Возрождение кредитных карт: опасность просроченных карт

Эксперты бьют тревогу: кредитные карты, срок действия которых давно истёк, в руках умельцев способны воскреснуть прямо на кассе. Казалось бы, что дата окончания на пластике — это билет в один конец, но команда исследователей из Университета Массачусетса в Амхерсте доказала обратное. Их эксперименты показали, что даже «мертвая» карта способна пройти по бесконтактной оплате в реальном магазине. Иными словами, если вы считаете, что старая карта — это безобидный кусок пластика, вам стоит задуматься.

Что же здесь не так? Оказывается, вся система бесконтактных платежей построена не столько на шифровании данных (EMV-криптография осталась в стороне), сколько на странных бюрократических проверках, где никто до конца не знает, кто именно отвечает за контроль срока действия карты. В схеме участвуют сама карта, терминал, банк торговца, платёжная сеть и банк-эмитент. Каждый занимается своим куском работы, а итоговое решение — проводить платёж или отказать — складывается из многих кусочков головоломки.

Иногда из-за такого раздрайа некоторые поля (например, дата окончания карты) передаются между картой и терминалом в открытом виде, без криптографической защиты, и поддаются изменению на лету. В случае с картами Visa, как выяснили исследователи, именно это поле можно «подправить» прямо в момент оплаты, если между картой и терминалом вклиниться специальным устройством. Получается, в глазах терминала карта до сих пор действует — и деньги списываются как ни в чем не бывало. При этом срок действия, зашитый во внутренний цифровой сертификат карты, часто превышает тот, что напечатан на самом пластике. Проверка ориентируется не на реальный срок, а на некий внутренний таймер.

Но есть нюанс: этот трюк работает только с Visa. Мастеркард, Discover и American Express такую фокусню не пропускают — они сразу откажут в платеже, если дата поддельная. Чтобы провернуть атаку, нужно обладать самой картой и парой смартфонов — не самое простое занятие, мягко говоря. Казалось бы, есть в протоколах EMV и полноценная защита — протокол Relay Resistance, который определяет подобные махинации по времени проведения операции. Но в реальной жизни его поддержку никто не включает.

Исследователи сообщили о проблеме Visa и банкам ещё в мае и декабре 2025 года, приложили подробные инструкции и даже обучающее видео. Но на момент публикации ни Visa, ни банки не начали устранять уязвимость, и на запросы журналистов также не ответили.

В итоге проблема в том, что все участники думают: проблема с «просроченным» пластиком — не их забота. Пока они перебрасывают ответственность друг на друга, дырка остаётся. А вам совет — не оставляйте такой пластик, уничтожайте чип и вырезайте номера. Не надейтесь на «мертвую» карту, иначе её воскресит тот, кому не лень.