Apa Itu Zombie Card dan Mengapa Berbahaya?
Zombie card adalah kartu kredit kedaluwarsa yang secara fisik sudah lewat tanggal berlaku, tetapi masih bisa dipakai melakukan transaksi contactless karena kelemahan verifikasi tanggal kedaluwarsa di jaringan pembayaran, sehingga menciptakan celah keamanan kartu kredit yang dapat dieksploitasi penyerang ketika kartu tersebut dibuang tanpa perlindungan.
Peneliti dari University of Massachusetts Amherst menemukan bahwa kartu kredit yang sudah melewati tanggal kedaluwarsa tetap dapat digunakan di mesin kasir sungguhan untuk transaksi contactless, selama akun di balik kartu masih aktif. Temuan ini mengungkap fakta yang tidak nyaman: banyak dari kita memperlakukan kartu mati sebagai sampah biasa, padahal secara teknis plastik itu belum benar-benar tidak berguna bagi pelaku pembajakan kartu. Para peneliti menamai teknik serangan ini “Zombie Card”, istilah yang tepat untuk menggambarkan kartu yang seolah hidup kembali meski sudah resmi “dimakamkan”.
Masalah utamanya ada pada perbedaan antara tanggal kedaluwarsa fisik yang tercetak pada kartu dan status rekening kartu kredit di sistem bank. Ketika bank menerbitkan kartu pengganti, nomor rekening utama sering kali tetap, sehingga kartu lama yang kedaluwarsa masih terhubung ke akun aktif. Dalam konteks keamanan kartu kredit, ini adalah kombinasi buruk: plastik yang dibuang sembarangan, akun yang tetap aktif, dan lapisan verifikasi yang longgar. Jika sebelumnya kita tenang memotong kartu sekadar menjadi dua atau tiga bagian, riset ini menunjukkan bahwa sikap seperti itu sudah tidak cukup aman.
Mengapa Visa Contactless Paling Rentan?
Menurut riset tersebut, celah utama ada pada cara transaksi contactless memproses dan memvalidasi tanggal kedaluwarsa. Transaksi contactless melibatkan beberapa pihak sekaligus: kartu, terminal point-of-sale (POS), bank merchant, jaringan kartu, dan bank penerbit. Setiap pihak melihat potongan informasi yang berbeda, dan keputusan akhir menerima atau menolak transaksi muncul dari kombinasi potongan tersebut. Di atas kertas, arsitektur terdistribusi ini dirancang untuk menyebar risiko; dalam praktik, ternyata ia juga menyebar tanggung jawab sehingga tidak selalu jelas siapa yang wajib memeriksa tanggal kedaluwarsa.
Pada kartu contactless Visa yang diuji, Application Expiration Date yang dibaca terminal POS berada di bagian data yang tidak dilindungi tanda tangan digital. Artinya, informasi kedaluwarsa yang dilihat terminal dan kemudian dipakai jaringan untuk memutuskan status transaksi tidak terikat secara kriptografis dengan data yang dilihat penerbit. Inilah pintu masuk utama serangan. Dengan perangkat di antara kartu dan terminal, penyerang dapat mengubah nilai kedaluwarsa menjadi tanggal yang masih berlaku tanpa memicu kegagalan tanda tangan digital.
Yang lebih mengkhawatirkan, sertifikat digital pada kartu membawa tanggal kedaluwarsa lain yang biasanya lebih lama daripada tanggal yang tercetak di plastik. Jadi ketika sistem seharusnya memeriksa apakah sertifikat dan kartu sudah lewat masa berlaku, “jam” kriptografi itu masih menganggap kartu hidup. Akibatnya, pemeriksaan tambahan pun tumpul. Riset ini menunjukkan bahwa serangan Zombie Card hanya memengaruhi kartu contactless Visa, sementara Mastercard, Discover, dan American Express menolak perubahan tanggal kedaluwarsa dalam pengujian.
Bagaimana Serangan Zombie Card Dilakukan?
Untuk memanfaatkan celah ini, pelaku perlu memiliki kartu kredit kedaluwarsa secara fisik dan dua smartphone biasa. Ini bukan serangan jarak jauh murni; artinya, kebiasaan membuang kartu sembarangan menjadi faktor risiko utama. Menurut laporan riset, tim peneliti menunjukkan bahwa kerentanan ini berfungsi di laboratorium dan di beberapa lokasi dunia nyata, termasuk restoran dan toko bahan makanan. Fakta bahwa serangan berhasil di lingkungan nyata memperlihatkan bahwa ini bukan sekadar simulasi akademis.
Skemanya seperti ini: smartphone pertama ditempelkan dekat kartu kedaluwarsa untuk mengaktifkan chip lewat teknologi near-field communication (NFC) dan membaca data transaksi, termasuk tanggal kedaluwarsa. Data itu kemudian dikirim ke smartphone kedua melalui relai berbasis Wi-Fi yang berperan sebagai man-in-the-middle (MITM). Sebelum data diteruskan ke terminal POS, aplikasi pada ponsel kedua menimpa tanggal kedaluwarsa dengan tanggal di masa depan, tanpa perlu mengetahui tanggal asli kartu. Selama POS dan jaringan kartu tidak melakukan verifikasi kriptografis yang memadai terhadap field tanggal ini, transaksi contactless pun bisa lolos.
