💰 Украсть деньги возможно даже с просроченной карты
Ученые из Массачусетского университета в Амхерсте обнаружили уязвимость, которая позволяет расплачиваться банковской картой с истекшим сроком действия. Для атаки достаточно старой карты и двух Android-смартфонов. Работу представили на конференции USENIX Security 2026.
💡Когда у карты заканчивается срок действия, связанный с ней счет продолжает существовать. Например, магазин все еще может вернуть деньги за старую покупку. Исследователи задались логичным вопросом: если просроченная карта способна принимать возвраты, нельзя ли заставить ее снова платить?
В некоторых случаях — можно. При бесконтактной оплате карта передает терминалу данные, в том числе срок действия. Исследователи обнаружили, что эта информация недостаточно защищена криптографически. Поэтому ее можно изменить по пути между картой и терминалом, не ломая саму защиту карты.
Для демонстрации атаки ученые использовали два смартфона. Один связывался по NFC с просроченной картой, а второй — с платежным терминалом. Между ними передавались данные транзакции, при этом терминал получал уже подмененную дату окончания действия карты. Для кассира операция выглядит как обычная оплата телефоном.
Банк получает корректный криптографический ответ от настоящей карты, но не всегда отдельно проверяет, действует ли именно этот экземпляр пластика. Поэтому результат зависит от конкретного банка и всей цепочки обработки платежа.
📱 Исследователи проверили карты Visa, Mastercard, American Express и Discover пяти крупных американских банков. Уязвимой оказалась лишь Visa; остальные три платежные системы отклоняли подмененные данные. Команда смогла провести платежи на $1, $100 и $500, а саму атаку воспроизвела не только в лаборатории, но и на реальных терминалах в магазинах — с согласия продавцов.
Выбрасываете старые карты?
❤️ — нет, храню дома
🔥 — всегда разрезаю!
😱 — теперь точно не буду...
👋 Подпишитесь на Hi, AI!
Свежие комментарии