Если такую карту украдут или просто подберут, ею в ряде случаев можно провести платеж, даже после выпуска нового пластика на тот же счет.
Специалисты Массачусетского университета в Амхерсте обнаружили уязвимость, которая позволяет буквально «оживлять» часть просроченных банковских карт. Причина в том, что срок действия карты — не столь жесткий параметр, как привыкли думать пользователи.
Представьте, что вы возвращаете товар, купленный старой, уже формально просроченной картой. Деньги при этом успешно возвращаются на счет, и это логично: банк опирается на данные счета, а не на физический кусочек пластика. Но это обстоятельство навело доцента Таки Разу и его коллег на мысль: если карта все еще может принять возврат, может ли она, при определенных условиях, провести и списание?
Оказалось, что да, для части карт и банков это возможно. Ученые построили недорогую систему из двух обычных смартфонов и простого NFC‑эмулятора. Первый телефон подносится к карте и с помощью бесконтактной связи NFC активирует ее, «как будто» в магазине пытаются оплатить покупку. Карта передает свои данные, включая настоящий, уже истекший срок действия.
Дальше вступает в дело вторая часть схемы — ретрансляция по Wi‑Fi по принципу «человек посередине». Эти данные пересылаются на второй телефон, который подключен к терминалу как будто это обычный цифровой кошелек. Именно в этом месте есть техническая возможность подмены срока действия на любую произвольную будущую дату. «Срок действия, указанный на карте и хранящийся на ней, — единственный способ для POS‑терминала узнать, активна карта или нет. Он не защищен криптографически, поэтому мы можем легко изменить его и обмануть таким образом терминал», — поясняет первый автор работы Раджа Хаснайн Анвар.
Источник: hi-tech.mail.ru