Просроченная банковская карта в некоторых случаях продолжает работать даже после того, как банк выпустил владельцу новую. Для атаки хватило двух смартфонов и стандартных средств для работы с NFC. Уязвимость проверили не только в лаборатории, но и при реальных покупках. Причина скрывается в устройстве карточных платежей. Дата на пластике ограничивает срок использования самой карты, но банковский счёт после этой даты не исчезает.
Старую карту можно использовать как идентификатор для возврата денег за покупку, совершённую до истечения срока действия. Исследователи проверили обратную ситуацию: сможет ли просроченная карта не только получить возврат, но и инициировать новый платёж. Для части проверенных карт ответ оказался положительным. Схема использует NFC.
Первый смартфон подносят к просроченной карте и заставляют её начать платёжный обмен, играя роль терминала. Карта передаёт платёжную информацию, включая истёкший срок действия. Данные по Wi-Fi уходят на второй смартфон, где программа меняет только срок действия: прошедшую дату заменяют любой датой в будущем. Второй смартфон с подменёнными данными прикладывают к POS-терминалу, который получает информацию с будущей датой и продолжает обработку платежа.
Слабое место находится в поле со сроком действия, которое терминал считывает с карты. Это значение не защищено от изменения средствами криптографической проверки целостности, поэтому посредник может переписать дату до того, как кассовое оборудование примет решение. Банк теоретически способен остановить операцию, но исследование показало, что некоторые банки полагаются на проверку, выполненную POS-терминалом, и не сопоставляют переданный срок действия с аутентифицированными данными карты. Крупные платёжные компании получили информацию об уязвимости.
Как сделать платежи по NFC безопасными?
