Siber güvenlik uzmanlarının "Zombi kart" olarak tanımladığı bu güvenlik açığı, kullanım ömrünü tamamlamış kartların teknik olarak tamamen devre dışı kalmamasından kaynaklanıyor. Araştırmacıların ortaya koyduğu deneysel yönteme göre, temassız ödeme noktalarındaki onay mekanizmaları yanıltılabiliyor:
-
Manipülasyon Süreci: İşlem esnasında iki akıllı telefon kullanılıyor. İlk cihaz aracılığıyla edinilen kredi kartı bilgileri, Wi-Fi ağı üzerinden ikinci telefona aktarılıyor.
-
Tarih Değişikliği: İkinci cihaza aktarılan veriler üzerinde müdahale edilerek kartın son kullanım tarihi ileri bir tarihe çekiliyor. Bu sayede onay mekanizmasında kritik bir boşluk meydana getiriliyor.
Karmaşık Onay Mekanizması Risk İştahını Artırıyor
Ödeme ekosistemindeki karar alma süreçlerinin çok katmanlı yapısı, koordinasyon eksikliklerini de beraberinde getiriyor. Kart çipinden POS terminaline, Visa ve Mastercard gibi uluslararası ödeme ağlarından kartı tahsis eden bankalara kadar uzanan bu veri akışı zincirinde tutarsızlıklar yaşanabiliyor.
Fiziksel kartın geçerlilik süresinin bitmiş olması, söz konusu hesabın sistem tarafında tamamen kapatıldığı anlamına gelmediğinden, ödeme ağları ile finans kuruluşlarının aynı verileri senkronize ve tutarlı bir biçimde denetlemesi büyük önem taşıyor.
Bireysel ve Kurumsal Düzeyde Hangi Önlemler Alınmalı?
Siber güvenlik uzmanları, ortaya çıkan bu zafiyete karşı hem kart sahiplerine hem de finans kurumlarına kritik tavsiyelerde bulunuyor:
Kullanıcılar İçin: Süresi dolan veya iptal edilen kredi kartlarının sadece kesilmekle kalmayıp, çip ve manyetik şerit kısımları da dahil olmak üzere ufak parçalara ayrılarak farklı çöp noktalarına atılması gerekiyor.
Finans Kuruluşları İçin: Bankaların ve ödeme ağlarının, sistemi terk etmiş ya da son kullanım tarihi geçmiş kart verilerini anlık olarak ortak bir denetim mekanizmasıyla kontrol altında tutması şart koşuluyor.
