Zombie card: ketika kartu kredit kedaluwarsa belum benar-benar mati
Zombie card adalah kartu kredit kedaluwarsa dengan fitur pembayaran contactless yang masih bisa digunakan untuk transaksi karena tanggal kedaluwarsanya dapat dimanipulasi secara elektronik melalui celah keamanan pada komunikasi antara chip kartu dan terminal pembayaran. Peneliti University of Massachusetts Amherst menunjukkan bahwa kartu kredit kedaluwarsa masih bisa melakukan pembayaran contactless di mesin kasir sungguhan dengan menulis ulang tanggal kedaluwarsa ke waktu di masa depan. Dalam presentasi berjudul “Zombie Cards Back Online: Reviving Expired Credit Cards for Contactless Payments” di konferensi USENIX Security, mereka membuktikan bahwa aturan kedaluwarsa dalam pembayaran contactless lebih banyak bersifat administratif daripada pengaman teknis. Itu berarti, apa yang selama ini kita anggap sebagai pagar terakhir—tanggal kadaluarsa—ternyata lebih mirip plang kosmetik yang mudah digeser.
Kenapa celah keamanan Visa ini bisa terjadi dan siapa yang terdampak
Inti masalahnya ada pada cara sistem pembayaran contactless mengolah data kedaluwarsa. Dalam konfigurasi tertentu, Application Expiration Date yang dibaca terminal berada di bagian yang tidak dilindungi tanda tangan digital, sehingga tidak terikat secara kriptografis dengan nilai kedaluwarsa yang dilihat penerbit saat otorisasi online. Transaksi contactless Visa secara eksplisit dinyatakan rentan terhadap manipulasi man-in-the-middle karena kurangnya perlindungan integritas yang efektif. Akibatnya, perangkat di tengah—misalnya dua ponsel berkoneksi Wi-Fi—bisa mengubah tanggal kedaluwarsa menjadi tanggal di masa depan, dan sebagian terminal tetap menerima transaksi tersebut seolah kartu masih berlaku.
Yang perlu digarisbawahi, celah keamanan Visa ini tidak bersifat universal untuk semua jaringan kartu. Dalam pengujian, serangan hanya memengaruhi kartu contactless Visa, sementara Mastercard, Discover, dan American Express menolak perubahan tanggal kedaluwarsa tersebut. Peneliti menegaskan serangan ini berhasil pada berbagai jenis terminal, sehingga kategori perangkat kasir yang terdampak cukup luas dan bersifat sistemik, bukan kasus tunggal yang eksotis. Jadi, jika kartu kamu berlogo Visa dan mendukung pembayaran contactless, kamu berada di kelompok yang paling berisiko dibanding pemegang merek kartu lain.
Bagaimana serangan zombie card dilakukan dan seberapa gawat ancamannya
Serangan zombie card tidak membutuhkan laboratorium atau perangkat mahal. Penyerang perlu memiliki fisik kartu kedaluwarsa korban, lalu menggunakan dua smartphone dengan NFC sebagai relay man-in-the-middle: ponsel pertama membaca kartu, ponsel kedua meniru identitasnya di depan terminal sambil menuliskan ulang tanggal kedaluwarsa ke masa depan. Serangan juga membutuhkan akses fisik ke kartu dan dua smartphone untuk melakukannya, menjadikannya upaya yang lebih kompleks daripada sekadar mencuri nomor kartu online.
Secara praktis, ini artinya kita belum berada di ambang penipuan massal. Peneliti sendiri mengakui bahwa beralih dari demonstrasi konferensi ke skala penipuan besar tidak otomatis terjadi. Namun, fakta bahwa mereka pertama kali memperingatkan Visa dan bank terkait pada Mei 2025 dan lagi pada Desember 2025, lengkap dengan panduan reproduksi dan video, tetapi hingga publikasi Agustus 2026 belum ada perbaikan yang dikonfirmasi, menunjukkan satu hal: sistem keamanan kartu kredit saat ini bergerak lebih lambat daripada kreativitas penyerang. Itu alasan kuat untuk bersikap sinis terhadap asumsi “kalau kadaluwarsa berarti aman”.
Langkah praktis melindungi diri: dari dompet fisik ke dompet digital
Berita baiknya, pengguna tidak harus pasrah. Pertahanan pertama dan paling sering diabaikan: perlakuan terhadap kartu kredit kedaluwarsa. Kartu kedaluwarsa harus benar-benar dihancurkan, bukan sekadar dibuang; chip, pita magnetik, dan nomor kartu perlu dipotong atau dibuat tidak terbaca sebelum masuk ke tempat sampah. Ingat, serangan ini membutuhkan kartu fisik. Selama plastik lama tetap utuh, peluang zombie card tetap ada. Selain itu, memantau mutasi kartu dan rekening koran setelah mengganti atau menutup kartu menjadi wajib, bukan opsional.
Pertahanan paling kuat saat ini adalah memindahkan kebiasaan belanja ke dompet digital di ponsel. Apple Pay dan Google Pay tidak mengirim nomor kartu asli ke terminal, melainkan token yang terikat ke perangkat dan dibuat khusus untuk transaksi tersebut. Artinya, skenario man-in-the-middle yang mengubah tanggal kedaluwarsa menjadi jauh lebih sulit dilakukan. Tambahkan lapisan proteksi dengan mengaktifkan notifikasi instan untuk setiap transaksi kartu, serta segera melaporkan kehilangan atau pencurian kartu fisik. Kalau perlu, pertimbangkan menonaktifkan fitur pembayaran contactless pada kartu lama dan membatasi penggunaannya hanya pada dompet digital, agar titik serangan menyempit.
Penutup: jangan lagi menganggap tanggal kedaluwarsa sebagai pagar keamanan
Kasus zombie card memaksa kita mengubah cara pandang terhadap keamanan kartu kredit. Tanggal kedaluwarsa terbukti lebih mirip label administrasi daripada mekanisme pengaman. Ketika Application Expiration Date bisa diubah di tengah jalan tanpa terikat secara kriptografis, keamanan kartu kredit contactless menjadi bergantung pada disiplin seluruh ekosistem—kartu, terminal, jaringan, dan bank—yang nyatanya tidak selalu konsisten.
Selama Visa dan bank penerbit belum memberikan mitigasi resmi, tanggung jawab praktis ada di tangan pengguna. Hancurkan kartu kredit kedaluwarsa, jangan biarkan kartu lama berkeliaran di laci dan dompet cadangan; utamakan pembayaran contactless melalui dompet digital; dan awasi setiap transaksi dengan notifikasi real-time. Kartu kredit kedaluwarsa masih bisa menjadi pintu kebocoran, tetapi dengan kebiasaan yang lebih disiplin, kita bisa memastikan kartu “mati” benar-benar mati, bukan bangkit sebagai zombie card yang menggerogoti rekening tanpa suara.
