«Зомби-карты»: как просроченные Visa снова принимали бесконтактные платежи

В результате терминал мог решить, что карта ещё действительна, хотя физически на ней была указана прошедшая дата. Для атаки требовался доступ к самой карте либо постоянная близость к ней, а также ретранслятор между картой и терминалом. Сценарий не означал, что любую просроченную карту можно использовать в любых условиях: счёт должен оставаться открытым и пригодным для авторизации.

Криптографию карты не взламывали

Ключевой момент — исследователи не подделывали криптографические реквизиты карты. Настоящая карта продолжала формировать подлинные динамические данные транзакции, включая подписи и криптограмму, которую ожидает платёжная система.

Уязвимость возникала из-за рассогласования отдельных полей. Ретранслятор менял значение даты, используемое терминалом для проверки срока действия, но остальные данные продолжали поступать от настоящей карты. Поэтому криптографическая проверка могла оставаться корректной, тогда как решение терминала основывалось на подменённой дате.

Иными словами, проблема была не в том, что злоумышленник научился создавать действительные подписи, а в том, что изменяемое поле оказалось недостаточно тесно связано с данными, которые подписывались и проверялись позднее.

Что именно показал Visa EMV Kernel 3

Исследование связывает результат с особенностями обработки срока действия в Visa EMV Contactless Kernel 3 — программном компоненте, который определяет, как терминал обрабатывает бесконтактную транзакцию. В протестированной конфигурации дата, отображаемая терминалу, не была в достаточной степени криптографически связана с данными карты и информацией о транзакции, использовавшимися при последующей онлайн-авторизации.

Получалась следующая последовательность:

• настоящая карта передавала подлинные платёжные данные, включая фактическую просроченную дату;
• ретранслятор заменял дату в сообщении для терминала;
• карта по-прежнему создавала настоящие данные аутентификации транзакции;
• терминал видел будущую дату, а платёжная система получала в остальном корректные криптографические подтверждения.

Если протокол не связывает такие значения достаточно жёстко, отдельное поле можно изменить, не делая недействительной всю криптографическую цепочку. Именно такую уязвимость типа man-in-the-middle — атаку «человек посередине» — описывают авторы исследования.

Почему срок действия не стал «криптографическим выключателем»

Срок действия карты часто воспринимается как встроенная функция безопасности, после которой карта автоматически перестаёт работать. Но в бесконтактных платежах проверка может быть распределена между терминалом, банком-эквайером и банком-эмитентом — организацией, выпустившей карту. Часть решений зависит от даты, которую получает терминал, а часть — от данных, доступных банку при авторизации.

Если терминал видит будущую дату, а банк получает подлинные данные транзакции, системе может не хватить надёжного, единообразно аутентифицированного сигнала о том, что физическая карта уже просрочена. При этом атака не превращает закрытый или заблокированный счёт в действующий: авторизация всё равно зависит от состояния счёта и других проверок.

Почему та же схема не сработала с другими платёжными сетями

В предоставленных материалах говорится, что подмена даты не сработала в протестированных конфигурациях Mastercard Kernel 2, American Express Kernel 4 и Discover Kernel 6.

Однако источники не приводят полного технического сравнения этих ядер и не объясняют по каждому из них, какая именно проверка или криптографическая привязка остановила атаку. Поэтому корректный вывод ограничен результатами эксперимента: в проверенных конфигурациях эти реализации эффективнее отвергали конкретную подмену даты, чем протестированная конфигурация Visa.

Это не означает, что все карты этих брендов защищены от любых ретрансляционных атак или других видов платёжного мошенничества.

Что известно о пяти банках

Исследование, по сообщениям источников, охватывало карты нескольких крупных банков США, а эксперименты включали разные банки-эмитенты.

При этом доступные материалы не называют все пять банков и не дают проверенной таблицы с результатом по каждому: где транзакция была одобрена, а где отклонена. Поэтому делать выводы о конкретных эмитентах было бы некорректно. Итог может зависеть от типа карты, состояния счёта, настроек авторизации, терминала, эквайера и условий конкретной покупки.

Ответ Visa и статус исправления

Согласно одному из предоставленных сообщений, исследователи передали результаты Visa и затронутым банкам в мае и декабре 2025 года. Вместе с уведомлением они направили материалы для воспроизведения, записи транзакций и демонстрационное видео.

В доступных источниках нет проверенного публичного заявления Visa, официального подтверждения исправления или сведений о завершённом развёртывании мер защиты. Поэтому нельзя утверждать, что проблема полностью устранена, что уже защищены все карты и терминалы или что единая мера стала обязательной для всей платёжной инфраструктуры.

Какие меры защиты рекомендуются

Главная задача — не допустить расхождения между датой, которую видит терминал, и данными, подтверждёнными картой.

• Платёжным сетям и разработчикам ядер: криптографически связывать дату окончания действия и другие поля, влияющие на решение терминала, с аутентифицированными данными карты и криптограммой транзакции. Несогласованные значения должны приводить к отклонению платежа.
• Операторам терминалов и эквайерам: сопоставлять сведения о сроке действия во всех соответствующих сообщениях EMV и проверять подозрительные расхождения. Анализ задержек и особенностей обмена может дополнительно помочь обнаруживать ретрансляторы, хотя универсальный метод детектирования в предоставленных материалах не подтверждён.
• Банкам-эмитентам: самостоятельно проверять срок действия, факт перевыпуска и жизненный цикл карты во время авторизации, а не полагаться только на дату, переданную терминалом. Операции по просроченным или заменённым реквизитам следует отклонять либо отправлять на дополнительную проверку, если банк может надёжно определить их статус.
• Карточным программам: последовательно деактивировать прежнюю карту после выпуска замены, когда это предусмотрено правилами продукта.
• Пользователям: следить за операциями по счёту и сразу сообщать банку о незнакомых списаниях. Просроченная пластиковая карта не всегда означает, что связанный с ней счёт или платёжные реквизиты уже полностью неактивны.

Как безопасно избавиться от просроченной карты

Сначала стоит проверить инструкции банка. Если эмитент просит вернуть старую карту, нужно следовать этому требованию, а не уничтожать её самостоятельно.

Если возврат не требуется:

• удалите старую карту из сохранённых способов оплаты в интернет-магазинах и приложениях;
• проверьте, что новая карта активирована;
• разрежьте старую карту через чип, магнитную полосу, номер, панель подписи и код безопасности;
• по возможности используйте шредер с перекрёстной резкой, рассчитанный на банковские карты;
• если это удобно, выбросьте фрагменты раздельно.

Такая утилизация снижает риск восстановления реквизитов из выброшенной карты, но не заменяет контроль счёта. При любом незнакомом платеже следует как можно скорее связаться с банком и сообщить о транзакции.