Та прострочена картка Visa у вашій шухляді все ще може купити продукти
Більшість людей відрізають кут прострочилої картки і викидають її у смітник, або залишають у шухляді, бо викидати банківську картку якось незручно. Троє дослідників з Массачусетського університету в Амхерсті щойно навели вагомий аргумент на користь того, щоб знищувати її правильно.
Мухаммад Такі Раза, Раджа Хаснайн Анвар і Джерард ДеКунья представили роботу, яку вони назвали атакою Zombie Card ("картка-зомбі"), на симпозіумі USENIX Security у Балтиморі з 12 по 14 серпня. Схема така: два телефони з підтримкою NFC розташовуються між карткою і терміналом магазину. Один зчитує картку, інший переписує дату закінчення терміну дії на майбутню, і термінал приймає це. Причина - прогалина в реалізації безконтактних платежів Visa, Kernel 3: дата закінчення терміну дії не прив'язана до даних, які картка криптографічно підписує, тож зміна дати нічого не порушує з того, що перевіряється. За словами Анвара, підходить майже будь-яка майбутня дата. Ту саму маніпуляцію спробували на Mastercard, American Express і Discover, і всі три відхилили її.
Це були не лише лабораторні результати. Команда провела транзакції на справжніх касах - 2,79 долара у рітейлера, 3,19 долара у продуктовому магазині - разом із сумами до 500 доларів під час тестування. Це працює, поки рахунок, прив'язаний до картки, залишається відкритим під тим самим номером, а це якраз те, що відбувається, коли банк надсилає вам поштою картку на заміну. Для цього також потрібна сама фізична картка або тривалий близький контакт із нею. Дослідники повідомили Visa ще у травні 2025 року; команда безпеки Visa відтворює атаку, але жодного виправлення не підтверджено і жодного номера CVE не присвоєно. Ніхто не повідомляв про використання цього прийому в реальних умовах.
Порада Рази пряма: завжди позбавляйтеся простроченої картки і продовжуйте перевіряти виписки за закритими рахунками. Знищуйте чип і магнітну смугу, а не лише пластик навколо них. Ніщо з цього не стосується вашого комп'ютера, і про це варто сказати прямо - перевірка приватності та облікових записів Tendvane охоплює акаунти, до яких увійшов ваш ПК, а картка в кухонній шухляді до них не належить.