Zombie Card: как злоумышленник платит просроченной Visa

Учёные из MIT представили новый тип атаки — Zombie Card. Она позволяет провести бесконтактный платёж, даже если срок действия карты уже истёк и банк выдал замену.

Для реализации требуется три условия: карта с просроченной датой, но с активным счётом; промежуточное устройство, которое перехватывает связь между картой и терминалом; и неизменённый номер карты (PAN), который обычно сохраняется при переиздании.

Уязвимость кроется в том, как Visa Kernel 3 передаёт часть данных открыто, а проверка подлинности (ODA) происходит позже. Злоумышленник меняет дату окончания действия на любую будущую, и терминал принимает её как действительную, пока эмитент не проверит статус карты.

Если банк проверяет актуальность карты, транзакция будет отклонена; если же он лишь смотрит, что счёт активен, платёж проходит. Атака не сработала на Mastercard, Amex и Discover, но бесконтактные Visa оказались уязвимыми. Пока Visa не дала рекомендаций, эксперты советуют при получении новой карты физически уничтожать чип и магнитную полосу старой.