Атаката "Зомби карта" заобикаля защитите на терминалите

Специалисти по киберсигурност от Университета на Масачузетс в Амхърст демонстрираха как невалидни банкови карти продължават да одобряват трансакции месеци след изтичането си. Пробивът, представен официално на конференцията USENIX Security 2026 през август, засяга безконтактните плащания и позволява на измамници да източват средства от активни сметки чрез обикновени смартфони, съобщават от академичната институция.

Атака с два телефона

Уязвимостта, наречена "Зомби карта", се дължи на факта, че банковата сметка и физическата пластика не приключват живота си едновременно. Към закрита карта често продължават да пристигат възстановявания на суми от търговци, което провокира изследователите да проверят дали процесът работи и в обратната посока.

„Ако картата може да получи възстановяване на сума, може ли тя да направи плащане? За някои кредитни карти отговорът е да“, обяснява ръководителят на екипа Таки Раза.

За да измамят платежните терминали, изследователите използват два стандартни смартфона и елементарен софтуер за емулация. Първото устройство сканира невалидната карта през NFC чипа и извлича нейните данни. Втората машина променя датата на валидност на произволен бъдещ месец и подава подправената информация към терминала в магазина. Системата работи безотказно, тъй като напечатаната върху пластиката дата не е криптографски защитена при комуникацията с четеца.

„Това е единственият начин терминалът да разбере дали картата е активна или изтекла. И тъй като полето няма защита, ние лесно го модифицираме, за да излъжем четеца“, уточнява докторантът Раджа Хаснаин Ануар.

Цифровият сертификат живее по-дълго

Оказва се, че картите притежават втори срок на годност — вграден цифров сертификат за сигурност, който криптира връзката с банката. Този сертификат обикновено е валиден много по-дълго от датата, изписана върху пластиката, за да гарантира плавен преход при преиздаване. Банката получава заявката за трансакция, проверява валидния криптографски подпис и одобрява плащането, без да разбере, че терминалът в магазина е бил излъган.

Експериментът е проведен успешно както в лабораторни условия, така и в реални ресторанти и хранителни магазини в Съединените щати. От екипа съобщават, че не всички физически карти са еднакво податливи, а дигиталните портфейли в телефоните показват много по-висока устойчивост заради допълнителните слоеве на защита.

Унищожавайте старите пластики

Изследователите вече са уведомили големите картови оператори за откритата уязвимост. Докато индустрията търси генерално техническо решение, експертите призовават потребителите да променят навиците си.

„Хората смятат изтеклите карти за напълно безполезни и ги изхвърлят небрежно. Винаги унищожавайте старата си карта. Срежете магнитната лента и задължително счупете чипа с ножица, преди да я хвърлите в кофата“, съветва Таки Раза.