Năm 2012, tại phòng thí nghiệm máy tính của Đại học Cambridge (Anh), giáo sư an ninh mạng Ross Anderson cùng cộng sự công bố một nghiên cứu mang tên 'Chip and Skim', trong đó chỉ ra rằng nhiều máy POS và máy ATM tạo ra cái gọi là 'số ngẫu nhiên không thể đoán trước' theo kiểu bộ đếm tuần tự có thể dự đoán được, thay vì một số thực sự ngẫu nhiên do ngân hàng sinh ra, từ đó mở đường cho việc nhân bản giao dịch thẻ chip-and-PIN.
Mỗi khi một tấm thẻ ngân hàng gắn chip EMV thanh toán không tiếp xúc được áp vào máy đọc (POS) tại quầy thanh toán, một chuỗi trao đổi dữ liệu diễn ra chỉ trong tích tắc. Thẻ giao tiếp trực tiếp với máy POS qua kênh NFC, sau đó thông tin giao dịch được chuyển tiếp đến một mạng lưới thanh toán như Visa, Mastercard hay Discover.
Một chiếc thẻ tín dụng đã hết hạn sử dụng, tưởng chỉ bỏ đi là xong, nhưng nhóm nghiên cứu tại Đại học Massachusetts Amherst (UMass Amherst, Mỹ) đã chứng minh vẫn có thể thực hiện một giao dịch thanh toán không tiếp xúc (contactless). Đó là lổ hổng bảo mật được đặt tên là Zombie Card (thẻ xác sống) do nhóm nghiên cứu trình bày tại Hội nghị bảo mật USENIX Security Symposium giữa tháng 8/2026.