🧟‍♂️ Zombie Cards: как просроченная банковская карта может снова стать действующей

Представьте: срок действия вашей банковской карты закончился несколько месяцев назад. Карта официально недействительна.

Но в определённых условиях её всё ещё можно заставить выглядеть для платёжного терминала как действующую.

И нет, речь не о том, что кто-то просто заходит в настройки терминала и меняет 06/26 на 06/29.

Исследователи безопасности продемонстрировали гораздо более интересный сценарий.

Как это работает?

При бесконтактной оплате карта и терминал обмениваются данными по NFC.

У карты есть информация о сроке действия — например:

06/2026

В нормальной ситуации терминал получает эти данные и понимает, что карта просрочена.

Но если между картой и терминалом поместить специальное устройство, способное вмешиваться в NFC-обмен, часть данных можно изменить ещё до того, как их увидит терминал.

Получается примерно так:

Карта
06/2026
   │
   │ NFC
   ▼
[посредник]
   │
   │ 06/2029
   ▼
Терминал
"Карта действительна"

При этом сама банковская карта вообще не меняется.

А как же криптография?

Вот здесь и находится самое интересное.

EMV-платежи используют криптографическую защиту. Поэтому может показаться, что изменить данные карты невозможно.

Но криптография защищает только те данные, которые действительно входят в механизм проверки целостности.

Если какое-то значение обрабатывается отдельно и не связано должным образом с криптографически защищёнными данными транзакции, появляется разрыв целостности.

Иными словами:

🔐 Криптография может быть абсолютно исправной, а уязвимость всё равно будет находиться в архитектуре протокола.

Терминал и банк могут оказаться в разных реальностях

В результате потенциально возникает интересная ситуация:

терминал:
«Срок действия карты ещё не закончился».

банк:
«Вообще-то карта просрочена».

Это не означает, что теперь можно взять старую карту и спокойно оплачивать ей покупки. Для реализации подобного сценария требуется специализированное оборудование, а окончательное решение о транзакции зависит от множества других проверок.

Кроме того, исследование показало, что проблема не является универсальной для всех платёжных систем.

Почему это важно для ИБ?

Потому что это отличный пример фундаментального принципа безопасности:

необязательно ломать криптографию, чтобы обойти систему.

Иногда достаточно найти данные, которым доверяет один компонент, но целостность которых недостаточно хорошо проверяется другим.

И это касается далеко не только банковских карт.

Та же проблема может встречаться в распределённых системах, API, протоколах аутентификации и любых архитектурах, где несколько компонентов принимают решения на основании одних и тех же данных.

Поэтому при аудите безопасности стоит спрашивать не только:

«Зашифрованы ли данные?»

но и:

«Кто именно им доверяет и откуда мы знаем, что их никто не изменил?»

Вот это уже гораздо более интересный вопрос. 🧠🔐

#DataDef #ИнформационнаяБезопасность #ИБ #Кибербезопасность #EMV #NFC #BankingSecurity #Pentest