Výzkumníci z University of Massachusetts Amherst popsali útok, který může v některých případech umožnit použití prošlé bezkontaktní karty Visa k placení. Techniku nazvali Zombie Card, protože karta, která by měla být po uplynutí data platnosti nepoužitelná, se může před platebním terminálem jevit jako stále aktivní.
Změna data platnosti může oklamat platební terminál
Fyzická karta sice po vypršení platnosti přestává být běžně použitelná, samotný kartový účet však nezaniká. Banky například mohou na účet nadále přijmout vratku za nákup provedený původní kartou. Tato skutečnost vedla výzkumníky k otázce, zda by prošlá karta nemohla za určitých podmínek také uskutečnit platbu.
Při demonstračním útoku použili dvě běžně dostupné chytré telefony a základní emulační software. První telefon komunikoval s prošlou kartou prostřednictvím NFC a získal platební údaje včetně data platnosti. Druhý telefon fungoval jako prostředník mezi kartou a terminálem. Přenášené datum změnil na libovolné datum v budoucnosti a upravené údaje odeslal platebnímu terminálu.
Problém souvisí s tím, že některé informace o platnosti karty nejsou v testovaném bezkontaktním procesu Visa účinně kryptograficky svázané s ostatními ověřovanými údaji. Terminál proto mohl obdržet pozměněné datum, zatímco ostatní bezpečnostní kontroly karty stále vypadaly platně.
Výsledek se liší podle banky a karetní sítě
Výzkumníci testovali různé terminály, obchodníky, banky a platební konfigurace. Zjištění se týkala především bezkontaktních transakcí Visa. Testované konfigurace Mastercard, American Express a Discover změnu data podle dostupných výsledků odmítly.
Ani u karet Visa však nebyl výsledek vždy stejný. Některé transakce byly zamítnuty nebo vyvolaly požadavek na použití náhradní karty, zatímco jiné mohly být schváleny. Úspěch proto závisí na konkrétní kombinaci karty, terminálu a postupů banky.
„Když karta může přijmout vratku, může také uskutečnit platbu?“ položil podle univerzity otázku Muhammad Taqi Raza, která vedla k výzkumu.
Výzkumníci doporučují, aby platební sítě a banky zavedly důslednější ověřování životního cyklu karty. Uživatelé by měli prošlé karty po obdržení náhradní karty znehodnotit přestřižením čipu i antény a nevyhazovat je neporušené do běžného odpadu.
Zdroj: thehackernews.com
Zdroj: IT SECURITY NETWORK NEWS
