Просроченные карты Visa удалось «оживить» для бесконтактной оплаты

Компания почему-то пока не стала исправлять уязвимость.

Исследователи из Массачусетского университета в Амхерсте нашли способ проводить бесконтактные платежи с помощью некоторых просроченных банковских карт Visa. Уязвимость связана с особенностями обработки срока действия карты в протоколе EMV.

Оказалось, протокол позволяет манипулировать данными таким образом, чтобы терминал считал карту действующей. В качестве посредников между картой и терминалом выступали устройства с NFC, способные перехватывать и изменять часть передаваемых данных.

Исследователи обнаружили, что дата окончания действия карты, поступающая POS-терминалу, не защищена цифровой подписью. Терминал ориентируется на поле Application Expiration Date, а банк при онлайн-авторизации получает срок действия из другого поля. Эти значения должны быть согласованы, но криптографической связи между ними нет.

В результате злоумышленник, располагающий просроченной картой и подходящим NFC-прокси, может изменить дату, видимую терминалу. После этого операция отправляется на дальнейшую авторизацию как обычная бесконтактная транзакция. Успех зависит уже от банка-эмитента: часть протестированных банков пропускала такие платежи, другие отклоняли их.

Исследователи связывают проблему с особенностями реализации EMV. American Express, Discover, Mastercard и Visa используют собственные варианты обработки бесконтактных транзакций. Во время экспериментов Mastercard, American Express и Discover не удалось обмануть таким образом.

Примечательно, что Visa сообщили о проблеме еще в мае 2025 года, а затем еще раз в декабре 2025 года. По всей видимости, компания так и не устранила уязвимость.