破棄したはずのカードが不正利用の温床に、コンタクトレス決済の死角
「期限切れのカードはもう使えないから安心」——そんな常識が崩れつつあります。
米マサチューセッツ大学アマースト校の研究チームが、市販の機器だけで期限切れのクレジットカードを「復活」させ、店頭での不正決済を成立させられることを実証しました。
同大学の発表やセキュリティ専門メディアThe Register、Tech Xploreなどが報じています。研究チームはこの手口を「ゾンビクレジットカード」と名付けています。
「ゾンビクレジットカード」とは何か
この研究は米国のセキュリティ学会USENIX Security 2026で発表されたもので、論文タイトルは「Zombie Cards Back Online: Reviving Expired Credit Cards for Contactless Payments（ゾンビカード再び――コンタクトレス決済のために期限切れクレジットカードを復活させる）」です。
筆頭著者はUMassアマースト校博士課程のラジャ・ハスナイン・アンワル氏で、同大リッチョ工学部のタキ・ラザ助教授らが共同で執筆しました。
研究の出発点はシンプルな疑問でした。
ラザ氏は「返品されたカードで返金を受けられるなら、そのカードで支払いもできてしまうのではないか」と語っています。
物理的なカードには有効期限がありますが、その裏にあるカード会員のアカウント自体は有効期限を迎えても存続し続けます。
新しいカードが発行されても古いカードの番号やアカウント情報が即座に無効化されるわけではない点に、研究チームは目をつけました。
なぜ期限切れカードが「生き返る」のか
鍵となるのは、クレジットカードに実は2種類の有効期限が存在するという事実です。
1つはカード表面に印字され、店頭の決済端末（POS端末）が確認に使う有効期限。
もう1つは、カードと銀行間の通信を保証するデジタル証明書（カードの正当性を暗号技術で保証する電子的な身分証明書）に埋め込まれた、印字よりも長めに設定されている有効期限です。
この2つの期限の扱いに差があることが、今回の弱点の根本原因になっていると研究チームは説明しています。
この弱点は、非接触決済で広く使われるEMVプロトコル（ICチップ搭載カードの国際標準規格）の設計そのものに起因するもので、特定の機種・アプリの不具合ではなく業界標準の仕組み自体に根差した問題だとされています。
研究チームは、一般に入手できる市販の機器とソフトウェアだけでこの弱点を実際に突けることを実証しました。
不正利用を助長しないよう、本記事では具体的な手順の紹介は控えますが、要点としては、決済のやり取りの中で本来もっと厳密に検証されるべき情報が、実際にはチェックをすり抜けてしまうケースがあるという点に尽きます。
興味深いことに、研究チームによれば、悪用する側が交換後の新カードの正確な情報を把握している必要すらないケースもあったといい、専門家はその”敷居の低さ”を懸念材料として指摘しています。
実店舗でも成功、銀行側のチェック体制にもばらつき
研究チームはこの弱点を研究室内だけでなく、実際の食堂やスーパーマーケットの店頭でもテストし、成立してしまうケースがあることを確認しました。
決済ネットワークによっては、端末から送られる情報をカード発行銀行側が十分に突き合わせておらず、他のセキュリティチェックもすり抜けてしまえば、そのまま決済が成立してしまう例があったとしています。
一方ですべてのカードが等しく脆弱というわけではなく、Apple PayやGoogle Payなどのデジタルウォレットは追加の防御機構を備えているため、今回の弱点に対しては相対的に耐性が高かったと報告されています。
決済を高速かつスムーズに済ませるため、セキュリティ機構の一部しか都度呼び出されない設計になっている点も背景にあります。
利便性を優先した結果、検証の抜け漏れが生じる——非接触決済がここまで普及した現代ならではのジレンマが今回の研究で浮き彫りになった形です。
発覚から1年以上、業界の対応は道半ば
研究チームは2025年5月にVisaへ今回の発見を通知し、同年12月にも追加で状況を確認したものの、取材時点でVisa側からも、通知を受けた銀行側からも具体的な対策が講じられたとの確認は得られていません。
主要なクレジットカード会社への通知自体は済んでいるとしていますが、決済網・カード発行銀行・端末メーカーそれぞれが独立して動くカード業界の構造上、根本的な修正には時間がかかるとみられます。
研究チームは消費者に向けて、期限切れカードを安易にゴミ箱へ捨てないよう呼びかけています。
具体的にはICチップと磁気ストライプの破壊、カード番号部分の切断、破片を複数のゴミ箱に分けて廃棄すること、さらに解約後の口座に不審な請求がないかしばらく確認を続けることを推奨しています。
関連情報：日本のカード不正利用被害と非接触決済の広がり
日本クレジット協会の集計によると、2025年通年の国内クレジットカード不正利用被害額は約510億円（前年比8.0%減）にのぼり、このうち9割以上はカード番号のみが盗まれる「番号盗用」による被害でした。
今回のような非接触決済の弱点はまだ国内で大きく報告されていませんが、日本でも交通系ICカードやスマホのタッチ決済が急速に普及しており、同種の国際標準規格を利用する決済網である以上、無関係とは言い切れません。
なお、自動車のスマートキーを電波中継で不正解錠する手口も原理は近く、無線通信を使った本人確認の隙を突く手口は分野を問わず繰り返し登場しています。
まとめ
UMassアマースト校の研究は、期限切れカードでも「アカウントが生きている」限り不正利用の温床になり得るという盲点を実証しました。
原因はEMVプロトコルの設計と、2種類の有効期限の扱いの差にあります。
デジタルウォレットは比較的安全ですが、物理カードを持つ人は破棄方法に注意が必要です。
今後、Visaなど決済網がプロトコルの見直しに動くかどうか、そして日本を含む各国の発行銀行がどこまで独自にチェック体制を強化するかが焦点になりそうです。