Не викидайте протерміновану картку: небезпечна лазівка шахраїв

Здавалося б, після завершення строку дії банківською карткою вже не можна нічого оплатити, і вона стає непридатною для будь-яких маніпуляцій. Але дослідники з Університету Массачусетса в Амгерсті з’ясували, що деякі безконтактні картки можуть працювати навіть після того, як стали простроченими. Ба більше, це може стосуватися старої картки, яку банк уже замінив на нову.

Про це розповідає Новини.LIVE з посиланням на видання Raketa.

Дослідники назвали таку картку "зомбі-карткою". Вони показали, що за певних умов платіжний термінал може отримати змінену дату закінчення дії картки й провести оплату, хоча насправді картка вже прострочена. Водночас проблема стосується не всіх карток, а цифрові гаманці виявилися стійкішими до такого способу атаки.

Справа у тому, що навіть після закінчення строку картки рахунок, до якого вона прив’язана, може залишатися активним. Наприклад, на нього ще можна отримати повернення коштів за покупку, зроблену раніше. Саме це змусило дослідників перевірити, чи можна не лише повернути гроші на прострочену картку, а й провести нею нову оплату. 

Як вдалося надурити термінал

Дослідники використали фізичну картку, два звичайні смартфони та спеціальне програмне забезпечення. Один телефон активує картку за допомогою NFC і отримує дані, необхідні для проведення безконтактної оплати. Другий працює як посередник між карткою та платіжним терміналом і змінює інформацію про дату завершення дії картки.

У результаті термінал отримує майбутню дату закінчення строку дії, хоча на самій картці вона вже минула. Для термінала картка таким чином може виглядати чинною. За словами дослідників, для цього не обов'язково знати дату, яка вказана на новій картці, виданій замість старої. Для атаки може бути достатньо будь-якої майбутньої дати, яку система прийме як дійсну.

Чому термінал може не помітити прострочення

Дослідники звернули увагу на те, що дата закінчення дії картки, яку зчитує платіжний термінал, не має достатнього криптографічного захисту. Крім того, у картки є ще одна дата — пов'язана з цифровим сертифікатом, який використовується для захисту платежу. Вона може бути довшою за строк дії, зазначений на самій картці. Тому перевірка цього сертифіката також не обов'язково покаже, що фізична картка вже прострочена.

Ще одна проблема полягає в тому, що не всі банки додатково перевіряють отриману терміналом дату під час авторизації платежу. Якщо така перевірка не проводиться, транзакція може пройти.

Чи допомагає цифровий гаманець

Дослідники зазначили, що цифрові гаманці мають додаткові механізми безпеки, тому до цього конкретного способу атаки вони виявилися стійкішими. Втім, це не означає, що цифрові гаманці захищені від усіх можливих атак. 

Що найкраще зробити зі старою карткою

Власники карток повинні пам'ятати, що прострочену або замінену картку не варто просто викидати у смітник. Краще фізично знищувати такі картки та стежити за операціями за рахунком, навіть якщо стару картку вже замінили або сам рахунок закрили. Якщо з'явилася підозріла транзакція, про неї потрібно повідомити банк.

Раніше Новини.LIVE писали, що робити, якщо банкомат списав гроші через технічний збій. У такій ситуації важливо не залишати апарат, зафіксувати помилку, записати його номер та одразу звернутися до банку. Фінустанова перевірить операцію та результати інкасації, після чого невидані кошти можуть повернути клієнту. 

Також Новини.LIVE розповідали, як зняти готівку без картки. Для цього достатньо скористатися Приват24 та QR-кодом банкомата. Також отримати гроші можна через фінансовий номер телефону, підтвердивши операцію дзвінком від банку.