Dari sudut pandang pembajakan kartu, teknik Zombie Card menarik karena memanfaatkan plastik yang dianggap tidak bernilai. Namun, cakupan serangan tetap terbatas: hanya memengaruhi kartu contactless Visa, dan memerlukan dua ponsel serta akses fisik ke kartu. Ini membuatnya lebih kompleks dibanding pencurian data kartu konvensional. EMV sebenarnya sudah menyediakan Relay Resistance Protocol untuk mengukur waktu dan mendeteksi relai yang disisipkan, tetapi sayangnya protokol ini bersifat opsional dan tidak diaktifkan di kartu maupun terminal yang diuji. Di sinilah kelalaian industri tampak jelas: fitur keamanan ada, tetapi tidak dipakai.
Seberapa Serius Ancaman Ini untuk Pengguna?
Secara teknis, zombie card bukan berarti setiap kartu kredit kedaluwarsa otomatis berbahaya. Dampak ancaman bergantung pada jenis kartu, jaringan pembayaran, bank penerbit, dan cara sistem POS menangani data. Tidak semua kartu kredit kedaluwarsa dapat “diaktifkan kembali”, dan dompet digital memiliki lapisan perlindungan tambahan walau masih punya jenis risiko lain. Namun, bagi pengguna kartu contactless Visa, kombinasi kelemahan verifikasi tanggal dan kurangnya perlindungan relay membuat ancaman ini terlalu besar untuk diabaikan.
Ada dua kabar buruk dari sisi kebijakan. Pertama, hingga laporan ini ditulis, Visa dan bank-bank yang diberi tahu belum mengonfirmasi mitigasi apa pun, meski peneliti sudah melaporkan temuan ini sejak Mei 2025 dan kembali pada Desember 2025 lengkap dengan panduan reproduksi dan jejak transaksi. Kedua, belum ada pedoman teknis yang diterbitkan oleh jaringan besar lain maupun penyedia terminal POS yang disebut dalam laporan. Industri tampak lambat merespons, padahal ini menyentuh inti keamanan kartu kredit: keandalan autentikasi dan integritas data transaksi contactless.
Dari perspektif pengguna, ancaman ini mungkin belum masif karena butuh sumber daya dan akses fisik ke kartu, tetapi ia mengubah asumsi dasar: kartu kredit kedaluwarsa bukan lagi benda mati. Selama kartu terhubung ke akun aktif dan sistem tidak mengikat tanggal kedaluwarsa secara kriptografis ke data transaksi, kemungkinan penyalahgunaan tetap ada. Menganggap plastik lama sebagai sampah adalah sikap nyaman yang sekarang terbukti keliru. Dalam ekosistem di mana pembajakan kartu terus beradaptasi, setiap celah prosedural seperti ini hampir pasti akan dicoba.
Langkah Praktis Melindungi Diri dari Zombie Card
Sampai industri pembayaran memperbaiki desain verifikasi tanggal kedaluwarsa, beban proteksi jatuh ke tangan pengguna. Saran paling penting: berhenti memperlakukan kartu kredit kedaluwarsa sebagai objek tidak berbahaya. Sebelum membuang kartu, hancurkan chip dan pita magnetik, lalu potong bagian nomor kartu sehingga plastik tidak lagi bisa berfungsi pada pembaca contactless maupun magstripe. Tindakan ini mungkin terasa berlebihan, tetapi dalam konteks keamanan kartu kredit modern, inilah garis pertahanan terakhir yang realistis.
Kebiasaan memantau transaksi juga perlu ditingkatkan. Pengguna disarankan terus memeriksa mutasi rekening, bahkan ketika kartu atau akun sudah ditutup. Ingat, zombie card bekerja karena ada jarak waktu antara logika “kartu ini sudah mati” di kepala pemilik dan status “akun masih aktif” di sistem bank. Memantau transaksi secara rutin membuat Anda lebih cepat mendeteksi pembajakan kartu, baik pada kartu aktif maupun yang seharusnya sudah tidak digunakan.
Selain itu, disiplin melaporkan kartu hilang atau dicuri harus diperkuat. Setiap kartu yang keluar dari kendali Anda—aktif atau kedaluwarsa—harus dianggap potensi vektor serangan transaksi contactless. Segera hubungi bank untuk memblokir kartu dan menutup celah tersebut. Di sisi lain, tekanan publik kepada penyedia jaringan dan bank juga penting: pengguna berhak menuntut mekanisme yang mengikat tanggal kedaluwarsa ke data transaksi secara kriptografis, serta pengaktifan fitur seperti Relay Resistance Protocol.
