراسة أن البنوك قد تستمر في إبقاء الحساب المرتبط بالبطاقة فعالا حتى بعد انتهاء صلاحية البطاقة، وذلك لأسباب تشغيلية، من بينها إمكانية استقبال عمليات استرداد الأموال المتعلقة بعمليات شراء سابقة.
وهذا يعني أن هناك فرقا بين انتهاء صلاحية البطاقة نفسها وبين استمرار وجود الحساب المصرفي المرتبط بها داخل الأنظمة البنكية.
وبحسب الباحثين، يمكن أن تظهر المشكلة عندما لا تقوم مختلف الأطراف المشاركة في عملية الدفع بالتحقق من المعلومات بالطريقة نفسها. فعملية الدفع الحديثة لا تعتمد على البطاقة والبنك فقط، وإنما تمر عبر مجموعة من الأنظمة تشمل جهاز الدفع في المتجر، وشبكة الدفع، والجهة المصدرة للبطاقة، إضافة إلى أنظمة المصادقة والحماية.
كيف يمكن استغلال الثغرة؟
اعتمد الباحثون في اختباراتهم على تقنية الاتصال قريب المدى NFC، وهي التقنية المستخدمة في العديد من عمليات الدفع اللاتلامسية والمحافظ الرقمية.
وأظهرت التجارب إمكانية قراءة بيانات مرتبطة ببطاقة منتهية الصلاحية باستخدام جهاز ذكي، ثم نقل هذه البيانات إلى جهاز آخر قادر على محاكاة بعض خصائص عملية الدفع.
وفي السيناريو الذي درسه الباحثون، يمكن تعديل بعض المعلومات المرتبطة بتاريخ انتهاء البطاقة قبل تقديم البيانات إلى جهاز الدفع، بحيث تبدو العملية وكأنها صادرة عن بطاقة ما زالت صالحة.
وتكمن المشكلة الأساسية، وفق الدراسة، في أن بعض أنظمة الدفع قد لا تتحقق بصورة كافية من تطابق تاريخ الانتهاء الذي يقدمه جهاز نقطة البيع مع المعلومات التي تمت المصادقة عليها داخل الأنظمة المصرفية.
ولا يعني ذلك أن جميع البطاقات المنتهية معرضة تلقائيا لهذا النوع من الاستغلال، إذ تعتمد إمكانية حدوث المشكلة على طريقة تصميم وتنفيذ أنظمة البنك وشبكة الدفع والجهاز المستخدم في المعاملة.
الشهادات الرقمية تزيد من تعقيد المشكلة
أشار الباحثون كذلك إلى أن البطاقات المصرفية الحديثة تعتمد على تقنيات تشفير وشهادات رقمية تساعد في التحقق من صحة البطاقة وتأمين عمليات الدفع.
وبحسب نتائج الدراسة، قد تكون مدة صلاحية بعض عناصر المصادقة الرقمية أطول من تاريخ انتهاء البطاقة المطبوع عليها. ويمكن أن يؤدي هذا الاختلاف، في حال عدم وجود آليات تحقق إضافية، إلى وجود فجوة بين صلاحية البطاقة الفعلية وصلاحية بعض البيانات الرقمية المرتبطة بها.
وتوضح هذه النقطة أن أمن عمليات الدفع لا يعتمد على عنصر واحد فقط، وإنما على قدرة جميع مكونات المنظومة على التحقق من المعلومات بصورة متناسقة.
اختبارات في بيئات دفع حقيقية
أكد الباحثون أنهم تمكنوا من اختبار السيناريو الذي درسوه في متاجر ومطاعم حقيقية، وهو ما يعكس أهمية المشكلة من الناحية الأمنية، خصوصا مع الانتشار المتزايد للدفع اللاتلامسي والمحافظ الرقمية.
وتشير الدراسة إلى أن تعقيد منظومة الدفع الحديثة يمكن أن يؤدي أحيانا إلى ظهور نقاط ضعف بين الأنظمة المختلفة، حتى عندما تكون كل منظومة على حدة مزودة بآليات حماية.
فالبطاقة تتواصل مع جهاز الدفع، وجهاز الدفع يتعامل مع شبكة مالية، والشبكة تتواصل مع البنك أو الجهة المصدرة للبطاقة، وكل مرحلة تعتمد على مجموعة مختلفة من قواعد التحقق والمصادقة.
ما الذي يمكن للمستخدمين فعله؟
ينصح الباحثون المستخدمين بعدم التعامل مع البطاقات المنتهية باعتبارها عديمة القيمة بشكل كامل، خصوصا إذا كانت تحتوي على شريحة إلكترونية أو شريط مغناطيسي يمكن قراءة بياناته.
ومن الأفضل عند التخلص من بطاقة منتهية إتلافها بشكل مناسب، من خلال قصها إلى عدة أجزاء وإتلاف الشريحة الإلكترونية والشريط المغناطيسي، ثم التخلص من الأجزاء بطريقة تقلل من إمكانية إعادة استخدامها.
كما ينصح أصحاب الحسابات المصرفية بمواصلة مراقبة كشوفاتهم البنكية وإشعارات العمليات، حتى بعد استبدال البطاقة أو انتهاء صلاحيتها، والإبلاغ للبنك فورا عن أي معاملة غير معروفة أو غير معتادة.
أما بالنسبة إلى البنوك وشركات الدفع، فتسلط الدراسة الضوء على ضرورة تعزيز آليات التحقق وربط المعلومات الخاصة بتاريخ انتهاء البطاقة مع بيانات الحساب والمصادقة الرقمية، إلى جانب تحسين التنسيق بين مختلف مكونات منظومة الدفع.
وتكشف هذه الدراسة أن تطور وسائل الدفع الإلكتروني لا يقتصر فقط على توفير سرعة وسهولة أكبر للمستخدمين، بل يفرض أيضاً تحديات أمنية جديدة تتطلب تحديث أنظمة الحماية بشكل مستمر.
وفي الوقت الذي أصبحت فيه البطاقات اللاتلامسية والمحافظ الرقمية جزءا أساسيا من الحياة اليومية، تبرز الحاجة إلى التأكد من أن جميع مراحل عملية الدفع، من جهاز المستخدم إلى نقطة البيع ثم شبكة الدفع والبنك، تعمل وفق آليات تحقق متناسقة وقادرة على اكتشاف أي محاولة لاستخدام بيانات بطاقة لم تعد صالحة.
ملاحظة مهمة لا تعني نتائج الدراسة أن كل بطاقة ائتمانية منتهية يمكن استخدامها مرة أخرى، وإنما تتحدث عن ثغرة في بعض آليات وأنظمة الدفع قد تسمح بالاستغلال في ظروف معينة.
إرسال تعليق