Группа ученых из Массачусетского университета в Амхерсте разработала метод атаки, позволяющий восстановить работоспособность старых, просроченных бесконтактных карт для совершения новых (незаконных) транзакций.

Новая атака основана на том факте, что данные NFC-карт не полностью шифруются при совершении платежа, и некоторые параметры могут быть изменены без нарушения работы цифрового хеша/подписи карты.

Исследователи создали устройство, которое перехватывает данные транзакций с помощью атаки типа NFC Man-in-the-Middle, обновляет срок действия и передает измененный платеж на POS-терминал.

Это простая атака, которую никто не стал расследовать, потому что все предполагали, что банки контролируют проверку срока действия документов и выявят любые изменения, не соответствующие их внутренним системам.

В действительности, как утверждают исследователи, банки обычно оставляют эту проверку на усмотрение POS-терминала, где совершается транзакция, и доверяют его решению.

Исследование показало, что три из четырех крупнейших поставщиков услуг по обработке карточных платежей - Mastercard, American Express и Discover - использовали POS-терминалы, где изменение срока действия приводило к несоответствию хеша карты и подписи, что вызывало сбой транзакции.

На терминалах Visa атака сработала, и ее не обнаружили пять банков на своих бэкэндах - именно столько банков исследователи использовали для своего исследования.

Для осуществления этой атаки не требуется специализированное оборудование, она использует базовые эмуляторы NFC и POS-терминалы, которые можно приобрести в интернете.

Единственной «проблематичным» моментом было то, что у злоумышленников был способ заполучить старые просроченные карты. Их можно было собрать из мусорного ведра или украсть у пользователей, которые не уничтожили свои старые карты.

Таким образом, главная рекомендация заключалась не столько в том, что банкам и Visa нужно лучше прорабатывать код своих бэкэндов и POS-терминалов, сколько в том, что пользователям следует перерезать свои старые карты ножницами и измельчить их на мелкие кусочки после истечения срока действия.